SCSKのAWS関連セキュリティサービスのご紹介
SCSK株式会社
セキュリティサービス部
マネージャー
井戸川 明裕Copyright © SCSK Corporation

1.SCSKのAWSへのセキュリティ対策ソリューション
について
AWSにてWebサイトを構築・運用するにあたり、PDCAの工程でお客様のご支援となるソリューションの提供が可能です。

AWS環境におけるWebサイト構築・運用

ACTION
クラウドの利用状況の可視化
WAFの導入・運用

脆弱性診断
クラウド診断CHECK

Copyright © SCSK Corporation

PLAN
セキュリティアセスメント
規定策定
コンサルティング
クラウド基盤構築
アプリ開発

DO

1

2.SCSKセキュリティアセスメント
SCSKセキュリティアセスメントはロードマップ作成により、現実的に機能するセキュリティ対策活動に貢献します。
仕組みの導入、規程・体制の整備

SCSKセキュリティアセスメントサービス②ロードマップ
作成①現状把握＋リスク分析

ロードマップに基づく対策◆Point
別途提案
・自社のセキュリティ対策状況を網羅性を以て把握することが可能
・フルサービスの提供のみならずお客様のご予算に応じての部分対応が可能
・お客様環境(要員/運用状況)を踏襲し、対策難易度を考慮したロードマップ作成を実現
●実施内容
項目

実施事項

SCSKセキュリティアセスメント①～②内容全てサービス①現状把握①リスク分析

②ロードマップ
作成

実施目的

メリット

実施条件

実施期間

セキュリティ対策状況を網 網羅的に対策順序、項目 既成規定類の提示羅的に把握し、対策手順 を把握することで効率的に ヒアリング対応、QA対応の 4ヶ月
を検討
動けるご協力お客様のセキュリティ対策状 自社のセキュリティレベルの 外部指標に基づいた網羅
況の現状把握分析を実施 把握 (どこにいるか）的な現状把握が可能
既成規定類の提示
ヒアリング対応、QA対応の ２ヶ月
現状把握の結果を踏まえリスクの概要及び影響度の 対策すべきリスクの対応方 ご協力
貴社を取り巻く脅威に対す把握(何が課題か)
針、優先順位付けが可能
るリスク分析を実施①が完了、もしくはリスク分
貴社体制、対策難易度を 優先度を含めた対策計画 中長期的な視点を以て効 析後の資料提示2ヶ月考慮したロードマップを作成 の立案(どこから始めるか) 率的に対策推進が可能 ヒアリング対応、QA対応のご協力

Copyright © SCSK Corporation

2

3.SCSKセキュリティ規定策定支援サービス
SCSKセキュリティ規程策定は徹底した現状把握により、貴社が守るべき規程の策定を行います。
•

規程の定着化に向けた支援

SCSKセキュリティ規程策定支援サービス①現状把握・ヒアリング
他規定との整合性調査②問題点の整理③セキュリティ規程の策定④規程定着化支援◆Point
・自社のセキュリティ対策状況に応じた適切な規定を策定することが可能
・現行規定を踏襲し、目指すべき外部基準、社内からの要望を踏まえた将来的に活用可能な規定を策定
・規程状況の定着に向けての支援までフルサポート提供が可能●支援実績 例

No.

業務名称

概要

1

グループ会社向けWebセキュリティ管理プロセス及びガイドライン作成

グループ会社におけるWebサイトの立上げから閉鎖までのプロセス整備と、立ち上げるサイトが持つ情報資産に応じた対策ガイドラインを定義、ガイドラインとして作成

2

Webセキュリティ標準体系の整備

既存のセキュリティ規程整備状況を洗い出し、策定が必要と考えられるセキュリティ標準のリスト化及び優先順位付け、標準の作成を実施。

3

クラウドサービス利用規程の策定

クラウドサービスを利用するにあたり、各フェーズにおいて検討・留意すべき事項を定めた規程を作成。事業者を選定する際の評価項目を策定の上チェックリストも作成。

4

組込システム開発に関するセキュリティポリシーの策定

ISO26262、EDSA311、312を踏まえた組込システム開発に関するセキュリティポリシーを策定。

5

情報セキュリティ基準見直し

全社的な情報セキュリティ基準について、ISO27001改正の観点から見直しを実施。関連規則についてはセキュリティ基準との乖離を指摘。

Copyright © SCSK Corporation

34．アーキテクチャ診断
Well-Architected レビュー
AWS Well-Architected Framework (W-A)とは？
システム設計・運用の“大局的な”考え方とベストプラクティス集

上記5つの柱に沿って46の設問が設けられており、グローバル数万のユースケースをもとに作成。
設計原則に沿った組織・システム・運用設計がなされているか、課題とリスクを可視化することが可能です。
構築・運用双方のフェーズで定期的に実施します。

AWS Well-Architected
フレームワーク
日本語版ホワイトペーパー

Check!
W-Aレビュー

要件検討

設計

Check!
W-Aレビュー

構築本番

運用中

改善

SCSKはAWS認定Well-Architectedパートナーです
Copyright © SCSK Corporation

45．最適化診断
クラウド診断サービス for AWS
ご利用中のAWS環境の適性を診断します。
企業がAWS上にシステムを構築する際に外せないポイントを網羅した診断項目を元に、お客様のAWS環境を診断し、診断レポートの形で診断結果と対策をご提案します。

[サービスに含まれる内容]
ご提供価格
・ 診断の実施 1回¥300,000~/1AWSあたり ・ 診断レポート 1部
・ 診断結果のご説明
本サービスは、USiZEパブリッククラウドモデル(AWS)をご契約していないお客様も、利用頂けます。
Copyright © SCSK Corporation

56.プラットフォーム/Webアプリケーション診断サービス
システムに存在する脆弱性を発見することで①リスクを把握し②対策投資金額の最適化に寄与します。

SCSK
脆弱性診断サービスの特徴

Copyright © SCSK Corporation■Webセキュリティとアプリケーション開発知識の両面に精通した診断技術員
豊富なセキュリティ知識とWebアプリケーションに対する理解を生かした 高水準のサービスをご提供。
■システム構築・運用の経験を持つエンジニアによる診断
セキュリティ知識とネットワークの知識を活かした高精度なプラットフォーム/ネットワーク診断をご提供。
■診断前の入念な準備
診断技術員がサービス提供前に診断対象のWebサイトに関する情報を精査。
■脆弱性診断ソフトウェアと手作業を組み合わせた複合的な診断手法
複数の脆弱性診断ツールの取扱い・サポート経験から得た知識を基に、複合的な診断を実施。

7.IaaSの利用状況の可視化
Netskope for IaaS
クラウドを安全に管理するには、これらの課題に対処する必要がある。
会社契約外のIaaS利用認可されていないインスタンス利用におけるサーバ公開

機密データの有無が不明瞭
機密性の高いデータが保存されていることへの可視性の欠如

管理外デバイスからのアクセス管理されていないデバイスから会社データへ自由なアクセス

脅威防止の欠如
マルウェアとランサムウェアによる感染被害サービスにおける誤設定
誤った構成による脆弱性およびデータ漏洩

IaaSの利用状況を可視化するクラウド型のサービス
Netskope for IaaS

２Copyright © SCSK Corporation

8.IaaSの利用状況の可視化
Netskope for IaaS
従業員のクラウドサービスに対する操作を全て可視化し記録。
また、その操作が社内ポリシーに反している場合、リアルタイムにアラート/ブロックの対応が可能。
※別途Activeライセンスが必要となります。
従業員が行った操作を把握•

いつ、どこで、だれが、どの環境に対して、何の操作をしたかを記録

Netskope

従業員

会社契約/契約外クラウドコンピューティングを一括で可視化/制御（以下制御一例）•••

データの中身をチェックして機密情報を検出し保護ファイルにマルウェアやランサムウェアが含まれていた場合検知し削除
利用者の異常な行動を検出•

商用サービスを提供しているインスタンスは停止/削除操作を禁止
ストレージ上のファイル削除を禁止•IaaS(サービス環境)•

開発環境は特定の従業員以外がインスタンスを作成するのを禁止•IaaS(開発環境)

会社が把握していない従業員が勝手に契約したIaaSは会社での利用を禁止

IaaS(個人契約)

4
Copyright © SCSK Corporation

9.IaaSの利用状況の可視化Netskope for IaaS
IaaS環境の設定状態をCIS (※)ベンチマーク監査項目に基づいてチェックし、問題がある箇所をレポート。
また問題解決のための手順を提示。
(※)米国政府機関と民間企業が協力してインターネット・セキュリティ標準化に取り組む団体の名称

評価結果確認セキュリティ評価

Netskope
管理者

IaaS

 CISベンチマーク項目（抜粋）カテゴリ

チェック項目IAM

rootアカウントが利用されていないこと
パスワードポリシーが設定されていること（桁数、利用される文字種、期限など）

ログ出力

全リージョンでCloudTrailが有効であること
CloudTrailログの格納バケットが公開設定でないこと

監視

不正なAPI呼び出しに対してログメトリックフィルタとアラームが出力されること
IAMポリシー/CloudTrail設定/Network ACL等の変更に対してアラームが出力されること

ネットワークSecurity Groupが、0.0.0.0/0 port 22(SSH)への接続を許可しないこと
Security Groupが、0.0.0.0/0 port 3389(RDP)への接続を許可しないこと

5
Copyright © SCSK Corporation

10.AWS WAFの運用サービス（WafCharm)
クラウド上へのＷＡＦ導入までのユースケースについてお客様の様々なシステム環境に応じてマッチするWAFサービスの提供が可能です。

Copyright © SCSK Corporation

1011.まとめ
お客様の課題当社ソリューションによる解決策

クラウド移行をすすめたいがセキュリティ対策どこから クラウドサービス利用のためのアセスメント・規定策
手をつけて良いかわからない。ガイドラインもしくは規 定
定を作りたいが作り方がわからない
AWSを利用するにあたり適切な設定ができているか不安。プロの視点でアドバイスがほしい

クラウド診断サービス(アーキテクチャ診断、最適化診断）

AWSの構築のプロジェクトにおいてセキュリティが不安。アカウントの利用状況の可視化がしたい

Netskope for IaaS

Webサイトへどこから誰でもアクセスできるためSQL
インジェクションやクロスサイトスクリプティングといった顧客情報を狙った攻撃が心配

脆弱性診断
AWS WAF

WAFを導入したが自社で専門技術者がいないた
め運用をアウトソースしたい

Wafcharm

Copyright © SCSK Corporation

11

Copyright © SCSK Corporation

12