Proprietary + Confidential

SCSK 株式会社 御中

Google Cloud のセキュリティ製品とゼロ トラスト モデルの実現

2021 年 9 月 29 日
グーグル・クラウド・ジャパン合同会社

Proprietary + Confidential

アジェンダ
1

Google Cloud のインフラ セキュリティ

2

Google Cloud のセキュリティ ソリューション

3

BeyondCorp Enterprise のご紹介

4

Google Cloud アップデート

Self Introduction

中谷 祐輔 (なかや ゆうすけ)
グーグル・クラウド・ジャパン合同会社
パートナーエンジニア

Proprietary + Confidential

1
Google Cloud のインフラ セキュリティ

Security First,Everything Follows.

※イメージですセキュアな基礎を用いた構成

Titan

専用のチップ周辺の HW、ブートは電子証明書で確認
悪意ファームウェア（ UEFI、ドライバーなど）があれば検知し、起動不可能
Google の専用 TPM チップ

専用のサーバー

専用のストレージ

専用のネットワーク

専用のデータ センター

「ベンダーを間にはさむ」リスクを低減

7

Grace Hopper
Havfrue(US, UK, ES)(US, IE, DK)
2022
2019
Dunant(US, FR)
Finland2020
Netherlands

Faster(US, JP, TW)
2016
Toronto
Iowa*

OregonSalt Lake City
Los Angeles

Las Vegas

LondonBelgium
Paris
Turin

Montréal

N. Virginia
S. Carolina

MadridSeoul

Equiano(PT, NG, ZA)
2021

Mumbai

Tokyo
Osaka

Delhi

Doha

PLCN
(US, TW)
2020

Unity
(US, JP)2010

WarsawFrankfurt
Zurich
Milan

Hong Kong

SJC(JP, HK, SG)2013

TaiwanSingapore
Curie(CL, US)
2019

Jakarta

Monet(US, BR)
2017São Paulo
Santiago

Junior(Rio, Santos)
2018

SydneyTannat(BR, UY, AR)
2018

Google CloudIndigo(SG, ID, AU)
2019

エッジPOP

通信ケーブル現行リージョンJGA-S(GU, AU)
2019

Melbourne

今後のリージョン

全世界に展開するネットワークとリージョン*Exception: region has 4 zones.

8

Google Cloud data encryption journey

多層防御によるセキュアなシステム
Layered Defense in Depth（多層防御）
レイヤ
Network

Identity

HardwareOperations
オペレーション

DataServices

主なセキュリティ対策の例
侵入検知システム、インサイダーリスク低減技術、従業員による U2F 使用、ソフトウェア開発プラクティス

ネットワーク

Google Front End 、DoS 攻撃防御の組み込み

データ保存データの暗号化

アイデンティティ

U2F サポートを含む一元的な識別サービス

サービス

サービス間通信の暗号化

ハードウェアハードウェアの設計と供給、ブートスタックのセキュリティ、構内セキュリティ

10各種コンプライアンスへの対応

GlobalUSACanadaEuropeSpainAustralia

ISO 27001

FIPS 140-2

GDPR

ISO 27017

NIST 800-53

ISO 27018

NIST 800-171

EsquemaNacional de
Seguridad

AustralianPrivacy
Principles

PCI DSS

Sarbanes- Oxley

Personal
Information &Electronic
Documents Act

SOC 1

SEC

SOC 2

CFTC

SOC 3

FINRA

Australian
Prudential
Regulatory
Authority
Standards

CSA STAR

FFIEC

MPAA

FedRAMPEU ModelContract Clauses
Privacy Shield
FINMA
EBA

Argentina

BaFin

UK

Personal Data
Protection Law

BSI

NCSC Cloud
Security
Principles

IRAP

South Africa

NHS IG
ToolkitSingapore

GxP

POPIAmericas

コンプライアンス リソース センター

Japan・FISC
・PCI DSS・My Number Act・NISC・ISMAP・2 Guidelines from 3
Ministries

MTCS Tier 3

Europe, Middle East & Africa

https://cloud.google.com/security/compliance?hl=ja

Asia Pacific政府情報システムのためのセキュリティ評価制度（ISMAP）対応●

政府情報システムのためのセキュリティ評価制度（Information system Security Management andAssessment Program: 通称、ISMAP（イスマップ））
は、政府が求めるセキュリティ要求を満たしているクラウド サービスを予め評価・登録することにより、政府のクラウドサービス調達におけるセキュリティ水準の確保を図り、もってクラウドサービスの円滑な導入に資することを目的とした制度●

2021 年 3 月 12 日に公表された ISMAP クラウドサービ
スリストに、Apigee、Google Cloud Platform、
Google Workspace が登録されました

https://www.ipa.go.jp/security/ismap/cslist.html

Proprietary + Confidential2Google Cloud のセキュリティ ソリューション

Google Cloud のセキュリティ関連サービス
ガバナンス、リスク管理
コンプライアンス

Cloud Identity

IAM

IAP

ReCaptcha

Web Risk

Third-party audits
International Certifications
Access Transparency

IDとアクセス管理

Conditions

Google Vault for G SuiteValidator

アプリケーション セキュリティ
BeyondCorp

Web Security Scanner

Binary Authorization

Encryption by Default

CMKCSKHSM External Key Manager DLP API

GWS ACLs

Cloud Operations

Titan Shielded VM・GKE Binary Auth

Confidential Computing Container Threat Detection

ネットワーク セキュリティ
Shared VPC

VPC Firewalls

ALTS

Cloud Armor

VPC Service Controls

Packet Capture

Chrome Browser SafeBrowsing

Device Management ChromeBook

Event Threat Detection
Cloud Anomaly Detection
VirusTotal

端末セキュリティ
Chrome OS

Incident Response Management
Security Health Analytics

インフラ セキュリティ

Cloud Storage Retention Policy
Cloud Audit Logging

セキュリティの監視と業務

Security Command Center

データ セキュリティ

Access Approvals
Key Access Justifications

Recommender Troubleshooter

PixelChronicle

内部からのデータ流出を防止
VPC Service Controls●

VPC Service Controls を使うと、仮想的な「セキュリティ境界」を構築できる●

内部から外部へのデータ流出を遮断できる●

オンプレからクラウドへの、安全なハイブリッド接続が可能となる

内部からのデータ流出を防止
VPC Service Controls●

VPC Service Controls を使うと、仮想的な「セキュリティ境界」を構築できる●

内部から外部へのデータ流出を遮断できる●

オンプレからクラウドへの、安全なハイブリッド接続が可能となる従来の考え方では守り切れないケースの例
1.
2.

3.
4.

IAM ポリシーの設定誤りによる想定外の共有

インターネット②

外部のプロジェクト

盗まれた ID / サービス アカウントとキー を使用してインターネットから機密データへアクセス
内部犯や、危険なコードで不正なクラウド リソースへのデータコピー
他の Google API 群へデータ転送

BigQuery

Google Cloud
Storage

ComputeEngineNW で防御（従来の考え方）①

Google Cloud
Storage③④
VPC ネットワーク

無関係なGoogle API

本番プロジェクト
17

VPC Service Controls による防御●

境界 / ペリメーターというセキュリティの境界をプロジェクトの外側に新たに持つ●境界をまたぐデータの移動を IAMとは別にチェック●境界をまたげる条件をアクセスレベル で定義●

プロジェクト オーナーにも変更不可

インターネット

BigQuery

外部のプロジェクト
Google Cloud
Storage

Google Cloud
Storage

ComputeNW で防御（従来の考え方）

VPC ネットワーク +境界（ペリメーター）

無関係な
Google API

本番プロジェクト
18Proprietary + Confidential

スクレイピング

reCAPTCHAEnterprise

アカウント ハイジャック
不正トランザクション

ユーザ（本人）
ボット検出と防止システム
偽アカウントボット、詐欺、自動攻撃からビジネスを守ります

悪意のある投稿

マネー ロンダリング

reCAPTCHA

Proprietary + Confidential

reCAPTCHA の進化（1）バージョン 1
バージョン 2

Proprietary + Confidential

reCAPTCHAの進化バージョン 3

Proprietary + Confidential

サービスレベル契約
Google Cloud 利用規約とサポート
粒度の細かいリスクスコア
Reason コード

reCAPTCHAEnterprise

機械学習済モデルとカスタマイズ
モバイル SDKs
多要素認証（Account Verification - Preview）
パスワード漏洩確認（Password Checker Preview）

Proprietary + Confidential

3
BeyondCorp Enterprise のご紹介

一般的なネットワーク
セキュリティ環境

しかしこのアプローチには問題が・・・

境界の中は安全？
ゼロトラスト境界の中も危険であることを前提に

150 万5000 万5億SingHealth (2018 年 7 月 20 日)
シンガポール最大の医療グループは、同国首相を含む 150 万人の患者の個人情報が不正にアクセスされコピーされたと発表

Facebook (2018 年 9 月 28 日)
約 5000 万件のアカウント情報が流出したと公表（後に 3000 万件の Facebookアカウントの情報に下方修正）

Marriott (2018 年 11 月30 日)
大手ホテルチェーンは、5 億人のゲストに関する個人情報が漏えいしたと公表（後に約 3 億 8,300 万件に修正）

出典：IPA「情報セキュリティ白書2019」, https://www.ipa.go.jp/ﬁles/000079041.pdf
サイバーセキュリティー.com（日本での被害事例集）, https://cybersecurity-jp.com/leakage-of-personal-information

COVID-19: 在宅勤務が当たり前に東京での人の動きの変化

リモートワークが必要に迫られて広く受け入れられるようになってきている

居住地

職場

Source: COVID-19 Community Mobility Report, https://www.google.com/covid19/mobility/ネットワークの境界の消滅
社内システムへのアクセス元は、もはやオフィス内／従業員の自宅といった環境に限定されない働く環境が変わりつつある
モバイル デバイスに対するユーザーの期待が変化している

パートナー
従業員

顧客

協力会社

生産性を支える主要なアプリケーショ
ンやデータはクラウド上に存在する

27

BeyondCorp
Enterprise
企業向け ゼロトラスト
セキュリティ サービス

Google の 2011 年から始まった BeyondCorp のミッション

すべての Google 従業員がVPN を使わずに信頼できないネットワークから問題なく業務できるようにする

Internal web apps
hosted on Google Cloud

Endpoint

NetworkCloud

Employees

CloudInternal web apps hostedon other clouds
Contractors

Partners

Chrome ブラウザに組み込まれた
脅威とデータ保護

インターネットからのトラフィックのプロキシと保護

アイデンティティとコンテキストに基づいたポリシーの強制

SaaS
Applications

Internal web apps
hosted on-premises

Endpoint

BeyondCorp:アーキテクチャ
EndPoint Verification: 端末状況の確認
Google MDM：スマホ端末の管理と状況確認

EndPoint
Verification

GoogleMDM•

社給・私用 PC•

社給・私用スマホ•

OS ポリシ (バーション最低限 )•MDM ポリシ•

HDD 暗号化•

Google Workspace アクセス•

スクリーン ロック

•

電子証明書

•

連携セキュリティ ソフト条件•

連携 MDM 条件•

OSX, Win, Chrome, Linux サポート•

Chrome と Android サポート•

Chrome ブラウザ•

Admin コンソールで管理Network

BeyondCorp:ビジネスの可用性
自社のフロントエンドが Google Cloud であればセキュリティはどう変わるCloudBeyondCorp:アーキテクチャ
Cloud Identity: Google 機械学習でアカウント保護
パートナー
従業員

Google は、毎日、正しいパスワードを使った
100 万アカウントの不正アクセスを検出し、止めている。
顧客•多要素認証•プッシュ通知•ワンタイム パスワード（OTP）•パスワード アラート•

FIDO 基準セキュリティキー

委託先CloudCloud Identity Aware Proxy(Cloud IAP)
Google POP に存在するグローバル リソース
Google の BeyondCorp セキュリティ モデルを元に設計され、 ゼロト

Context

ERP

ラストネットワークを実現

リバース プロキシをアプリケーションの前段に配置●

コンテキストベースのアクセスポリシーを適用●

ユーザー・アプリ間の暗号化を強制●

DDoS からの保護と TLS の終端●

SSH や RDP 等のプロトコルにも対応

Users

Identity-Aware
ProxyIdentity

CRM

cloud.google.com/iap
cloud.google.com/beyondcorp

BeyondCorp:アーキテクチャ
アプリのアクセス設定が簡単に
1.

IAP で Backend を設定

2.

Access Context Manager でアクセスレベルを設定

3.

IAP でアプリを選択し、メンバーにアサインし、アクセスレベルをアサイン

Proprietary + Confidential

Demo- Cloud Console を BeyondCorp で保護する User(中谷)From
中谷宅の IP

AccessContext
Manager

1．EC2 の EIP のみを許可する
Context を設定
ポリシー名 : IP_my-ec2-win-01

RDP 接続3.115.168.18/32

my-ec2-win-01

Internet

Identity
Aware
Proxy

Cloud Console
Google Backbone
Networks

Identity

2．Console へのアクセスを許可する Google Group を作成
グループ名 : Console_Allow

BeyondCorp
Enterprise

3．組織レベルの IAP にて Google
Group と Context を紐付ける設定

BeyondCorp のアーキテクチャー
Cloud Identity

Endpoint Verification
Google MDM

Access Context
ManagerCloud IAP

ウェブアプリVMSaaS アプリ
インフラストラクチャ

ID
強力な ID とフィッシング耐性のある認証

端末
デバイスおよびその他のコンテキスト

ルールエンジン

制御ポイント中央ポリシーエンジン

アクセス制限API
アプリとデータ

DDoS/TLS
ターミネーションExample scenario

国内のコーヒーショップから従業員がアクセス

ソースコードヘルプデスク アプリ

alice@acme.com
開発者

Alice の PC
社給 PC
S/N: j76Ky
許可された地域からのアクセス

ルールエンジン :開発者は社給 PCで、許可された地域 からのみソースコード にアクセスできる
どこからでもヘルプデス
ク アプリにアクセスできる

制御ポイントID とコンテキストを検証
ソースコード とヘル
プデスク アプリの両方にアクセスを許可

Example scenario

制限対象国に出張中の従業員

ソースコードヘルプデスク アプリ

alice@acme.com
開発者

Alice の PC
社給 PC
S/N: j76Ky
IP: 制限対象国

ルールエンジン :開発者は社給 PCで、許可された地域 からのみソースコード にアクセスできる
どこからでもヘルプデス
ク アプリにアクセスできる

制御ポイントID とコンテキストを検証
ヘルプデスク アプリのみにアクセスを許可

NTT ドコモ様- マイトレードにおける BeyondCorp 導入事例（1）-

https://cloudonair.withgoogle.com/events/google-cloud-day-digital-21/watch?talk=d3-sec-01

40

NTT ドコモ様- マイトレードにおける BeyondCorp 導入事例（2）-https://cloudonair.withgoogle.com/events/google-cloud-day-digital-21/watch?talk=d3-sec-01
41

Proprietary + Confidential

4
Google Cloud アップデート

FFG / ZDF 様における Google Kubernetes Engine（GKE） + Spanner の活用

Proprietary + Confidential(ふくおかフィナンシャル グループ / ゼロバンク デザイン ファクトリー)●2021 年 5 月に提供を開始したスマートフォン専業銀
行:「みんなの銀行」●

顧客ニーズにあわせてサービスを迅速に進化させていくために、マイクロ サービスで構築●

マイクロ サービス化に最適で、運用負担を軽減するために GKE を採用。また、急なトラフィック増にも対応し、高い可用性を提供するSpanner を 勘定系システムに採用 (東阪両現用)●

今後は Apigee X による BaaS 展開強化や AI 活用などを予定

2021 年 9 月 10 日 Google Cloud Japan 公式ブログより引用
https://cloud.google.com/blog/ja/topics/customers/minna-noginko-spanner【利用プロダクト抜粋】

GKE

BigQueryCloudSpannerビッグデータ分析基盤 IDAP における Google Cloud 導入事例

Proprietary + Confidential（NTT ドコモ様）●

社内データサイエンティスト向けの統合DMP として提供しているIDAP（Integrated Data Analytics Platform）に BigQuery を採用●

採用経緯: データ量の増加に対する対策+ BigQuery の同時並列実行における高いパフォーマンスと、BigQuery GIS や BigQuery
ML といった豊富な機能から採用を決定●BigQuery（Google Cloud）と Redshift（AWS）を組み合わせた構成。現在はクエリの 6～7 割を BigQuery で処理している。合計
5+ ペタバイト（1 日あたりの処理量 50+テラバイト）

https://k-tai.watch.impress.co.jp/docs/news/1349356.html【利用プロダクト抜粋】●

Google Cloud サービスへのパブリック接続の完全な遮断、および全接続をプライベート IP により完結したことで IDAP 保有の膨大なデータの情報漏洩リスクを大幅に軽減した閉域環境への導入を実現
BigQuery

VPCService
Controls

CloudInterconnect

Thank you!

Conﬁdential & Proprietary