CSA Japan Congress2016.11.22.

WGリーダ

2016.11.22.

勝見 勉© 一般社団法人日本クラウドセキュリティアライアンス, 2016.

1

SECURITY GUIDANCEFORCRITICAL AREAS OF FOCUS
ON
CLOUD COMPUTING
クラウドコンピューティングのセキュリティに関する総合的解説と基本的対策を説明したレポート
2016.11.22.

© 一般社団法人日本クラウドセキュリティアライアンス, 2016.

2

CSA-JC ガイダンスWGの活動•Guidance 4.0 への取り組み•進行中の編集作業のwatch、解析、理解•globalな編集のcollaborationへの参加• コメント、意見のfeedback•（4.0の完成後）日本語版の作成•global編集が固まるのに合わせて並行作業•globalリリースと日本語版の時差の短縮
2016.11.22.

©

一般社団法人日本クラウドセキュリティアライアンス, 2016.

3

Guidance V1.0
• Section I. CloudArchitecture• Domain 1: Cloud Computing Architectural Framework• Section II. Governing in the Cloud• Domain 2: Governance and Enterprise Risk Management• Domain 3: Legal• Domain 4: Electronic Discovery• Domain 5: Compliance and Audit• Domain 6: Information Lifecycle Management• Domain 7: Portability and Interoperability• Section III. Operating in the Cloud• Domain 8: Traditional Security, Business Continuity and Disaster Recovery• Domain 9: Data Center Operations• Domain 10: Incident Response, Notification and Remediation• Domain 11: Application Security• Domain 12: Encryption and Key Management• Domain 13: Identity and Access Management• Domain 14: Storage• Domain 15: Virtualization
2016.11.22.

©

一般社団法人日本クラウドセキュリティアライアンス, 2016.

4

Guidance V2.1
• Section I. Cloud Architecture• Domain 1: Cloud Computing Architectural Framework• Section II. Governing in the Cloud• Domain 2: Governance and Enterprise Risk Management• Domain 3: Legal and Electronic Discovery• Domain 4: Compliance and Audit• Domain 5: Information Lifecycle Management• Domain 6: Portability and Interoperability• Section III. Operating in the Cloud• Domain 7: Traditional Security, Business Continuity, and Disaster Recovery• Domain 8: Data Center Operations• Domain 9: Incident Response, Notification, and Remediation• Domain 10: Application Security• Domain 11: Encryption and Key Management• Domain 12: Identity and Access Management• Domain 13: Virtualization

2016.11.22.

©

一般社団法人日本クラウドセキュリティアライアンス, 2016.

5

CSA：14のセキュリティ課題（ガイダンス3.0）“Security Guidance for Critical Areas of Focus on Cloud Computing”
2009.4.20.

2016.11.22.

©

一般社団法人日本クラウドセキュリティアライアンス, 2016.

66

Version 3.0
日本語版

2016.11.22.

©

一般社団法人日本クラウドセキュリティアライアンス, 2016.

7

Version間Domain比較
Version 4.0

Version 3.0.1

Version 2.1

Version 1.0

Section I. Cloud Architecture
1

Cloud Computing
Concepts and1

Cloud ComputingCloud Computing
1Architectural Framework
Architectural Framework

1Cloud Computing
Architectural Framework

Section II. Governing in the Cloud
Governance and2 Enterprise Risk
Management
Legal Issues, Contracts
3and Electronic Discovery

Governance and
2 Enterprise Risk
Management
Legal Issues: Contracts
3and Electronic

Governance and
2 Enterprise Risk
Management
Legal and Electronic
3Discovery

Governance and
2 Enterprise Risk
Management
3 Legal
4 Electronic Discovery

5 Data GovernanceCompliance and Audit
4 Compliance and Audit
Management
Information Management
Information Lifecycle
55and Data Security
Management
Interoperability andPortability and66Portability
Interoperability

Management Plane and6Business Continuity

Traditional Security,
7 Business Continuity,
and Disaster Recovery

Traditional Security,
7 Business Continuity, andDisaster Recovery

Traditional Security,
8 Business Continuity andDisaster Recovery

8 Data Center Operations

8 Data Center Operations
Incident Response,
9
Notifi-cation, and
10 Application Security
Encryption and Key
11Management
Identity and Access
12Management

9 Data Center Operations
Incident Response,
10
Notifi-cation, and
11 Application Security
Encryption and Key
12
Management
Identity and Access
13Management
14 Storage
15 Virtualization

4Compliance and Audit
Management

45 Compliance and Audit
Information Lifecycle
ManagementPortability and7Interoperability
6Section III. Operating in the Cloud

7 Infrastructure Security
9 Incident Response

9 Incident Response

10 Application Security
Data Security and11
Encryption
Identity, Access, and
12
Entitlement Management

10 Application Security
Encryption and Key
11Management
Identity, Entitlement,
12
and Access Managemen

13 Security as a Service

13 Virtualization
14 Security as a Service

2016.11.22.

©

13 Virtualization

一般社団法人日本クラウドセキュリティアライアンス, 2016.

8

Guidance 4.0 のドメイン構成
Version 3.0.1

Version 4.0
Dom
ain
12345Domain

Title
Cloud Computing Concepts andArchitectures
Governance and Enterprise RiskManagement
Legal Issues: Contracts and Electronic
Discovery
Compliance and Audit Management
Data Governance?

New!
67891011121314
2016.11.22.

Management Plane and BusinessContinuity
Infrastructure Security
Virtualization and Containers
Incident Response, Notification andRemediation
Application Security
Data Security and Encryption
Identity, Entitlement, and Access
Management
Security as a Service
Related Technologies
New!
©

?
?

Title

Section I. Cloud Architecture
Cloud Computing Architectural
1
Framework
Section II. Governing in the Cloud
Governance and Enterprise Risk
2
Management
Legal Issues: Contracts and Electronic
3
Discovery
4
Compliance and Audit Management
Information Management and Data
5Security
6
Interoperability and Portability
Section III. Operating in the Cloud?

7891011121314

Traditional Security, BusinessContinuity, and Disaster Recovery
Data Center Operations?
Incident Response
Application Security
Encryption and Key Management
Identity, Entitlement, and Access
Managemen
Virtualization
Security as a Service

一般社団法人日本クラウドセキュリティアライアンス, 2016.

9?

Guidance 4.0 Domain1のざっと見Version4
D1: Cloud Computing Conepts and Architechtures
No.
Title
Contents
何が変わったか不変か
Domain1の概要
Cloud Computingの特性
Domain1の内容• Defining cloud computing：1.1.1• The cloud logical model ：1.1.2
1.0
Introduction
新設• Cloud conceptual, architectural,and reference model：1.1.3• Cloud security and compliancescope, responsibilities, and models：
1.2
1.1
Overview
見出しだけ
Cloud Computingの概説、定義紹介
NIST
Defining Cloud
ISO/IEC
新しく定義に関する記述と事例紹介を執筆している。
1.1.1
Computing"cloud Consumer"定義
3.0.1からの流用なし
NIST SP500-292 Reference Modelへの言及
1.1.2
Definitional Model NISTモデル、ISO/IECモデル
3.0.1の1.2をほぼそのまま踏襲
NISTの5特性を簡潔に紹介。
Essential
1.1.2.1
NISTの5特性 +ISO/IEC17788
3.0.1の1.4"Multi-Tenancy"は削除され、代りにISO/IEC17788にreferする形でCharacteristics
一言だけ触れている。
NISTのSPIを簡潔に紹介。
SPIモデルの簡潔な説明
3.0.1の1.4"Multi-Tenancy"でSPIに数行ふれ、欄外に表を表示。（文内にrefer
1.1.2.2 Service Models
ISO/IECのXaaS(e.g, Compute, Data なし）
Storage)への言及
3.0.1の1.5"Cloud Reference Model"でセキュリティ・責任分界点への言及を中
心にほぼ丸1ページの記述があったがほとんどなくなった。

1.1.2.3

DeploymentModels

2016.11.22.

3.0.1の1.5.1"Cloud Security Reference Model"の途中で左記matrix図を掲載。
PPCH各々の説明はなし。
Public, Community, Private, Hybrid
なお、3.0.1の1.5.1"Cloud Security Reference Model"ではJerichoモデルや内部・外部、Public-Privateのmatrix図 ISO/IEC27002 Sec6.2への言及などが続く。
3.0.1ではドメイン紹介の後の1.6で改めてDeployment modelの解説がある。節
建ての統一感がない感じ。
©

一般社団法人日本クラウドセキュリティアライアンス, 2016.

10

Guidance 4.0 Domain1のざっと見
1.1.3

Reference andAcrhitecture Models

スタックモデル ISO/IEC17788,
SP500-292紹介

3.0.1ではArchitecture Modelは1.3で図を掲載の他は詳説なし。
なお、1.5.1のJerichoの後にCloud Model - Security Control Model Compliance Modelの関連図を掲げていたが無くなった。
全体に、reference model関係はほぼ全面的に書き換えられている。

スタックモデル各レイヤーの解説 シス IaaSモデルの個別解説（構成図あり）
テム構成図
HypervisorやVM、Storage、APIなどの構成要素を用いて新たに表現
スタックモデル各レイヤーの解説 シス PaaSモデルの個別解説（構成図あり）
1.1.3.2 Platform as a Service
テム構成図HypervisorやVM、Storage、APIなどの構成要素を用いて新たに表現
スタックモデル各レイヤーの解説 シス SaaSモデルの個別解説（構成図なし）
1.1.3.3 Software as a Service
テム構成図
HypervisorやVM、Storage、APIなどの構成要素を用いて新たに表現
1.1.3.1

Infrastructure as aService

論理構成？
Infrastructure
Metastructure : Mgmt Plane
Components
Applistructure
Infostructure

クラウド論理構成モデルの新設
機能性に基づき4構成レイヤ（インフラ、メタ、アプリ、情報）に分類の上、特にメタ（プロトコル）をクラウドの特徴と言及、ただし図は各レイヤ名の羅列のみ

1.1.4

Logical Model

1.2

Cloud Security Scope,
Responsibilities, and見出しだけModels

新設

1.2.1

Cloud Security and責任構成とその分界点（provider vsCompliance Scope andconsumer）
Responsibilities

新設。V3の1.5.2と近い内容になっているが、記述は新しくなっている。

1.2.2

Security Modelの紹介・リスト- Conceptual(Framework), Controls,
Ref. Arch., Design Pattern
CSA Enterprise Architechture
Cloud Security Models (SABSA, ITIL, TOGAF, Jericho)
新設。新しいモデルの記述。
CSA CCMNIST SP500-299 (CC ReferenceArchitecture)
ISO/IEC 27017
2016.11.22.

©

一般社団法人日本クラウドセキュリティアライアンス, 2016.

11

Guidance 4.0 Domain1のざっと見

1.2.2.1

A Simple Cloud
Security Process
Model

Cloud Security Mangement Process
Model
1. Identify necessary security andcompliance requirements, and any
existing controls.
2. Select your cloud provider, service,
and deployment models.
新設。新しいモデルの記述。
3. Define the architecture.
4. Assess the security controls.
5. Identify control gaps.
6. Design and implement controls tofill the gaps.
7. Manage changes over time.

1.3

Areas of CriticalFocus

Guidance全体のdomain構成

1.3.1
1.3.2

Governing in theCloudOperating in theCloud

1.4

Recommendations

1.5

Credits

2016.11.22.

3.0.1の1.5.3 "Beyond Architecture: The Areas of Critical Focus"と対応。
イントロ文は全くそのまま踏襲。

構成としては3.0.1のTable 2a - Governance Domainsと同じ。Domainの組み立ては一部変わった。
Operationsのdomains：6, 7, 8, 9, 10, 11, 構成としては3.0.1のTable 2b - OPerational Domainsと同じ。Domainの組み12, 13, 14
立ては一部変わった。
6項目：NIST、CSA Ref.Arch.、CCM、 3.0.1の1.7 Recommendationsと見出しは対応するが、内容は全く異なる。
CAIQ、Security Process
3.0.1では長い説明文があり、SPIごとの説明等もある。
3.0.1では1.8 Requirementsがあるが、中身は5特性の解説であり、結びの言葉も含んでいてrequirementsらしきものはない。
構成としては??だったが、ごっそり削除となった。
Governanceのdomains：2, 3, 4, 5©

一般社団法人日本クラウドセキュリティアライアンス, 2016.

12

Version 4.0 の編集プロセス
https://github.com/cloudsecurityalliance/CSA-Guidance

2016.11.22.

©

一般社団法人日本クラウドセキュリティアライアンス, 2016.

13

?

?
2016.11.22.

?

© 一般社団法人日本クラウドセキュリティアライアンス, 2016.

14