現場で役立つ
セキュア・アーキテクティング・レビューのポイント― AWS Well-Architected Framework ―一般社団法人 日本クラウドセキュリティアライアンス（CSA ジャパン）
クラウドセキュリティワーキンググループ

Copyright © 2021 Cloud Security Alliance Japan Chapter目次
1.

はじめに................................................................................................................................ 52.

本書執筆における前提事項・留意事項 .............................................................................. 6

3.

AWS Well-Architected Framework セキュリティの柱 .................................................... 7

4.

3.1.

SEC1 .............................................................................................................................. 7

3.2.

SEC2 ............................................................................................................................ 14

3.3.

SEC3 ............................................................................................................................ 19

3.4.

SEC4 ............................................................................................................................ 26

3.5.

SEC5 ............................................................................................................................ 30

3.6.

SEC6 ............................................................................................................................ 34

3.7.

SEC7 ............................................................................................................................ 39

3.8.

SEC8 ............................................................................................................................ 42

3.9.

SEC9 ............................................................................................................................ 46

3.10.

SEC10 ...................................................................................................................... 49

参考・引用文献 .................................................................................................................. 56

Copyright © 2022 Cloud Security Alliance Japan Chapter

2

CSA ジャパン成果物の提供に際しての制限事項
日本クラウドセキュリティアライアンス（CSA ジャパン）は、本書の提供に際し、以下のことをお断りし、またお願いします。以下の内容に同意いただけない場合、本書の閲覧および利用をお断りします。
１．

責任の限定

CSA ジャパンおよび本書の執筆・作成・講義その他による提供に関わった主体は、本書に関して、以下のことに対する責任を負いません。また、以下のことに起因するいかなる
直接・間接の損害に対しても、一切の対応、是正、支払、賠償の責めを負いません。
(1) 本書の内容の真正性、正確性、無誤謬性(2) 本書の内容が第三者の権利に抵触しもしくは権利を侵害していないこと(3) 本書の内容に基づいて行われた判断や行為がもたらす結果(4) 本書で引用、参照、紹介された第三者の文献等の適切性、真正性、正確性、無誤謬
性および他者権利の侵害の可能性
２．

二次譲渡の制限

本書は、利用者がもっぱら自らの用のために利用するものとし、第三者へのいかなる方法による提供も、行わないものとします。他者との共有が可能な場所に本書やそのコピーを置くこと、利用者以外のものに送付・送信・提供を行うことは禁止されます。また本書
を、営利・非営利を問わず、事業活動の材料または資料として、そのまま直接利用することはお断りします。
ただし、以下の場合は本項の例外とします。
(1) 本書の一部を、著作物の利用における「引用」の形で引用すること。この場合、出典を明記してください。
(2) 本書を、企業、団体その他の組織が利用する場合は、その利用に必要な範囲内で、自組織内に限定して利用すること。
(3) CSA ジャパンの書面による許可を得て、事業活動に使用すること。この許可は、文書単位で得るものとします。
(4) 転載、再掲、複製の作成と配布等について、CSA ジャパンの書面による許可・承認を得た場合。この許可・承認は、原則として文書単位で得るものとします。
３．

本書の適切な管理(1) 本書を入手した者は、それを適切に管理し、第三者による不正アクセス、不正利用から保護するために必要かつ適切な措置を講じるものとします。
(2) 本書を入手し利用する企業、団体その他の組織は、本書の管理責任者を定め、この確認事項を順守させるものとします。また、当該責任者は、本書の電子ファイルを
Copyright © 2022 Cloud Security Alliance Japan Chapter3

適切に管理し、その複製の散逸を防ぎ、指定された利用条件を遵守する（組織内の利用者に順守させることを含む）ようにしなければなりません。
(3) 本書をダウンロードした者は、CSA ジャパンからの文書（電子メールを含む）による要求があった場合には、そのダウンロードしまたは複製した本書のファイルのすべてを消去し、削除し、再生や復元ができない状態にするものとします。この要求は理由によりまたは理由なく行われることがあり、この要求を受けた者は、それを拒否できないものとします。
(4) 本書を印刷した者は、CSA ジャパンからの文書（電子メールを含む）による要求があった場合には、その印刷物のすべてについて、シュレッダーその他の方法により、再利用不可能な形で処分するものとします。
４．

その他

その他、本書の利用等について本書の他の場所に記載された条件、制限事項および免責事
項は、すべてここに記載の制限事項と並行して順守されるべきものとします。本書および
この制限事項に記載のないことで、本書の利用に関して疑義が生じた場合は、CSA ジャパ
ンと利用者は誠意をもって話し合いの上、解決を図るものとします。
その他本件に関するお問合せは、info@cloudsecurityalliance.jp までお願いします。
本書執筆編集メンバー
井上 淳
面 和毅
釜山 公徳
森田 翔
※五十音順


変更履歴
日付

版数

2023 年 12 月 26 日

1.0

変更内容
初版発行

Copyright © 2022 Cloud Security Alliance Japan Chapter41. はじめにクラウドコンピューティングを意味する「クラウド」。このクラウドは日々使われる用語として市民権を得て、様々なビジネスシーンで登場するようになりました。クラウドの提供形態は様々で、利便性の高い多種多様なサービスが存在し、日々進化し続けています。
クラウドの利用者は増加し続けていますが、その一方でサイバーセキュリティインシデ
ントも増加し続けており、単純に利用者の増加に比例しているわけではありません。
なぜクラウドでセキュリティインシデントが増加するのか。それを紐解くためにはクラウドの利用形態とは何かを抑える必要があります。クラウドは、クラウドサービス事業者が自動化や標準化、共通化などを行って IT リソースを抽象化し、その抽象化された IT リ
ソースをサービスとして利用できるプロダクトを指します。クラウドサービスの提供形態
は、NIST SP 800-145 で IaaS、PaaS、SaaS の 3 つのサービスモデルとして定義されており 、 多 く の 場 合 は こ の 3 つ の サ ー ビ ス モ デ ル を 用 い て 責 任 共 有 モ デ ル(Shared
Responsibility Model)を定義し、クラウドサービス事業者と利用者との責任範囲を可視化します。しかし、この 3 つのサービスモデルは大まかな提供形態をモデル化しているだけに過ぎず、実際に提供されているクラウドサービスは個々のサービスによって責任範囲が異なり、クラウドサービス事業者間で同様のクラウドサービスでも責任範囲が異なることがあります。
クラウドは IT リソースが抽象化されたことにより簡便に利用可能になった一方で、多種多様の責任範囲が異なるサービスが公開されており、「誰が」、「どのように」、「何をすればよいか」も抽象化されているのが現状です。さらには、クラウドを安全かつ効果的に利用するためには様々なサービスを組み合わせるため、環境が複雑になって攻撃可能領域を作りやすく、セキュア・アーキテクティングの難度があがります。こういったクラウド利用の課題により、本来のクラウドのメリットが享受できず、設定ミス(Mis-Configuration)
によるリスクが生じ、このリスクをついた攻撃により多くの深刻な情報窃取が発生しております。
クラウドを安全に利用するためには、ネイティブサービスを含めた様々なセキュリティ
プロダクト、AWS Well-Architected Framework といったベストプラクティス集によるセキュア・アーキテクティング、SecOps を支援するソリューションがあります。本書でAWS Well-Architected Framework をより効果的に利用することにより、よりセキュアにする活動の一助になれれば幸甚です。
日本クラウドセキュリティアライアンス
クラウドセキュリティワーキンググループ リーダー
釜山 公徳

Copyright © 2022 Cloud Security Alliance Japan Chapter

5

2. 本書執筆における前提事項・留意事項
AWS 社による既存の評価、内容、改善計画に対し、それぞれの項目を実務の視点で捉え、現場で検討する可能性がある項目を挙げております。



本書は、ワーキンググループにて独自に解釈したものとし、正確性や網羅性の保証は無く、執筆者による粒度の相違があります。



本書の執筆は、2022 年末であるため、最新の AWS WellArchitected Framework とは一部相違がありますが、検討の視点としては有効です。

Copyright © 2022 Cloud Security Alliance Japan Chapter

6

3. AWS Well-Architected Framework セキュリティの柱
3.1. SEC1AWS における SEC1 の質問は以下が挙げられています。
質問

ワークロードの認証情報と認証をどのように管理していますか？

3.1.1. SEC1-1
評価、内容、改善計画について、AWS では以下が挙げられています。
評価アカウントを使用してワークロードを分ける

内容

会社のレポート構造をミラーリングするのではなく、機能または共通のコントロールセットに基づいて、ワークロードを別々のアカウントに整理し、アカウントをグループ化します。セキュリティとインフラス
トラクチャを念頭に置いて、ワークロードが増大するにつれて組織が共通のガードレールを設定できるよ
うにします。

改善計画

 AWS Organizations を使用する: AWS Organizations を使用し、複数の AWS アカウントにポリシーベースの管理を一元的に適用します。
 AWS Control Tower を検討する: AWS Control Tower では、ベストプラクティスに基づいて、新しいセキュアなマルチアカウントの AWS 環境を容易にセットアップおよび管理できます。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
ワークロードの定義

アタックサーフェス(攻撃可

検討の視点
・

・

能領域)の定義と可視化

ワークロードが何であ行動例
・

ワークロードの定義にるかの定義を具体的に関する要件定義書、設行っているか。

計書を確認する。

対象システムにおける

・

同上

・

「ワークロードの定

セキュリティポリシー
で、アタックサーフェ
スの定義、可視化を行っているか。

複数の AWS アカウント利・

AWS アカウントでそ用時におけるベストプラク

れぞれ何を行っている義」の行動例に加え、ティス適応かを把握し、俯瞰的に

AWS Trusted Advisor

管理できているか。

の Organization Viewを活用する。

アクセス権限付与の適切な設計

・

ワークロードに割り当・同上てられた AWS アカウ
ントへのアクセス権限
Copyright © 2022 Cloud Security Alliance Japan Chapter

7を付与する対象とそのルールを定義しているか。
3.1.2. SEC1-2
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

AWS アカウントのセキュリティを確保する

内容

たとえば、MFA を有効にしてルートユーザーの使用を制限したり、アカウントの連絡先を設定したりすることで、アカウントへのアクセスを保護します。

改善計画

 AWS Organizations を使用する: AWS Organizations を使用し、複数の AWS アカウントにポリシーベースの管理を一元的に適用します。
 AWS ルートユーザーの使用を制限する: 特定のルートユーザーを必要とするタスクについては、当該
ルートユーザーのみを使用します。
 ルートユーザーの MFA を有効にする: AWS Organizations がルートユーザーを管理していない場合
は、AWS アカウントのルートユーザーで MFA を有効にします。
 ルートユーザーパスワードを定期的に変更する: ルートユーザーのパスワードを変更することにより、
保 存 し た パ ス ワ ー ド が 使 用 で き る 状 態 と な っ て い る こ と に よ る リ ス ク が 軽 減 さ れ ま す 。AWS
Organizations を使用しておらず、あらゆるユーザーが物理的にアクセスできる場合に特に重要です。
 AWS アカウントのルートユーザーが使用された場合に通知を送信するようにする: 通知を受け取ることで、リスクは自動的に軽減されます。
 新しく追加されたリージョンへのアクセスを制限する: 新しい AWS リージョンについて、ユーザーやロールなどの IAM リソースは、有効にしたリージョンのみに伝播されます。
 CloudFormation StackSets について検討する: CloudFormation StackSets を使用すると、IAM ポリシー、ロール、グループなどのリソースをさまざまな AWS アカウントとリージョンに承認されたテンプレートからデプロイできます。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
AWS アカウントの権限につ

検討の視点
・

いて

AWS アカウントが大行動例
・設計書で明記する。

・AWS アカウントを利きな権限を有していることを明文化しているか。

AWS アカウントの使用制限

・

一部の管理者しか使用出来ないように制限し用できる要員を限定すているか、またはる。

AWS アカウントを使・用不可にしているか。

AWS アカウントを使用不可にする場合、パスワードが記載された媒体を物理的に金庫で
保管する。

・

リセラーとの契約によ

Copyright © 2022 Cloud Security Alliance Japan Chapter

8

り AWS アカウント自体を保有しない。
特権を有するアカウント認

・

証の多重化

MFA(Multi Factor

・Authentication : 多要

AWS IAM で MFA を有効化する。

素認証)を実装しているか。
MFA の選定・要件に応じてハードウ

・

業務用のスマートフォェアトークンかソフトンが存在し、かつ

ウェアトークンかを選

MDM といった端末を定しているか。

管理するソリューショ
ンがある場合はソフト
ウェアトークン。そうでない場合は、ハード
ウェアトークンを選定する。

MFA の冗長化

・

MFA の冗長化を検討

・

同左

・

同左

したか。
・

ソフトウェアトークンの場合、複数のアプリ
ケーションを利用することや、スマートフォン自体の冗長化を検討したか。

MFA のバックアップ(エク

・

スポート)

有事の際に備えて、
MFA のバックアップ(エクスポート)を定期的に行なっているか。

3.1.3. SEC1-3
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

管理目標を特定および検証する内容

脅威モデルから特定されたコンプライアンス要件とリスクに基づいて、ワークロードに適用する必要がある
管理目標および管理を導き出し、検証します。管理目標と管理を継続的に検証することは、リスク軽減の有効性を測定するのに役立ちます。

改善計画

 コンプライアンス要件を特定する: ワークロードが準拠する必要のある組織要件,法的要件,規制要件を確認します。
 AWS コンプライアンスリソースを確認する: コンプライアンスを支援するために使用できる AWS のリソースを特定します。

Copyright © 2022 Cloud Security Alliance Japan Chapter

9

CSA では、更に以下の評価ポイントを挙げます。
検討項目
業界の標準やベストプラク

検討の視点
・

ティスへの準拠の確認システムに応じた業界

行動例
・AWS Audit Managerの標準(クレジットカ

や AWS Security Hubードの場合、PCI DSS)などを使用して、継続

やベストプラクティス

的に評価する。

への準拠を確認し、要件に応じた適切なセキ
ュリティが実装されているか。
セキュリティリファレンス

・の参照

監査レポートの確認

・

当該システムに有用な・

CSA のセキュリティガ

セキュリティリファレ

イダンスや NIST

ンスを整理し、標準化

Cybersecurity

された情報を取り込ん

Framework を参照す

でいるか。

る。

監査レポートで AWS・AWS Artifact を使用しにおけるセキュリティて、対象コンプライアの評価を確認しているンスの監査レポートをか。

入手して確認する。

3.1.4. SEC1-4
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

セキュリティ脅威に関する最新情報を入手する

内容

最新のセキュリティ脅威を常に把握して攻撃ベクトルを認識し、適切な管理を定義して実装できるようにし
ます。

改善
計画

 脅威インテリジェンスソースを購読する: ワークロードで使用しているテクノロジーに関連する、複数のソースからの脅威インテリジェンス情報を定期的に確認します。
 AWS Shield Advanced サービスについて検討する: ワークロードがインターネットにアクセスできる場
合、インテリジェンスソースについてのほぼリアルタイムでの可視性を提供します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
継続的な脅威情報や脅威イ
ンテリジェンスの収集

検討の視点
・

情報とインテリジェン

行動例
・

６つの基本的なインテスの違いを理解していリジェンス(SIGINT、るか。OSINT を効果的

IMINT、MASINT、に行っているか。

HUMINT、OSINT、GEOINT)を踏まえた上

Copyright © 2022 Cloud Security Alliance Japan Chapter

10での OSINT の運用を設計する。
・

脅威インテリジェンスの専門企業から情報やインテリジェンスを収集する。

社外組織との情報共有

・自助、共助、公助の観・点に基づき、自組織における体制構築と他組

共助：所属する業界の団体との連携。

・

公助：監督省庁や警察織との連携による情報庁、NISC 等との連共有するスキームがあ携。

るか。
脅威インテリジェンスの活

・

用

・

脅威インテリジェンス

・

TLPT(Threat-Led

を自組織で作成する、Penetration Testing :もしくは脅威インテリ

脅威ベースのペネトレ

ジェンス事業者から提ーションテスト)で、供されているか。

脅威インテリジェンス

自組織で脅威インテリを活用する。

ジェンスを活用できる体制はあるか。
3.1.5. SEC1-5
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

セキュリティのレコメンデーションに関する更新情報を入手する

内容

AWS と業界の両方のセキュリティのレコメンデーションを常に最新に保ち、ワークロードのセキュリティ
体制を進化させます。

改善計画

 AWS の更新情報をフォローする: 新しいレコメンデーション、ヒント、コツをサブスクライブまたは定期的に確認します 業界ニュースを購読する: 複数のソースから、ワークロードで使用しているテクノロジーに関連するニュースフィードを定期的に確認します

CSA では、更に以下の評価ポイントを挙げます。
検討項目
AWS 社が公開する情報の収
集

検討の視点
・

AWS における複数の行動例
・AWS 社の公式情報(サ

情報源(AWS 社発信のービスアップデート情

公式情報、パートナー

報、ブログ)を確認す

企業による情報、ユーる。

ザーグループでの発・JAWS-UG(AWS Users

Copyright © 2022 Cloud Security Alliance Japan Chapter

11信)を活用しているGroup – Japan)といっか。

たユーザーグループに参加する。

セキュリティ関連テクノロ・ジーの情報収集

セキュリティ専門組織

・

CISA(Cybersecurity

による AWS や AWS に

and Infrastructure

関する情報を収集してSecurity Agency)からいるか。

専門的な情報を収集する。

業界団体や業界誌による情

・

報の収集

業界特有の情報を収集・しているか。

業界団体に所属し、当該業界におけるサイバ
ーセキュリティ情報を収集する。(金融であれば FISC や金融
ISAC)

3.1.6. SEC1-6
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

パイプラインのセキュリティコントロールのテストと検証を自動化する

内容

ビルド、パイプライン、プロセスの一環としてテストおよび検証されるセキュリティメカニズムの安全なベースラインとテンプレートを確立します。ツールとオートメーションを使用して、すべてのセキュリティコ
ントロールを継続的にテストおよび検証します。たとえば、マシンイメージやインフラストラクチャなどの項目をコードテンプレートとしてスキャンして、セキュリティの脆弱性、不規則性、およびドリフトを各ステージで確立されたベースラインから確認します。

改善計画

 設定管理を自動化する: 設定管理サービスやツールを使うことで、自動的に安全性の高い設定を適用および検証します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
ヒューマンエラーを極小化

検討の視点
・

するための施策

人手による作業を必要

行動例
・

自動化やパッケージ製

最小限に抑える施策が品の活用、AWS のネあるか。

イティブサービス(AWS Config など)を活用する。

自動化によるセキュリティ

・

コントロール

当該システムにおける

・

同上

・

規定類でリスク対応を

設定変更時の管理や検証などを自動で行なっているか。

ヒューマンエラーのリスク・

ヒューマンエラーが起

Copyright © 2022 Cloud Security Alliance Japan Chapter

12

対応

こり得る箇所で、事故発生を想定したリスク

整理する。
・

対応策を整理している

インシデント対応フローを整備する。

か。
合理的な CI/CD の実装

・

AWS のネイティブサ

・AWS のネイティブサービスや、OSS の活用

ービス： Code ファミを適材適所で検討してリー利用しているか。

・

OSS：Git、Jenkins,
Ansible, Maven、SonarQube

3.1.7. SEC1-7
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

脅威モデルを使用してリスクを特定し、優先順位を付ける

内容

脅威モデルを使用して潜在的な脅威を特定し、その登録を最新の状態に維持します。脅威に優先順位を付
け、セキュリティコントロールを調整して防止、検出、対応を行います。進化するセキュリティ環境の状況に応じてセキュリティコントロールを再確認および維持します。

改善 脅威モデルを作成する: 脅威モデルは、潜在的なセキュリティ脅威を特定して対処するのに役立ちます。

計画

CSA では、更に以下の評価ポイントを挙げます。
検討項目
脅威モデリングの実施

脅威の優先順位付け

検討の視点
・

・

脅威モデリングを自組

行動例
・

設計(Design)、分解

織で実施、または他組(Break)、修正(Fix)、

織による提供がある

検証(Verify)を経て脅か。

威モデリングを行う。

脅威モデルをベースにした脅威の優先順位付

・

規定類や設計書などで整理する。

けができているか。
3.1.8. SEC1-8
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

新しいセキュリティサービスと機能を定期的に評価および実装する

内容

AWS および APN パートナーは、ワークロードのセキュリティ体制を進化させることができる新しい機能とサービスを継続的にリリースしています。

改善計画

 定期的なレビューを計画する: コンプライアンス要件、AWS の新しいセキュリティ機能とセキュリティサ
ービスの評価、業界の最新ニュースの入手を含むレビューアクティビティのカレンダーを作成します。
 AWS のサービスと機能について調べる: 使用中のサービスで利用可能なセキュリティ機能について調べ、
新しい機能がリリースされた時には、それについて確認します。
 AWS のサービスの導入プロセスを定義する: 新しい AWS サービスの導入プロセスを定義します。新しいCopyright © 2022 Cloud Security Alliance Japan Chapter

13

AWS のサービスの機能とワークロードのコンプライアンス要件を評価する方法を含めます。
 新しいサービスと機能をテストする: 新しいサービスと機能がリリースされたら、本稼働環境に近いかた
ちで複製する本稼働環境ではない環境でテストします。
 その他の防御メカニズムを実装する: ワークロードを保護するための自動化されたメカニズムを実装し、利用可能なオプションを確認します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
継続的なセキュリティ機能

検討の視点
・

の評価

収集した情報に基づき、継続的にセ

行動例
・

同左

・

同左

・

同左

キュリティ機能に関する評価と実装を行なっているか。

定期的なサイバーレジリエ

・

ンスの評価

脆弱性評価、ペネトレーションテス
ト(レッドチーム演習を含む)を実施
しているか。

体制に関する実効性の評価

・

自組織で３ラインモデルを活用し、セキュリティに関する組織体制を整
備したか。

・

組織要件に応じて CSIRT、SOC、
CCoE、サイバーセキュリティ CoEが構成されているか。

・

継続的にセキュリティオペレーショ
ンの実効性を評価しているか。

3.2. SEC2
SEC2 の質問について、AWS では以下が挙げられています。
質問ユーザー ID とマシン ID はどのように管理したらよいでしょうか?

3.2.1. SEC2-1
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

強力なサインインメカニズムを使用する

内容

パスワードの最小長を適用し、一般的なパスワードやパスワードの再使用を避けるようにユーザーを教育します。ソフトウェアまたはハードウェアのメカニズムを使用した Multi-Factor Authentication (MFA) を義務化することで、セキュリティを強化できます。

改善 MFA サインインを強制する IAM ポリシーを作成する: ユーザーが [My Security Credentials] ページでロ計画

ールを引き受け、自分の認証情報を変更し、MFA デバイスを管理できるようにするものを除いて、すべての IAM アクションを禁止するカスタマー管理 IAM ポリシーを作成します。
 ID プロバイダーで MFA を有効にする: 使用する ID プロバイダーまたはシングルサインオンサービス(AWS Single Sign-On (SSO) など) で MFA を有効にします。
 強力なパスワードポリシーを設定する: IAM やフェデレーテッド ID システムで強力なパスワードポリシー

Copyright © 2022 Cloud Security Alliance Japan Chapter

14を設定し、総当たり攻撃から守ります。
 認証情報を定期的にローテーションする: ワークロードの管理者が、パスワードとアクセスキー (使用されている場合) を定期的に変更するようにします。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
特権 ID 管理

検討の視点
・

AWS アカウントのル

行動例
・ートユーザーなど、個人に紐づかずに高い権ルートユーザーは MFAを必須とする。

・

ルートユーザーの使用

限レベルを持つユーザ

は、IAM ユーザーの作ーについては一般のユ成など、必要な場合のーザーと異なる管理をみに限定する。

行っているか。
特権 ID 以外の ID 管理

・

パスワード侵害に対す・

パスワードポリシーのるリスクアセスメント

徹底や定期的なパスワを実施し、費用対効果

ード変更、従業員教育に応じて適切な認証強などの対策も併用して化方法を選択している

リスク低減を図る。

か。
不要な ID の削除

・

退職者や異動により職・不要になった ID は、要務を離れた従業員のユ件に応じて直ちに削除

ーザーアカウントによか無効化する。

るトラブル防止を考慮しているか。

・

定期的に ID の棚卸を実施する。

3.2.2. SEC2-2
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

一時的な認証情報を使用する

内容

一時的な認証情報を動的に取得するために ID を要求します。人員 ID の場合、AWS Single Sign-On、または IAM ロールによるフェデレーションを使用して AWS アカウントにアクセスします。マシン ID の場合、長期的なアクセスキーではなく IAM ロールの使用を要求します。

改善計画

 最小権限ポリシーを実装する: IAM グループおよびロールに最小権限のアクセスポリシーを割り当てて、定義したユーザーのロールまたは機能を反映します。
 必要でないアクセス許可を削除する: 不要なアクセス許可を削除して、最小権限を実装します。
 アクセス許可の境界を考慮する: アクセス許可の境界は、アイデンティティベースのポリシーが IAM エン
ティティに付与できるアクセス許可の上限を設定する管理ポリシーを使用するための高度な機能です。エンティティのアクセス許可の境界では、アイデンティティベースのポリシーとそのアクセス許可の境界の両方で許可されているアクションのみを実行できます。
 アクセス許可のリソースタグを検討する: タグを使用して、タグ付けをサポートする AWS リソースへのア
クセスを制御できます。また、IAM ユーザーとロールにタグ付けして、ユーザーがアクセスできる内容を制御することもできます。

Copyright © 2022 Cloud Security Alliance Japan Chapter

15

CSA では、更に以下の評価ポイントを挙げます。
検討項目
運用ルールの整理

運用の自動化

検討の視点
・・運用ルールを遵守する

行動例
・

組織外のメンバーに対ことにより、不要なア

し、一時的に特権を与クセス権限が残ってしえる場合の権限付与にまうリスクを考慮してついて、規定とフローいるか。

を文書にする。

権限付与をシステムで・権限付与の申請/承認

自動的に行うことで、をワークフロー等との人的ミスの防止やセキ連携によって自動化す

ュリティ監査への対応

る。

を図っているか。
不要権限の削除・

不要なアクセス許可を・削除しているか。

不要になった権限は、要件に応じて直ちに削除か無効化する。

・

定期的に権限の棚卸を実施する。

3.2.3. SEC2-3
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

シークレットを安全に保存して使用する

内容

サードパーティーアプリケーションへのパスワードなどのシークレットを必要とする人員 ID とマシンの IDについては、専門的なサービスの最新の業界標準を使用して自動ローテーションを使用して保存します。

改善 AWS Secrets Manager を使用する: AWS Secrets Manager は、機密情報の管理を容易にする AWS のサー計画

ビスです。シークレットとは、データベース認証情報、パスワード、サードパーティー API キー、任意のテキストなどです。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
管理下におけるシークレッ

検討の視点
・

トの明確化

保持するシークレット

行動例
・

システム間連携のため情報を網羅的に把握しにシステム上で保持すているか。

る必要があるシークレットを網羅的に把握し、定期変更などの運用を検討する。

シークレット管理方法の見直し・

クラウドで利用可能
な、より安全なシーク・

オンプレミスの資産をクラウドへ移行する場

Copyright © 2022 Cloud Security Alliance Japan Chapter

16レット管理方法を採用

合、設定ファイルなど

しているか。

に埋め込まれたシークレットをそのまま移行するのではなく、AWSSecrets Manager への移行を検討する。

3.2.4. SEC2-4
評価、内容、改善計画について、AWS では以下が挙げられています。
評価一元化された ID プロバイダーを利用する

内容

人員 ID の場合、一元化された場所で ID を管理できる ID プロバイダーを利用します。これにより、1 つの場所からアクセスを作成、管理、取り消すことができるため、アクセスの管理が容易になります。これにより、複数の認証情報の要件が軽減され、HR プロセスと統合する機会がもたらされます。

改善 管理アクセスを一元化する: IAM ID プロバイダーエンティティを作成して、AWS アカウントと ID プロバ

計画

イダー (IdP) の間に信頼関係を確立します。IAM は、OpenID Connect (OIDC) または SAML 2.0 (Security
Assertion Markup Language 2.0) と互換性のある IdP をサポートします。
 アプリケーションアクセスを一元化する: アプリケーションアクセスを一元化するために Amazon Cognitoを検討します。ユーザーのサインアップやサインイン、アクセスコントロールをモバイルアプリやウェブ
アプリに簡単に追加できます。Amazon Cognito は、数百万人のユーザーにスケールし、Facebook、
Google、Amazon などのソーシャル ID プロバイダー、SAML 2.0 を介したエンタープライズ ID プロバイダーによるサインインをサポートします。
 古い IAM ユーザーとグループを削除する: ID プロバイダー (IdP) の使用を開始したら、不要になった IAM
ユーザーとグループを削除します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
統合 ID 管理の導入に必要
な手段

検討の視点
・

統合 ID 管理の導入に

行動例
・

未統合状態のアプリケ

より HR プロセスとのーションが乱立してい連携など運用の自動化

る場合、手始めに組織を図っているか。

内の ID リソースや ID
体系の把握を行い、重要度の高いシステムから段階的に ID 統合を進める計画を立て、中長期的な取り組みによって組織内の ID 統合を進化させる。

3.2.5. SEC2-5
評価、内容、改善計画について、AWS では以下が挙げられています。
Copyright © 2022 Cloud Security Alliance Japan Chapter

17

評価

定期的に認証情報を監査およびローテーションする

内容

一時的な認証情報を利用できず、長期的な認証情報を必要とする場合、認証情報の監査を行い、定義されているコントロール (MFA など) が義務化されているか、定期的にローテーションされているか、アクセスレ
ベルが適切かどうかを確認します。

改善計画

 認証情報を定期的に監査する: 認証情報レポートと IAM Access Analyzer を使用して、IAM 認証情報とア
クセス許可を監査します。
 アクセスレベルを使用して IAM アクセス許可を確認する: AWS アカウントのセキュリティを向上させるには、各 IAM ポリシーを定期的に確認してモニタリングします。ポリシーが、必要なアクションのみを実行するために必要な最小権限を付与していることを確認します。
 IAM リソースの作成と更新の自動化を検討する: AWS CloudFormation を使用すると、テンプレートを検証してバージョンを管理できるため、ロールやポリシーを含む IAM リソースのデプロイを自動化して、人為的ミスを減らすことができます。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
CSPM 導入の検討

検討の視点
・

特に大規模組織におい行動例
・

改善計画の記載事項にて、CSPM の利用を検おいて、一律に統制を討しているか。

取ることが難しい場
合、組織の規模に応じて CSPM の導入を検討する。

3.2.6. SEC2-6
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

ユーザーグループと属性を活用する

内容

一般的なセキュリティ要件を持つユーザーを ID プロバイダーによって定義されたグループに配置し、アクセスコントロールに使用される可能性のあるユーザー属性 (部署や場所など) が正確で、最新の状態に保たれるようにするメカニズムを導入します。アクセスを制御するには、個々のユーザーではなくこれらのグループと属性を使用します。これにより、ユーザーのアクセスニーズが変化したときに多くの個別のポリシーを更新することなく、ユーザーのグループメンバーシップや属性を 1 回変更することで、アクセスを一元管理できます。

改善計画

 AWS Single Sign-On (SSO) を使用している場合は、グループを設定します。: AWS SSO では、ユーザーのグループを設定し、必要なレベルのアクセス許可をグループに割り当てることができます。
 属性ベースのアクセスコントロール (ABAC) について: 属性ベースのアクセスコントロール (ABAC) は、属性に基づいてアクセス許可を定義する認証戦略です。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
グループや属性の割り当て
の自動化

検討の視点
・

外部システムとの連携

行動例
・AWS のネイティブサ

による、グループや属ービスでの対応が難し

性の割り当ての自動化

い場合、

Copyright © 2022 Cloud Security Alliance Japan Chapter

18

を検討する。

IDaaS(Microsoft Entra
ID(旧 Azure Active
Directory)、Okta、
OneLogin など)との連携を検討する。

3.3. SEC3
SEC3 の質問について、AWS では以下が挙げられています。
質問

人とマシンのアクセス許可はどのように管理すればよいでしょうか?

3.3.1. SEC3-1
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

アクセス要件を定義する

内容

ワークロードの各コンポーネントまたはリソースには、管理者、エンドユーザー、またはその他のコンポーネントからアクセスする必要があります。各コンポーネントにアクセスできるユーザーや内容を明確に定義し、適切な ID タイプと認証および承認の方法を選択します。

改善 職務と責任に必要な権限を定義する: ユーザーの職務、ロール、または責任に基づいて、アクセスする必計画

要のあるリソースと適用される条件を定義します。共通の要件を持つユーザーをグループ化して、ポリシーの委任を容易にします。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
アクセス要件を定義した規

検討の視点
・

定類の整理

最小権限の原則に基づ

行動例
・

同左

・

同左

・

左記に加え、AWS IAM

き、誰が、何を、どのようにアクセス出来るかを整理した規定類の有無を整理する。

IAM ユーザーと利用者との・紐付け

インシデント発生時の追跡性を確保するため、1 つの IAM ユーザ
ーにつき 1 人を割り当てているか。 (1 つのIAM ユーザーを複数人で共有していないか)

共有アカウントの制限

・要件により、やむを得ず IAM ユーザーを共での利用状況を確認す

有せざるを得ない場る。

Copyright © 2022 Cloud Security Alliance Japan Chapter

19

合、IAM ユーザー利用
時に誰が、いつ、何を実施したかの監査証跡を残す仕組みはあるか。
3.3.2. SEC3-2
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

最小権限のアクセスを付与する

内容

特定の条件下で特定の AWS リソースに対する特定のアクションを行えるようにして、ID に必要なアクセスのみを付与します。グループと ID 属性を利用して、個々のユーザーのアクセス許可を定義するのではな
く、規模に応じてアクセス許可を動的に設定します。たとえば、開発者のグループに、扱うプロジェクトの
リソースのみを管理することを許可できます。これにより、開発者がグループから削除されると、アクセス
ポリシーに変更を加えることなく、そのグループがどこでアクセスコントロールに使用されたかを問わず、開発者のアクセスが取り消されます。

改善 最小権限ポリシーを実装する: IAM グループおよびロールに最小権限のアクセスポリシーを割り当てて、計画

定義したユーザーのロールまたは機能を反映します。
 必要でないアクセス許可を削除する: 不要なアクセス許可を削除して、最小権限を実装します。
 アクセス許可の境界を考慮する: アクセス許可の境界は、アイデンティティベースのポリシーが IAM エン
ティティに付与できるアクセス許可の上限を設定する管理ポリシーを使用するための高度な機能です。エンティティのアクセス許可の境界では、アイデンティティベースのポリシーとそのアクセス許可の境界の両方で許可されているアクションのみを実行できます。
 アクセス許可のリソースタグを検討する: タグを使用して、タグ付けをサポートする AWS リソースへのア
クセスを制御できます。また、IAM ユーザーとロールにタグ付けして、ユーザーがアクセスできる内容を制御することもできます。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
アクセス権限付与に関する

検討の視点
・

規定類

アクセス権限の付与は

行動例
・

同左

攻撃可能領域の拡大に繋がることを認識の上で規定類を整備しているか。
・

規定類で個別のサービ
ス単位で最小限のアクセス権限を付与するように明記されているか。

・

リスク分析に基づいたアクセス権限設定が定義されているか。

Copyright © 2022 Cloud Security Alliance Japan Chapter

20データクラシフィケーショ

・ン

IT 資産管理やインシデ

・

同左

・

同左

・

同左

ントレスポンスの効率化のため、リスクベー
スアプローチに基づ
き、データの識別や区分を行ったか。

タグの命名規則・タグの命名規則について、実用的かつ合理的に整理の上で、文書化できているか。

AWS IAM の管理者

・

AWS IAM 設定の運用
ルールやワークフローが定義されて、いつ誰が設定変更を実施したか追跡できるようになっているか。

3.3.3. SEC3-3
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

緊急アクセスのプロセスを確立する

内容

自動プロセスまたはパイプラインの問題が発生した場合に、ワークロードへの緊急アクセスを許可するプロ
セス。これにより、最小権限のアクセスを利用しながら、ユーザーは必要なときに適切なレベルのアクセスを取得できます。たとえば、管理者がリクエストを確認して承認するプロセスを確立します。

改善 事前プロビジョニング緊急アクセス: 信頼されたアカウント (セキュリティチームに使用されるアカウント計画など) から緊急アクセス用のロールを事前にプロビジョニングすると、すばやくアクセスを得ることができます。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
緊急アクセス実施時のプロ
セス

検討の視点
・

緊急アクセス用の

行動例
・

同左

AWS クロスアカウン
トロール、管理者が緊
急リクエストの検証と承認を行う際の特定のプロセスなどを要件に応じて整備しているか。

Copyright © 2022 Cloud Security Alliance Japan Chapter

21

・

緊急アクセスは通常時と緊急時の両方において運用上でリスクがあることを踏まえ、適切にプロセスを設計しているか。

・

緊急アクセスを実施する際の監査証跡はあるか。

緊急アクセス用のアカウン

・ト

緊急アクセス用のアカ・

同左

ウントを AWS アカウ
ント(ルートアカウン
ト)にしていないか。
・

IAM ポリシーを高権限のプリセットルール(AdministratorAccessなど)をそのまま使っていないか。

・

通常時に不正利用の有無の検証ができているか。

3.3.4. SEC3-4
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

アクセス許可を継続的に削減する

内容

チームとワークロードが必要とするアクセスを決定したら、不要になったアクセス許可を削除し、最小権限のアクセス許可を達成するためのレビュープロセスを確立します。未使用の ID とアクセス許可を継続的に
モニタリングし、削減します。

改善 IAM Access Analyzer を設定する: AWS IAM Access Analyzer は、組織内のリソースや外部エンティティ

計画と共有しているアカウント (Amazon S3 バケットや IAM ロールなど) を特定するのに役立ちます。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
継続的なアカウント権限の
見直し

検討の視点
・

アクセス権限とアカウ

行動例
・AWS IAM のサービス

ントの放置によるリスコンソールや IAM

クの顕在化を防止する

Access Analyzer でア

ため、定期的にアカウ

カウントの状況を把握

ント権限の見直しを行し、必要に応じて見直Copyright © 2022 Cloud Security Alliance Japan Chapter

22

っているか。
イベント発生前後でのアカ・ウントの取り扱い

アカウントの不正利用

す。
・

同上

を防止するため、退職、異動などのイベン
トが発生する際に、ア
クセス権限の削除やア
カウントそのものの削除を行なっているか。

3.3.5. SEC3-5
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

組織のアクセス許可ガードレールを定義する

内容

組織内のすべての ID へのアクセスを制限する共通コントロールを確立します。たとえば、特定の AWS リ
ージョンへのアクセスを制限したり、中央セキュリティチームが使用する IAM ロールなどの一般的なリソースをオペレーターが削除できないようにしたりできます。

改善計画

 すべての ID に適用される共通の制限を定義する: 特定の AWS リージョンへのアクセスに限定するなど、組織固有の要件に基づいて、AWS Organizations を使用して適用できる制限をいくつも作成します。
 AWS Control Tower を使用してガードレールを管理する: 特定の AWS リージョンへのアクセスに限定するなど、組織固有の要件に基づいて、AWS Organizations を使用して適用できる制限をいくつも作成します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
ガードレールの定義

検討の視点
・

当該組織におけるガー

行動例
・

同左

・

同左

ドレールの定義を明文化しているか。
・リージョンの法的要件やカントリーリスクを踏まえてアクセス権限を付与する範囲が定義されているか。

ガードレールの設計・

定義したアクセス権限の適用範囲と AWS
IAM、AWS
Organizations、Control Tower がそれぞれ意図した通りにマッピングされているか。

Copyright © 2022 Cloud Security Alliance Japan Chapter

23

・

IAM Permissions
Boundary によるアクセス境界設定を検討したか。

3.3.6. SEC3-6
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

ライフサイクルに基づいてアクセスを管理する

内容

アクセスコントロールをオペレーター、アプリケーションのライフサイクル、一元化されたフェデレーショ
ンプロバイダーと統合します。たとえば、ユーザーが組織を離れるとき、またはロールを変更するときに、ユーザーのアクセス権を削除するとします。

改善 ユーザーアクセスのライフサイクル: 新しいユーザーの参加、職務の変更、退職するユーザーに対するユ計画

ーザーアクセスライフサイクルポリシーを実装して、現在のユーザーのみがアクセスできるようにします。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
ライフサイクルに関するリ

検討の視点
・

スク分析

ライフサイクルによる行動例
・

従業員に対する辞令のセキュリティリスクを発令による転属や、従踏まえた上で、ユーザ業員が退職する際に、ーをコントロールして適切なアクセス権の付いるか。

与や削除を行わないことによるリスク評価を行う。

ライフサイクルイベントで・の内部不正の防止

退職予定者が退職する

・

同左

・

同左

までの間のアクセス権限の極小化や、アカウ
ントの削除を実施しているか。
・

証拠保全のためにユーザーの無効化と削除のタイミングをずらしているか。

ライフサイクル管理・

ライフサイクルイベン
トへの対応漏れを防止するために、定期的に棚卸しを実施しているか。

Copyright © 2022 Cloud Security Alliance Japan Chapter

243.3.7. SEC3-7
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

パブリックおよびクロスアカウントアクセスの分析

内容

パブリックおよびクロスアカウントアクセスに焦点を当てた結果を継続的にモニタリングします。パブリッ
クアクセスとクロスアカウントアクセスを減らして、このタイプのアクセスを必要とするリソースのみへのアクセスに限定します。

改善計画

 IAM Access Analyzer を設定する: AWS IAM Access Analyzer は、組織内のリソースや外部エンティティと共有しているアカウント (Amazon S3 バケットや IAM ロールなど) を特定するのに役立ちます。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
意図しないパブリックアク

検討の視点
・

セスのコントロール・

意図しないパブリック

行動例
・

S3 のサービスコンソ

アクセスの許可によールや 3rd party ツー

る、情報漏洩の可能性

ルを使用し、意図せずを認識するとともに、公開しているバケット対策を講じているか。

の有無を確認する。

IAM Access Analyzer

・

IAM Access Analyzer

を「誰が」
「いつ」実

を利用してアカウント

施するかを定義していを特定する。

るか。
3.3.8. SEC3-8
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

リソースを安全に共有する内容

アカウント間または AWS 組織内の共有リソースの消費を管理します。共有リソースをモニタリングし、共有リソースへのアクセスを確認します

改善計画

 AWS Resource Access Manager を使用する: AWS Resource Access Manager (RAM) は、AWS リソースを任意の AWS アカウント間または AWS 組織内で簡単かつ安全に共有できるサービスです。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
リソース共有のコントロー

検討の視点
・

ル

・

リソースの共有はリス

行動例
・AWS Resource Access

クが発生することを認Manager によるリソー

識した上で実施していスの可視化と共有を実

るか。

施する。

共有範囲を最小限にした上で成文化しているか。

Copyright © 2022 Cloud Security Alliance Japan Chapter

25

3.4. SEC4
SEC4 の質問について、AWS では以下が挙げられています。
質問

セキュリティイベントをどのように検出し、調査していますか？

3.4.1. SEC4-1
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

サービスとアプリケーションのログ記録を設定する

内容

アプリケーションログ、リソースログ、AWS のサービスログを含め、ワークロード
全体でログ記録を設定します。例えば、組織内のすべてのアカウントで AWS
CloudTrail、Amazon CloudWatch Logs、Amazon GuardDuty、AWS Security Hub が有効になっていることを確認します。

改善

 1.AWS のサービスのログ記録を有効にする:要求事項を遵守するため AWS のサービスのログ記録を有効に計画します。ログ記録機能には、VPC フローログ、ELB ログ、S3 バケットログ、CloudFront アクセスログ、
Route 53 クエリログ、Amazon RDS ログを含みます。
 2.オペレーティングシステムとアプリケーション固有のログ機能を評価して有効にする: オペレーティング
システムとアプリケーションごとのログ機能を評価して有効にし、不審な動作を検出します。
 3.ログに適切なコントロールを適用する:ログには機密情報が含まれている場合があるため、承認されたユーザーにのみログへのアクセス権を与えるようにします。S3 バケットと CloudWatch Logs のロググルー
プに対するアクセス権を制限することを検討します。
 4.Amazon GuardDuty を設定する: Amazon GuardDuty は脅威検出サービスです。悪意のある動作や不正な動作を継続的に検索し、AWS のアカウントとワークロードを保護できるようにします。GuardDuty を有効にし、ラボを使用して E メールの自動アラートを設定します。
 5.CloudTrail でカスタマイズされた証跡を設定する:証跡を設定するとデフォルトの期間よりも長くログを保存し、後で分析できます。
 6.AWS Config を有効にする:AWS Config は、AWS アカウントの AWS リソースの設定を詳細に表示します。このビューには、リソース間の関係と設定の履歴が含まれるため、時間の経過とともに設定と関係がどのように変わるかを確認できます。Lab:Automated Deployment of Detective Controls
 8.AWS Security Hub を有効にする:AWS Security Hub では、AWS のセキュリティ状態の包括的なビューが提供され、セキュリティ業界の標準とベストプラクティスへの準拠を確認するのに役立ちます。
Security Hub は、AWS アカウント、サービス、およびサポートされているサードパーティーのパートナ
ー製品からセキュリティデータを収集し、セキュリティの傾向を分析し、最も優先度の高いセキュリティ
問題を特定するのに役立ちます。

SEC4-1 では、Cloud(AWS)へのアクセス、アクティビティの把握および、インシデント
発生時に即座に調査が行えるように各情報を収集・整理することが重要であると定義されており、この目的を達成するためには、以下の検討も必要になると考えている。
SEC4-1：追加検討要素
検討項目
調査・分析要件の検討

検討の視点
・

行動例

どのようなケースを想・

利用環境の把握定した調査を行うかを・想定リスクの分析

Copyright © 2022 Cloud Security Alliance Japan Chapter

26調査・分析対象とする情報

・

の正規化

整理し、必要な情報の・

分析対象・目的の決定

特定から収集方法の検・調査要件の整理討を実施しているか。

・

情報収集方法の検討

・

情報集約要否の検討

・

同左

・

集めるべき資産情報の複数の情報を利用して調査を行う場合は、横断調査が行えるように情報の正規化を行っているか。

資産・リソース情報の収集・問題が発生したアセット（インスタンス）や精査

ユーザーを特定できる
ように資産情報を分析に利用できるようにしているか。
外部情報の活用・

内外通信の不審性を確・認するために脅威イン必要とする脅威情報の特性の理解

テリジェンス等外部情・入手先の検討報の活用を検討してい・・運用方法の検討るか。
3.4.2. SEC4-2
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

ログ、結果、メトリクスを一元的に分析する

内容

異常や不正なアクティビティの兆候を検出するため、すべてのログ、メトリクス、テレメトリーを一元的に収集し、自動的に分析する必要があります。ダッシュボードを使用すると、リアルタイムの状態に関する洞察に簡単にアクセスできます。例えば、Amazon GuardDuty と Security Hub のログがアラートと分析のためにあるロケーションに一元的に送信されるようにします。

改善 1.ログ処理機能を評価する:ログの処理に使用できるオプションを評価する

計画

 2.CloudTrail ログの分析の最初の作業として Amazon Athena をテストする
 3.AWS での集中ロギングを実装する:複数のソースからのログ記録を一元化する AWS のサンプルソリューション。
 4.パートナーで集中ロギングを実装する:APN パートナーは、ログを一元的に分析するためのソリューシ
ョンを提供しています。

SEC4-2 では、特性の異なる情報を横断的に分析調査できるようにし、アクセスイベン
トの総合的評価を行えるようにすることを重要としている。また、期待する結果を得るための情報の整理や分析方法の検討が前提として必要になると考える。

Copyright © 2022 Cloud Security Alliance Japan Chapter

27

SEC4-2：追加検討要素
検討項目

検討の視点

行動例

調査・分析要件の検討

・

SEC4-1 と同じ

・

SEC4-1 と同じ調査・分析対象とする

・

SEC4-1 と同じ

・

SEC4-1 と同じ・ログをどこにどのように・一元管理の方法の検討

集めるか検討している・保管期間の確認か。

・

一元管理時のビューや検情報の正規化
集約方法の検討

索方法の確認
出力結果の確認

・

結果がどのような形式で・ログの収集方法の確認

・

ソリューションの仕様確確認できるか。
・

結果を受けてどのような認・対応がとり得るかを事前に検討しているか。

結果および内容の確認方
法の検討・期待する結果に対する想定行動の検討運用ワークフローの検・討

迅速な調査を行うため、・運用体制の確保「A が発見された場合に B・運用者の役割決定を調査する」といったワ・運用方法の決定ークフローを整理しているか。
・※手順化ではない

3.4.3. SEC4-3
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

イベントへの応答を自動化する

内容

自動化を使用してイベントを調査および修正することで、人為的な労力やエラーが軽減され、調査機能をス
ケールできます。定期的なレビューは、自動化ツールを調整するのに役立ちます。継続して繰り返し行います。例えば、最初の調査ステップを自動化して Amazon GuardDuty イベントへの応答を自動化し、同様の作業を繰り返して、人間の労力を徐々に排除します。

改善

 Amazon GuardDuty で自動アラートを実装する: Amazon GuardDuty は脅威検出サービスです。悪意のあ計画る動作や不正な動作を継続的にモニタリングし、AWS のアカウントとワークロードを保護できるようにします。GuardDuty を有効にし、自動アラートを設定します。
 調査プロセスを自動化する: 時間を節約するため、イベントを調査して情報を管理者に報告する自動化されたプロセスを開発します。

SEC4-3 では、アラート（インシデント）発生時の対処をどのように行うべきか、如何にして迅速に行うか、その対応の必要性について記されている。
一口に自動化といってもどのように自動化するか、自動化することでどのような問題がCopyright © 2022 Cloud Security Alliance Japan Chapter28解決するかなどシステムに頼り切ったものではなく事前の計画が必要と考えられる。
SEC4-3：追加検討要素
検討項目

検討の視点

行動例

自動化実現に向けた・ 自組織内のサービス特性や・ どのような運用（ワークフ

セキュリティ運用を理解

ロー）を自動化すべきか検し、自動化可能な対応と不

討する。

計画

可能な対応を整理している・ 実現の可能性を検討するか。

・ 自動化メリットを検討

自動化に向けたイン・ 業務影響を考慮して自動化

シデントレスポンス

可能なインシデントレスポ

計画

ンスを計画する。

・ 自動化後の運用ワークフロ
ーを整理する。

3.4.4. SEC4-4
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

実用的なセキュリティイベントを実装する

内容

チームに送信され、チームによるアクションが可能なアラートを作成します。チームがアクションを実行するための関連情報がアラートに含まれていることを確認します。例えば、Amazon GuardDuty と AWS
Security Hub のアラートが、アクションを実行するためにチームに送信されたり、オートメーションフレームワークからのメッセージによってチームが通知される状態を保ちつつ、レスポンスオートメーションツ
ールに送信されたりするようにします。

改善計画

 AWS のサービスで利用可能なメトリクスを検出する: 使用しているサービスについて CloudWatch を通じて利用できるメトリクスを確認します。
 Amazon CloudWatch アラームを設定します: 。

SEC4-4 では、必要なアラート（セキュリティイベント）を設定し、チーム内で共有すると記されている。このアラートについて理想とする内容は意味のある情報を取得できることであると考える。アラートの量が多いと運用コストの増加や取りこぼしに繋がるため、ノイズとなる情報は極力減らすことが重要である。
SEC4-4：追加検討要素
検討項目

検討の視点

分析要件の検討・ どのような事象を確認すべき

行動例
・ リスク分析か、分析要件を事前に検討す・ 分析の目的決定る。

・ 分析環境の理解
・ 収集する情報の決定

インシデントレ
スポンス計画・ インシデントレスポンスに必要な情報を精査する。

・ どのような情報を元に IR を行うか検討

Copyright © 2022 Cloud Security Alliance Japan Chapter

29

運用改善

・ 意味のあるセキュリティイベン
トを発見するためのアラート等

・ 定期的な運用見直し
・ KPI の設定

を設定後も継続的に結果の見直しを行い、精度を高めるための取り組みを検討する。

3.5. SEC5
SEC5 の質問について、AWS では以下が挙げられています。
質問ネットワークリソースをどのように保護しますか?

3.5.1. SEC5-1
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

ネットワークレイヤーを作成する

内容

到達可能性要件をレイヤーに共有するコンポーネントをグループ化します。たとえば、インターネットアクセスを必要としない VPC 内のデータベースクラスターは、インターネットへのルート、またはインターネ
ットからのルートがないサブネットに配置する必要があります。VPC を使用せずに稼働するサーバーレス
ワークロードでは、マイクロサービスを使用した同様の階層化とセグメント化でも同じ目標を達成できま
す。

改善
計画

 VPC にサブネットを作成する: (複数のアベイラビリティーゾーンを含むグループで) 各レイヤーのサブネットを作成し、ルートテーブルを関連付けてルーティングを制御します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
攻撃可能領域の極小化

検討の視点

行動例

・ マイクロセグメンテー

・ ネットワーク概要図、ションによる適切な区

アーキテクチャ図、シ画の設計により、攻撃ステム設計書などを確可能領域の極小化と影認する。

響範囲の最小化を図っているか。
ネットワーク設計

・ セグメント単位でワー・ 同上

クロードを定義し、適切にワークロードを分離しているか。
・ パブリックサブネットの利用を最小限、もしくは全てをプライベー

Copyright © 2022 Cloud Security Alliance Japan Chapter

30トサブネットにしているか。
・ VPC 外と VPC 内のサービスを、要件に応じて適切に使い分けているか。
3.5.2. SEC5-2
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

すべてのレイヤーでトラフィックをコントロールする

内容

インバウンドトラフィックとアウトバウンドトラフィックの両方について、多層防御アプローチでコントロールを適用します。たとえば、Amazon Virtual Private Cloud (VPC) の場合、これにはセキュリティグルー
プ、ネットワーク ACL、サブネットが含まれます。AWS Lambda の場合は、VPC ベースのコントロールを使用してプライベート VPC で実行することを検討してください。

改善計画

 VPC 内のネットワークトラフィックを制御する: VPC ベストプラクティスを実装してトラフィックを制御する
 エッジでのトラフィックを制御する: Amazon CloudFront などのエッジサービスを実装して、追加の保護
レイヤーやその他の機能を提供します。
 プライベートネットワークトラフィックを制御する: ワークロードのプライベートトラフィックを保護するサービスを実装します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目

検討の視点

行動例

ネットワークレイヤーに応・ 仮想ファイアウォール

・ ネットワーク概要図、において、セキュリテ

アーキテクチャ図、シィグループとネットワ

ステム設計書などを確ーク ACL とで、ステー認する。

じたセキュリティ設計

ロケーションの特性を活かしたアーキテクチャ

トフルとステートレス

・ 当該システムを OSI 参の違いがあることを理照モデルに照らし合わ解した上で使い分けてせ、アタックベクター

いるか。

に対応したレイヤーの・ 要件に応じて、仮想フ

ファイアウォールを実ァイアウォール以外に装する。(例:Web アプ

ネットワークファイア

リケーション通信であウォールや WAF を実装

れば WAF を実装すしているか。

る。)

・ エッジロケーション、・ 同上

リージョン、AZ でのそれぞれのトラフィック

Copyright © 2022 Cloud Security Alliance Japan Chapter

31

と、要件に応じたセキ
ュリティ設計ができているか。
・ 静的 Web サイトを運営する場合、オリジンを秘匿しているか。
3.5.3. SEC5-3
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

ネットワーク保護を自動化する

内容

保護メカニズムを自動化し、脅威インテリジェンスと異常検出に基づく自己防御型ネットワークを提供します。たとえば、現在の脅威にプロアクティブに適応し、その影響を軽減できる侵入検知および防止ツールな
どです。

改善

 ウェブベースのトラフィックの保護を自動化する: AWS では、AWS CloudFormation を使用して、一般的

計画

なウェブベースの攻撃をフィルタリングするために設計された AWS WAF ルールセットを自動的にデプロイするソリューションを提供しています。ユーザーは、AWS WAF ウェブアクセスコントロールリスト (ウェブ ACL) に含まれるルールを定義する事前設定された保護機能から選択できます。
 APN パートナーソリューションを検討する: APN パートナーは、オンプレミス環境の既存のコントロールと同等、同一、またはそれらと統合される、業界をリードする多くの製品を提供しています。これらの製品は既存の AWS サービスを補完します。包括的なセキュリティアーキテクチャーをデプロイして、クラウド環境およびオンプレミス環境全体にさらにシームレスなエクスペリエンスを得ることができます。

CSA では、更に以下の評価ポイントを挙げます。
検討項目

検討の視点

行動例

アプリケーション層での防・ 要件に応じて WAF をネ・ ネイティブサービスを

イティブサービスか利用する場合、AWS

3rd パーティ製品かを

WAF(マネージドルール

選択しているか。

を含む) を実装する。

御・ ネイティブサービスを利用する場合、どのロ
ケーション(エッジ、パブリック)で動作させる
かを検討の上で選択しているか。
ネットワーク層での防御・ 要件に応じて IDS/IPS

・ ネイティブサービスをなどをネイティブサー

利用する場合、AWS

ビスか 3rd パーティ製

Network Firewall を実品かを検討の上で選択装する。

しているか。

Copyright © 2022 Cloud Security Alliance Japan Chapter

32ネットワークの自動遮断、
自動隔離

・ セキュリティ侵害が発・ ラテラルムーブメント

生する場合の被害拡大

による攻撃の拡大を抑抑止を想定している止するため、ネットワ

か。

ークの自動遮断を実装する。

3.5.4. SEC5-4
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

検査および保護を実装する

内容

各レイヤーでトラフィックを検査し、フィルタリングします。たとえば、ウェブアプリケーションファイア
ウォールを使用して、アプリケーションネットワークレイヤーでの意図しないアクセスから保護します。
Lambda 関数の場合、サードパーティーのツールは、アプリケーションレイヤーのファイアウォールをラン
タイム環境に追加できます。

改善 Amazon GuardDuty を設定する: Amazon GuardDuty は脅威検出サービスです。悪意のある動作や不正な計画

動作を継続的にモニタリングし、AWS のアカウントとワークロードを保護できるようにします。
GuardDuty を有効にし、自動アラートを設定します。
 VPC フローログを設定する: VPC フローログは、VPC のネットワークインターフェイス間を行き来する IP
トラフィックに関する情報をキャプチャできるようにする機能です。フローログデータは、Amazon
CloudWatch Logs および Amazon S3 に公開できます。フローログを作成した後、選択した送信先でデータを取得したり表示したりできます。
 VPC トラフィックのミラーリングを検討する: トラフィックミラーリングは、Amazon EC2 インスタンスの Elastic Network Interface からネットワークトラフィックをコピーし、コンテンツ検査、脅威のモニタ
リング、トラブルシューティングのために帯域外セキュリティおよびモニタリングアプライアンスに送信するために使用できる Amazon VPC の機能です。

CSA では、更に以下の評価ポイントを挙げます。
検討項目

検討の視点

不正アクセスのモニタリ
ングと追跡

・ VPC フローログ、

行動例
・ 同左

CloudWatch(Metrics/Logs)、
CloudTrail、Route 53 の利用とモニタリング設計を検討したか。

脅威検出サービス・ Amazon GuardDuty やサード

・ 同左

バーティ製品の利用を検討したか。
S3 のログ記録オプショ
ン

・ 「サーバーアクセスログを使・ 同左用したリクエストのログ記録」、「AWS CloudTrail を使用
した Amazon S3 API コールのログ記録サーバーアクセス

Copyright © 2022 Cloud Security Alliance Japan Chapter

33

ログ」を要件に応じて利用しているか。

3.6. SEC6
SEC6 の質問について、AWS では以下が挙げられています。
質問

コンピューティングリソースをどのように保護していますか?

3.6.1. SEC6-1
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

脆弱性管理を実行する

内容

コード、依存関係、インフラストラクチャ内の脆弱性のスキャンとパッチ適用を頻繁に実施し、新しい脅威から保護します。

改善

 Amazon Inspector を設定する: Amazon Inspector は、Amazon EC2 インスタンスのネットワークアクセ

計画

シビリティと、それらのインスタンスで実行されるアプリケーションのセキュリティ状態をテストします。Amazon Inspector は、アプリケーションの露出、脆弱性、ベストプラクティスからの逸脱を評価します。
 ソースコードをスキャンする: ライブラリや依存関係をスキャンして脆弱性に対応します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
パッチ管理

脆弱性管理

検討の視点

行動例

・ 脆弱性管理とパッチ管・ AWS Systems Manager

理が異なることを認識

Patch Manager と AWSしているか。

IAM、AWS

・ AWS Systems Manager

CloudTrail、Amazon

Patch Manager で OS

EventBridge と連携しとアプリケーションのて、イベント通知や使両方にパッチを適応で用状況の監査などを行きるが、公開する前にう。

パッチをテストしない・ パッチコンプライアン

ことを認識している

スレポートを生成すか。

る。

・ サードパーティーの脆・ Amazon Inspector や

弱性管理ソリューショ

AWS Trusted Advisor

ンの要否を検討したで脆弱性の有無を確認

か。

する。

・ 定期的にセキュリティ
パッチ適応以外の脆弱性の有無を確認していCopyright © 2022 Cloud Security Alliance Japan Chapter

34

るか。
セキュリティテスト

・ セキュリティテストを・ 同左

脆弱性診断、ペネトレ
ーションテスト、レッドチーム演習、TLPTなどに分類して特徴を把握しているか。その上で要件に応じて適切な手段を採用しているか。
・ Amazon Inspector のス
キャン対象は限定的であることを認識しているか。(EC2 と ECR)
コードスキャンツール

・ ソースコードの脆弱性

・ ネイティブサービスでをスキャンしている

あれば Amazon

か。

CodeGuru Reviewer、
OSS であればSonarQube などを利用する。

3.6.2. SEC6-2
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

攻撃領域を削減する

内容

オペレーティングシステムを強化し、使用するコンポーネント、ライブラリ、外部から利用可能なサービスを最小限に抑えることで、攻撃対象領域を縮小します。

改善計画

 オペレーティングシステムを強化する: ベストプラクティスを満たすようにオペレーティングシステムを設定します。
 コンテナ化されたリソースを強化する: セキュリティのベストプラクティスを満たすよう、コンテナ化されたリソースを設定します。
 AWS Lambda 関数を使用する際のベストプラクティス: AWS Lambda のベストプラクティスを実装する

CSA では、更に以下の評価ポイントを挙げます。
検討項目
責任共有モデルに基づく攻撃可能領域の把握

検討の視点
・ 責任共有モデルを基

行動例
・ Trusted Advisor によるに、サービスの抽象度

不要なオープンポート

を高くすることでクラの有無などの評価によ

ウド利用者における責り、攻撃可能領域の削Copyright © 2022 Cloud Security Alliance Japan Chapter

35任範囲と攻撃可能領域減を行う。

が削減されることを前提とし、要件に応じたサービス選定と、サービスの抽象度に合わせたセキュリティ設計を行っているか。
・ 利用するサービスの攻撃領域の把握と、実装
するセキュリティを定義し、最小権限の原則に基づく設計と設定を行っているか。
3.6.3. SEC6-3
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

マネージドサービスを活用する

内容

Amazon RDS、AWS Lambda、Amazon ECS などのリソースを管理するサービスを実装し、共有責任モデ
ルの一部としてのセキュリティメンテナンスタスクを減らします。

改善計画

 利用可能なサービスを調べる: Amazon RDS、AWS Lambda、Amazon ECS などのリソースを管理するサービスを調査、テスト、実装します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目

検討の視点

行動例

マネージドサービス活用に・ 選定するサービスの抽・ 該当するマネージドサ

象度を高くすることでービスにおける制限事

クラウド利用者におけ項や利用可能な機能をる責任範囲が縮小する

確認し、要件が制限事ことを前提に、抽象度項に該当するかを確認の高いマネージドサーする。

よる責任範囲の最小化

ビスを選定しているか。
・ 抽象度と自由度は反比
例するため、抽象度の高いサービスにおいては機能の概要レベルではなく、具体的な動作における制限事項やパ
Copyright © 2022 Cloud Security Alliance Japan Chapter

36ラメーターに関しても設計時点で把握しているか。
3.6.4. SEC6-4
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

コンピューティング保護を自動化する

内容

脆弱性管理、攻撃対象領域削減、リソース管理などのコンピューティング保護メカニズムを自動化します。

改善 設定管理を自動化する: 設定管理サービスやツールを使うことで、自動的に安全性の高い設定を適用およ計画

び検証します。
 EC2 インスタンスのパッチ適用を自動化する: AWS Systems Manager Patch Manager は、セキュリティ
関連および他のタイプの更新の両方を使用して、マネージドインスタンスにパッチを適用するプロセスを自動化します。Patch Manager を使用して、オペレーティングシステムとアプリケーションの両方にパッチを適用できます。
 侵入検知と防止ツールを実装する: 侵入検知と防止ツールを実装することで、インスタンス上の悪意のあるアクティビティをモニタリングし、停止できます。
 APN パートナーソリューションを検討する: APN パートナーは、オンプレミス環境の既存のコントロールと同等、同一、またはそれらと統合される、業界をリードする多くの製品を提供しています。これらの製品は既存の AWS サービスを補完します。包括的なセキュリティアーキテクチャーをデプロイして、クラウド環境およびオンプレミス環境全体にさらにシームレスなエクスペリエンスを得ることができます。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
パッチ適応

検討の視点

行動例

・ パッチ適応により攻撃

・ AWS Systems Manager

可能領域の削減に繋がPatch Manager を活用っていることを認識ししてパッチ適応を行

ているか。

う。

・ EC2 やオンプレミスのサーバーがある場合、迅速なパッチ適応と管理を行なっているか。
防御策の実装・ 環境に応じて WAF や・ WAF であれば AWS

IDS/IPS(ホスト型、ネWAF、IDS/IPS であれ

ットワーク型の両方)とば AWS Network

いったソリューション

Firewall を実装する。

を選定しているか。
セキュリティ侵害時の自動隔離・ 要件に応じて、セキュ・ 同左

リティ侵害時の EC2 イ
ンスタンスを自動隔離するといったソリュー
Copyright © 2022 Cloud Security Alliance Japan Chapter

37

ションを検討しているか。
3.6.5. SEC6-5
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

ユーザーが遠距離でアクションを実行できるようにする

内容

インタラクティブアクセスの機能を排除すると、人為的ミスのリスクが軽減され、設定や管理が手動で行われる可能性が低くなります。たとえば、変更管理ワークフローを使用して、Infrastructure as Code によって EC2 インスタンスをデプロイした後、直接アクセスや踏み台ホストを許可する代わりに、ツールを使用
して EC2 インスタンスを管理します。

改善計画

 コンソールアクセスを置き換える: インスタンスへのコンソールアクセス (SSH または RDP) を AWS
Systems Manager Run Command に置き換えて、管理タスクを自動化します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
IaC(Infrastructure as

検討の視点

行動例

・ インフラストラクチャ

・ AWS CloudFormation

Code)の導入をコードで定義するこや AWS OpsWorks を利とによって人為的ミス用する。

を削減し、有事の際の追跡性を向上させる。
管理タスクのリスク軽減

・ 管理コンソールへのア・ 要件に応じて、踏み台

クセスを必要最小限にサーバー経由、AWS

留めているか。

Systems Manager

・ 被管理インスタンスにSession Manager の利は直接アクセスしてい

用、AWS Systems

ないか。

Manager Run

・ 要件に応じて、予め、有事の際にアクセス権

Command の利用を検討する。

限を付与するフローの策定や、緊急アクセス用のアカウントを準備する。
3.6.6. SEC6-6
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

ソフトウェアの整合性を検証する

内容

ワークロードで使用されるソフトウェア、コード、ライブラリが信頼できるソースからのものであり、改ざんされていないことを検証するメカニズム (コード署名など) を実装します。

改善 メカニズムを調査する: コード署名は、ソフトウェアの整合性を検証するために使用できるメカニズムの 1

Copyright © 2022 Cloud Security Alliance Japan Chapter

38

計画

つです。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
コード署名

コードレビューの自動化

検討の視点

行動例

・ コードに変更がないこ・ AWS Lambda を利用しとや、信頼できる発行ている場合、AWS

元からのコードである

Signer によるコード署

ことを確認する。

名を行う。

・ 予めコードレビューを・ Amazon CodeGuru

自動化しておき、整合

Reviewer、Security

性の検証をする前のコ

Detector を活用する。

ード保守を行う。

3.7. SEC7
SEC7 の質問について、AWS では以下が挙げられています。
質問

どのようにデータを分類していますか?

3.7.1. SEC7-1
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

ワークロード内のデータを特定する

内容

これには、データのタイプと分類、関連するビジネスプロセス、データ所有者、該当する法的要件およびコ
ンプライアンス要件、データの保存場所、および結果として実行が必要な統制が含まれます。これには、データが一般公開されることを意図しているかどうか、データが顧客個人識別情報 (PII) などの内部使用のみ
かどうか、データが知的財産である、法的な秘匿特権がある、機密性が高いと特記されているなど、より制限されたアクセス用であるかどうかを示す分類が含まれます。

改善計画

 Amazon Macie を使用したデータの検出を検討する: Amazon Macie は、個人識別情報 (PII) や知的財産な
どの機密データを認識します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
法的要件の確認

検討の視点
・ 地域や業界に特化した

行動例
・ 同左

データ保存に関する法的要件を確認する。
3.7.2. SEC7-2
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

データ保護コントロールを定義する

内容

分類レベルに従ってデータを保護します。たとえば、関連するレコメンデーションを使用してパブリックと

Copyright © 2022 Cloud Security Alliance Japan Chapter39

して分類されたデータを保護すると同時に、追加のコントロールで機密データを保護します。
改善計画

 データの識別および分類スキーマを定義する: データの識別と分類は、保存するデータの潜在的な影響とタイプ、およびデータにアクセスできるユーザーを評価するために実行されます。
 利用可能な AWS のコントロールを確認する: 使用しようとしているか、使用を計画している AWS サービスについて、セキュリティコントロールを確認します。多くのサービスには、ドキュメントにセキュリティセクションがあります AWS コンプライアンスリソースを確認する: サポートに役立つ AWS のリソースを確認します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
データ配置

検討の視点

行動例

・ 機密情報に関するデー・ 個人情報など機密情報

タ配置の設計を行ってとして扱うべきデータいるか。

は極力分散させないよ
うに設計段階で考慮する

リージョン設計・ データの物理配置場所

・ 高可用性が求められると法的要件に注意すシステムにおいては、る。

データ分類に応じて、法的要件を満たしながら可用性を確保可能な
複数リージョンにまたがるネットワーク設計を行う。

長期保管データの扱い

・ 業界のコンプライアン

・ 同左

スに準じて機密情報の保持期間を設計しているか。
・ データを暗号化のみではセキュリティコント
ロールが不十分となるケースがあることを考慮しているか。
3.7.3. SEC7-3
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

識別および分類を自動化する

内容

データの識別と分類を自動化して、手動操作による人為的ミスのリスクを軽減します。

改善

 Amazon S3 インベントリを使用する: Amazon S3 インベントリは、オブジェクトのレプリケーションと暗計画

号化ステータスの監査とレポートに使用できるツールの 1 つです。

Copyright © 2022 Cloud Security Alliance Japan Chapter

40 Amazon Macie を検討する: Amazon Macie は、機械学習を使用して Amazon S3 内に保存されているデー
タを自動的に検出、分類、保護します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
データ配置

検討の視点
・ 機密情報に関するデー

行動例
・ 同左

タ配置の設計を行っているか。
・ 機密情報を過剰に分散して管理不能に陥っていないか。
・ データ所在地を把握しているか
・ データ所在地に応じた
コンプライアンスに対応しているか。
3.7.4. SEC7-4
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

データのライフサイクル管理を定義する

内容定義されるライフサイクル戦略は、機密性レベル、また法的および組織の要件に基づいている必要があります。データを保持する期間、データ破壊、データアクセス管理、データ変換、データ共有などの側面を考慮する必要があります。

改善計画

 データタイプを識別する: ワークロードに保存または処理するデータのタイプを特定します。そのデータ
は、テキスト、イメージ、バイナリデータベースなどです。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
データサイクルの定義

検討の視点

行動例

・ 各サイクルをコンプラ

・ CSA セキュリティガイ

イアンスや自組織の要

ダンスなどガイドライ

件に合わせて定義してンになる情報を参考にいるか。

しながら、自組織に合わせて定義する（生成/保存/利用/共有/アーカ
イブ/破棄など）

Copyright © 2022 Cloud Security Alliance Japan Chapter

41

3.8. SEC8
SEC8 の質問について、AWS では以下が挙げられています。
質問

保管時のデータをどのように保護していますか?

3.8.1. SEC8-1
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

安全なキー管理を実装する

内容

暗号化キーは、AWS KMS などのキー管理サービスを使用するなど、厳格なアクセスコントロールで安全に保存する必要があります。異なるキーを使用し、AWS IAM およびリソースポリシーと組み合わせて、デー
タ分類レベルと分離要件に合わせて、キーに対するアクセスコントロールを検討してください。

改善 AWS Key Management Service (AWS KMS) を実装する: AWS Key Management Service (AWS KMS) で計画

は、キーを作成および管理し、さまざまな AWS のサービスおよびアプリケーションで暗号化の使用を制御することを容易にします。AWS KMS は、FIPS 140-2 で検証されたハードウェアセキュリティモジュー
ルを使用してキーを保護する、安全で弾力性のあるサービスです。
 AWS Encryption SDK を検討する: アプリケーションでクライアント側でのデータ暗号化が必要な場合、
AWS KMS が統合された AWS Encryption SDK を使用します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
実装要件の検討

検討の視点

行動例

・ どの様なデータ分類レ・ データ分類レベルをまベルがあるのか、分離とめる。

要件にはどのようなも・ 分離要件を洗い出すのがあるのか、ケース・ 洗い出したレベル・要を想定しながら検討を件を取りまとめる

実施する。
実装の選択

・ 実装方法に対しての要件をまとめ整理する。

・ 厳格なアクセスコント
ロールの選択・ 鍵の操作履歴が取得できるものを選択する・ HSM も対象に含めて検討する。

3.8.2. SEC8-2
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

保管中に暗号化を適用する

内容

最新の標準やレコメンデーションに基づき、暗号化要件を適用することは、保管中のデータの保護に役立ちます。

改善 Amazon S3 の保管時の暗号化を強制する: S3 バケットのデフォルト暗号化を実装します。

計画

 AWS Secrets Manager を使用する: AWS Secrets Manager は、機密情報の管理を容易にする AWS のサー

Copyright © 2022 Cloud Security Alliance Japan Chapter

42ビスです。機密情報とは、データベース認証情報、パスワード、サードパーティー API キー、任意のテキストなどです。
 新しい EBS ボリュームのデフォルトの暗号化を設定する: 新しく作成したすべての EBS ボリュームを暗号化形式で作成することを指定します。AWS が提供するデフォルトキーを使用す>るか、作成したキーを使用するかを選択できます。
 暗号化された Amazon Machine Image (AMI) を設定する: 暗号化を有効化して既存の AMI をコピーすると、自動的にルートボリュームとスナップショットが暗号化されます。
 Amazon RDS の暗号化を設定する: 暗号化オプションを有効化して、保管中の Amazon RDS DB クラスターとスナップショットに対して暗号化を設定します。
 追加の AWS のサービスで暗号化を設定する: 使用する AWS のサービスについて、暗号化機能を特定します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
データ保護の選択

検討の視点
・

データ保護に対して要行動例・件をまとめ整理しているか。

データの暗号化の要／不要を洗い出す。

・

暗号化実施による速度
等パフォーマンスへの影響を確認する。

障害発生時の確認作業

・

データ保護機構でイン・暗号化鍵漏洩時に鍵をシデントが発生する場

変更した再度暗号化が合に検討すべき事項を可能か確認する。

整理する。

・

アルゴリズム危殆化時にアルゴリズムを変更した再暗号化が出来るか否かを確認する。

3.8.3. SEC8-3
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

保管時のデータの保護を自動化する

内容

自動化ツールを使用して保管中のデータの保護を継続的に検証し、提供します。たとえば、すべてのストレージリソースが暗号化されていることを確認します。

改善 すべての EBS ボリューム が AWS Config Rules を使用して暗号化されていることの検証を自動化できま

計画

す。AWS Security Hub は、セキュリティ標準に対する自動チェック機能を通じて、さまざまな制御を検証することもできます。さらに AWS Config Rules は、自動的に 非準拠のリソースを修復できます。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
データ保護の確認

検討の視点

行動例

定期的にデータが適切に保・データの暗号化の定期的護されているかを確認すな確認方法を調べておく

Copyright © 2022 Cloud Security Alliance Japan Chapter

43

る。

・データに不整合が生じていないかの定期的な確認方法を調べておく・使用されている暗号化ア
ルゴリズムの一覧を定期的に確認できるようなツール
を使用する

障害時復旧方法の確認

データ保護機構にてなんら・障害時にデータ復旧を行かの障害（鍵の漏えい等をう際の手順を確認する含む）が発生した場合に検討しなくてはならない箇所をまとめ整理する。
3.8.4. SEC8-4
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

アクセスコントロールを適用する

内容

最低限の権限によるアクセスコントロールや、バックアップ、分離、バージョニングなどのメカニズムを適用することは、保管中のデータの保護に役立ちます。オペレーターがデータへのパブリックアクセスを許可しないようにします。

改善計画

 アクセスコントロールを適用する: 暗号キーへのアクセスを含め、最小権限を用いたアクセスコントロー
ルを適用します。
 さまざまな分類レベルに基づいてデータを分離する: AWS Organizations によって管理されるデータ分類
レベルには、さまざまな AWS アカウントを使用します。
 AWS KMS ポリシーを確認する: AWS KMS ポリシーで付与されるアクセスのレベルを確認します。
 S3 バケットおよびオブジェクトに対するアクセス許可を確認する: Amazon S3 バケットのポリシーで付与されるアクセスのレベルを定期的に確認します。ベストプラクティスは、バケットを公開で読み取りまたは書き込み可能にしないことです。AWS Config を使用して公開されているバケットを検出し、Amazon
CloudFront を使用して Amazon S3 からコンテンツを提供することを検討します。
 Amazon S3 バージョニングとオブジェクトロックを有効にする
 Amazon S3 インベントリを使用する: Amazon S3 インベントリ Amazon S3 インベントリは、オブジェク
トのレプリケーションと暗号化ステータスの監査とレポートに使用できるツールの 1 つです。
 Amazon EBS と AMI の共有アクセス許可を確認する: 共有アクセス許可は、イメージとボリュームをワー
クロード外の AWS アカウントに共有することを可能にします。

CSA では、更に以下の評価ポイントを挙げます。
検討項目
アクセスコントロールの監査方法の検討検討の視点
・

定期的にアクセスコン

行動例
・

権限の侵害および変更

トロールが適切に行わ等がなかったかどうかれているかの監査方法を定期的に検査する監を検討しているか。

査方法を検討しておく。

Copyright © 2022 Cloud Security Alliance Japan Chapter

44

・

アカウントの作成時、権限の変更時などで成功した操作のログ・レポートが出力できるような監査方法を確認する。

・共有アクセス許可などの、アクセス許可を与えているボリュームやAWS アカウントを確認する方法を考慮する。

3.8.5. SEC8-5
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

人をデータから遠ざけるメカニズムを使用する

内容

通常の運用状況で、すべてのユーザーが機密データおよびシステムに直接アクセスできないようにします。
たとえば、クエリを実行するデータストアに直接アクセスする代わりにダッシュボードを提供します。
CI/CD パイプラインを使用しない場合は、通常無効になっている特権アクセスメカニズムを適切に提供するために必要な制御とプロセスを決定します。

改善計画

 人をデータから遠ざけるメカニズムを実装する: メカニズムには、Amazon QuickSight などのダッシュボードを使用して、直接クエリを実行する代わりにユーザーにデータを表示することが含まれます。
 設定管理を自動化する: 設定管理サービスまたはツールを使用して、リモートでアクションを実行し、安全な設定を自動的に適用および検証します。踏み台ホストを使用したり、EC2 インスタンスに直接アクセスしたりすることを回避します。
 通常の運用状況で、すべてのユーザーが機密データおよびシステムに直接アクセスできないようにします。たとえば、変更管理ワークフローを使用して、直接アクセスや踏み台ホストを許可する代わりに、ツールを使用して EC2 インスタンスを管理します。これは、タスクを実行する手順を含むオートメションド
キュメントを使用する AWS Systems Manager Automation を通じて 達成できます 。これらのドキュメン
トはソース管理に保存し、実行前にピアレビューを行い、シェルアクセスと比較してリスクを最小限に抑えるために徹底的にテストできます。ビジネスユーザーは、データストアに直接アクセスする代わりにダッシュボードを使用し、クエリを実行できます。CI/CD パイプラインを使用しない場合は、通常無効になっている特権アクセスメカニズムを適切に提供するために必要な制御とプロセスを決定します。

CSA では、更に以下の評価ポイントを挙げます。
検討項目

検討の視点

アクセス方法の限定化

・

通常の運用状況では機行動例
・

機密データやシステムに

密データやシステムにアクセスする必要のある

直接アクセスできない操作を予め確認しておようにし、ユーザーかく。

らのデータ入力の入口・必要なアクセス権を予めCopyright © 2022 Cloud Security Alliance Japan Chapter

45

を限定しているか。

全て洗い出しておく。
・

通常時はダッシュボード
等でのみアクセスが可能なようにユーザーのアクセス権を限定する。

・ダッシュボード使用時にも、アクセスしたアカウ
ントや時間等が操作ログに残るようにする。

・

機密データやシステムにアクセスする必要がある
場合には、抑止方法を考慮に入れた手順を作成しておく。

・

機密データやシステムにアクセスする場合には、アクセスしたユーザーや時間等が操作の許可／不許可を問わずログに残るようにする。

3.9. SEC9
SEC9 の質問について、AWS では以下が挙げられています。
質問

転送時のデータをどのように保護していますか?

3.9.1. SEC9-1
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

安全な鍵および証明書管理を実装する

内容

AWS Certificate Manager (ACM) などの証明書管理サービスを使用するなど、厳格なアクセスコントロール
を適用して、暗号化キーと証明書を安全に保管し、適切な時間間隔でローテーションします。

改善計画

 安全な鍵および証明書管理を実装する: 定義された安全なキーおよび証明書管理ソリューションを実装します。
 安全なプロトコルを実装する: 認証と機密性を提供する安全なプロトコル (Transport Layer Security (TLS)
や IPsec など) を使用し、データの改ざんや損失のリスクを軽減します。使用しているサービスに関連するプロトコルとセキュリティについては、AWS ドキュメントを参照してください。

CSA では、更に以下の評価ポイントを挙げます。
検討項目

検討の視点

行動例

Copyright © 2022 Cloud Security Alliance Japan Chapter

46

暗号化方法の選択

・それぞれの箇所で必要

・ 鍵及び証明書のローテとする暗号化の要件とーション間隔を検討

実装方法をまとめ整理

し、実装時にその間隔しているか。

が選択できることを確認する。
・ システム上の構成要素で必要とする暗号化の実装方法を簡潔に整理する。
・ 鍵や証明書の利用場所
を明瞭に管理する。

障害時の確認・

データ保護機構にてな・ 暗号化鍵や証明書が漏んらかの障害（鍵の漏洩時に対応すべき箇所

えい等を含む）が発生を確認する。

した場合に検討しなく・ アルゴリズム危殆化時てはならない箇所をまにアルゴリズムを変更とめ整理する。

した場合の影響を確認する。

3.9.2. SEC9-2
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

伝送中に暗号化を適用する

内容

組織的、法的、コンプライアンスの要件を満たすために、適切な基準とレコメンデーションに基づいて定義された暗号化要件を適用します。

改善 伝送中に暗号化を適用する: 定義された暗号化要件は、最新の標準とベストプラクティスに基づいて、安計画

全なプロトコルのみを許可するものである必要があります。たとえば、Application Load Balancer または
EC2 インスタンスには、HTTPS プロトコルを許可するセキュリティグループのみを設定します。
 エッジサービスで安全なプロトコルを設定する: Amazon CloudFront と必要な暗号で HTTPS を設定します。
 外部接続に VPN を使用する: ポイントツーポイント接続やネットワーク間接続を IPsec VPN で保護し、データのプライバシーと整合性の両方を提供することを検討してください。
 ロードバランサーで安全なプロトコルを設定する: ロードバランサーへの接続を保護するために、HTTPS
リスナーを有効にします。
 インスタンスで安全なプロトコルを設定する: インスタンスで HTTPS 暗号化を設定することを検討します。
 Amazon Relational Database Service (Amazon RDS) で安全なプロトコルを設定する: SSL/TLS を使用してデータベースインスタンスへの接続を暗号化します。
 Amazon Redshift で安全なプロトコルを設定する: SSL/TLS 接続を必須とするようにクラスターを設定します。
 その他の AWS のサービスで安全なプロトコルを設定する: 使用する AWS のサービスについて、転送中の暗号化機能を特定します。

Copyright © 2022 Cloud Security Alliance Japan Chapter

47

CSA では、更に以下の評価ポイントを挙げます。
検討項目

検討の視点

行動例

暗号化方法の選択

・

SEC9-1 と同じ

・

SEC9-1 と同じ障害時の確認・

SEC9-1 と同じ

・

SEC9-1 と同じ

3.9.3. SEC9-3
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

意図しないデータアクセスの検出を自動化する

内容

GuardDuty などのツールを使用して、データ分類レベルに基づいて定義された境界の外部にデータを移動する攻撃 (DNS プロトコルを使用して不明または信頼されないネットワークにデータをコピーするトロイの馬など) を自動検知します。

改善 意図しないデータアクセスの検出を自動化する: ツールまたは検出メカニズムを使用し、定義された境界

計画の外側にデータを移動する試みを自動的に検出します。たとえば、認識されていないホストにデータをコピーしているデータベースシステムを検出します。
 Amazon Macie を検討する: Amazon Macie では、データアクセスアクティビティの異常が継続的にモニタリングされ、不正アクセスの危険や不注意によるデータ漏えいが検出された場合には詳細なアラートが生成されます。

CSA では、更に以下の評価ポイントを挙げます。
検討項目

検討の視点

行動例

データ分類レベルに基づいデータ分類に基づいた境界てデータ境界を確定する。

を決定する。

不正アクセスモニタリング

不正アクセス検出等のモニ・不正アクセスを検出したの決定

タリングの詳細を決定す場合にアラートの通知方る。

法、例えばメールや SNS、

データ境界の決定

Slack 等での通知方法と通知先を決定する。
・アノマリー検知を使用する場合には、異常時に通常時との差異の詳細が通知されるようにしておく。
・不正アクセス検出後の処理フローにおいて、一次対応の範囲とエスカレーショ
ンルールを整備する。
3.9.4. SEC9-4
評価、内容、改善計画について、AWS では以下が挙げられています。
Copyright © 2022 Cloud Security Alliance Japan Chapter

48

評価

ネットワーク通信を認証する

内容

Transport Layer Security (TLS) や IPsec など、認証をサポートするプロトコルを使用して、通信の ID を検
証します。

改善

 安全なプロトコルを実装する: 認証と機密性を提供する安全なプロトコル (Transport Layer Security (TLS)

計画

や IPsec など) を使用し、データの改ざんや損失のリスクを軽減します。使用しているサービスに関連するプロトコルとセキュリティについては、AWS ドキュメントを参照してください。

CSA では、更に以下の評価ポイントを挙げます。
検討項目

検討の視点

行動例

暗号化方法の選択

・

SEC9-1 と同じ

・

SEC9-1 と同じ障害時の確認・

SEC9-1 と同じ

・

SEC9-1 と同じ

3.10. SEC10
SEC10 の質問について、AWS では以下が挙げられています。
質問

インシデントの予測、対応、復旧はどのように行いますか?

3.10.1. SEC10-1
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

重要な人員と外部リソースを特定する

内容

組織がインシデントに対応するのに役立てるため、社内外の担当者、リソース、法的義務を特定します。

改善

 組織内の主要な人員を特定する: インシデント対応と復旧に必要な組織内の人員の連絡先リストを保持し計画ます。
 外部パートナーを特定する: 必要に応じて、インシデント対応と復旧を支援できる外部パートナーと連携
します

SEC10-1 では、インシデント対応に関わる組織（人々）の確認、それぞれの役割を定義することが重要と定義されている。また人員配置に関しても IR プロセスが円滑に行えるよ
うな考慮を行う必要がある。
（適切な人、適切な人数、適切な体制を考える）
本 WG では当検討項目を一段掘り下げて検討してみる。
SEC10-1：追加検討要素
検討項目

検討の視点

関係者間の連携方法の確認

・

有事の際のコミュニケーシ

行動例
・

ョンやエスカレーションの方法を確認しているか。

各チーム（組織）の窓口を
設定する。

・

窓口への連絡方法を確認する。（日中/夜間）

・・各チーム（組織）内の役
割を明確にする。

Copyright © 2022 Cloud Security Alliance Japan Chapter49定期的なトレーニン・グ

定期的にインシデント対応

・

自組織のリスクに対応したの演習・訓練を実施していシナリオの検討を行い、机るか。

上/実地訓練を計画する。

※ 参加者は実際に対応を・行うものに限らず、イ関係各所とのコミュニケー
ション計画を計画する。

ンシデント対応に関係する人すべてを対象に検討することが望ましい。
外部組織との連携

・調査や対応において、自組

・・自組織内で対応できない

織内に対応リソースがない

内容を検討し、必要に応じ場合外部組織との連携を検た外部支援を検討する。

討する
3.10.2. SEC10-2
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

インシデント管理計画を作成する

内容

インシデントへの応答、インシデント時の伝達、インシデントからの復旧に役立つ計画を作成します。たとえば、ワークロードと組織にとって起こる可能性が最も高いシナリオで、インシデント応答計画を作成してみましょう。内部および外部に伝達およびエスカレーションする方法を含めます。

改善 利用可能なリソースを確認する: AWS および業界のリソースを使用できます。

計画

 インシデント対応プレイブックを策定する: わかりやすいプレイブックには、インシデントに対応して復旧するための手順が詳しく記述されている必要があります。
 エスカレーションおよびコミュニケーション計画を策定する: エスカレーションおよびコミュニケーショ
ンには、インシデント中の各ステージで連絡する必要がある組織内の人員と外部関係者が含まれている必要があります。
 外部広報計画を策定する: インシデントに関する情報をリリースするための広報計画を策定します

SEC10-2 では、SEC10-1 と同様の内容でありインシデント発生時に以下に迅速に行動できるかに焦点を当てている。
体制面の検討に加え、事前準備としてどこまで対応できるか次第で、インシデント発生時に迅速にことを運べるかが決まってくる。
SEC10-2：追加検討要素
検討項目
記録の管理

検討の視点
・

発生事象や記録の管理が行え

行動例
・るように準備しているか。

チケット管理システム等や対応記録システムを準備して運用方法を決定する。

KPI の設定

・

以下のインシデント対応にお・設定した KPI のチェックを行

Copyright © 2022 Cloud Security Alliance Japan Chapter50

ける KPI を検討しているか。

い、運用改善検討を定期的に➢行う。

サービスデスクで解決された割合（初回解決）➢

解決までの平均経過時間➢

インシデント処理の平均
コスト➢

総インシデント数に対する暫定対応の割合➢

合意済みの期間内に解決したインシデントの割合➢

重大なインシデントの数と割合

3.10.3. SEC10-3
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

フォレンジック機能を備える

内容

外部のスペシャリスト、ツール、オートメーションなど、適切なフォレンジック調査能力を特定し、準備し
ます。

改善
計画

 フォレンジック機能を確認する: 組織のフォレンジック調査機能、利用可能なツール、外部スペシャリス
トを調査します。

インシデント発生時に侵害の痕跡等、詳細調査が求められるケースがあるため、フォレ
ンジック調査が行えるように事前準備しておくことが重要
SEC10-3：追加検討要素
検討項目

検討の視点

専門業者との連携

・

有事の際に即座に調査

行動例
・

同左

・

例

が行えるように専門業者（外部機関）との連携を検討しているか。
・

迅速にインシデントレ
スポンスを行うために、データの受け渡し方法を整理している
か。

証跡の保管

・

フォレンジック調査を行う上での証跡（ロ➢

保管場所：S3グ）の保管方法を検討➢

アクセス権：セキュリ

Copyright © 2022 Cloud Security Alliance Japan Chapter

51

しているか。

ティチーム、フォレン
ジックベンダーのみがアクセス可能な領域➢想定される調査の検討

・

当該システムがフォレ

・

以下を整理し、要件に応じ

ンジック調査を実施すて実施の要否を決定する。

るか検討し、必要であ➢る場合に適切な方法をコンピュータフォレン
ジック➢

選択しているか。
・

保管期間：1 年間

適切な製品やサービス

モバイルデバイスフォ
レンジック

➢

を検討しているか。

ネットワークフォレン
ジック

3.10.4. SEC10-4
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

封じ込め機能を自動化する

内容

インシデントの封じ込めおよび復旧を自動化し、対応時間を短縮するとともに組織的影響を軽減します。

改善

 封じ込め機能を自動化する

計画

インシデント対応の重要なファクターとして、如何に迅速に被害を極小化できるかが挙げられる。その手段の一つとしてレスポンスのオートメーション化を行うことが被害の極小化につながる場合がある。ただしオートメーション化は現状正しく運用フローが整備されていることが条件となるため、自組織でどのような方法が適切かを理解して検討する必要がある。
SEC10-4：追加検討要素
検討項目
レ スポンス 自動検討の視点・化の範囲の検討・自動化には様々な方法があ

行動例
・要件に応じて次の防止措置をることを認識し、自組織に採用する。

最適な方法を選択している

➢

通信遮断

か。

➢

悪意あるプロセス・サー

インシデント発生時、どのビスの停止ように対応しているかを精➢

論理抜線/論理隔離

査し、運用フローの再確認

➢

パッチ適応

を行い、自動化の検討を行➢侵害されたインスタンスっているか。

の自動リビルド（ロール

Copyright © 2022 Cloud Security Alliance Japan Chapter

52

バック）
3.10.5. SEC10-5
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

アクセスを事前プロビジョニングする

内容

インシデント応答者が AWS に事前プロビジョニングされた正しいアクセス権を持っていることを確認しておき、調査から復旧までの時間を短縮します。

改善 アクセスを事前プロビジョニングする: セキュリティ担当者がインシデントに適切に対応できるように、

計画

セキュリティ担当者に AWS への適切なアクセス権が事前に設定されていることを確認します。

運用においては職務分掌の考え方は重要となるが、これはインシデント対応でも同じである。対応時に役割に応じた権限がない場合、対応の遅れへとつながる場合があるため、適切な人に適切な権限を与えられるように事前にアクセス権等の設定は適切に行っておく必要がある。
SEC10-5：追加検討要素
検討項目
職務分掌によるコントロール

検討の視点
・

部門ないし個人のそれぞれが

行動例
・

同左

・

同左

担当する仕事の内容や権限、責任の範囲を簡潔・明確に定義しているか。
アカウントにおけるアクセス権の整備

・利用システムに対して、インシデントレスポンダーに必要な権限を精査し、適切に付与しているか。

3.10.6. SEC10-6
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

ツールを事前デプロイする

内容

復旧までの調査時間を短縮できるように、セキュリティ担当者は適切なツールを AWS に事前にデプロイしておきます。

改善計画

 ツールを事前デプロイする: セキュリティ担当者がインシデントに適切に対応できるように、セキュリテ
ィ担当者に適切なツールが AWS で事前デプロイされていることを確認します。
 リソースのタグ付けを実施する: インシデント時にリソースを特定できるように、調査対象のリソースのコードなどの情報をリソースにタグ付けします。

インシデント対応において、必要と考えられるツールを事前に準備し、またまた影響のあるリソースを即座に特定できるようにする。

Copyright © 2022 Cloud Security Alliance Japan Chapter

53

SEC10-6：追加検討要素
検討項目

検討の視点

運用ワークフローの整備

・

インシデントレスポンスにお行動例・

インシデント対応にけるプロセスのワークフロー

おいて、誰がどのよを定義し、必要なツールを事うな手段で何をする

前に準備しているか。

か、想定する事象は何かをシミュレーシ
ョンし、必要なツー
ル類を整備する。

分析要件の検討

・

SEC4-1 と同様

・同左

資産・リソース情報の収・SEC4-1 と同様

・同左

外部情報の活用・

SEC4-1 と同様

・

同左

調査・分析対象とする情・SEC4-1 と同様

・

同左

集

報の正規化を行う
3.10.7. SEC10-7
評価、内容、改善計画について、AWS では以下が挙げられています。
評価

ゲームデーを実施する

内容

インシデント対応ゲームデー (シミュレーション) で定期的に訓練し、そこで得られた教訓をインシデント
管理計画に組み込み、継続的に改善します。

改善 ゲームデーを実施する: さまざまな脅威について、インシデント対応イベントのシミュレーション (ゲーム計画

デー) を実施します。このゲームデーには、主要なスタッフや管理者を参加させてください。
 教訓から学ぶ: ゲームデーの実行から得られた教訓は、プロセスを改善するためのフィードバックに含まれている必要があります。

事前にインシデント対応訓練を実施し、いざという時に迅速に動けるようにすることが重要である。
SEC10-7：追加検討要素
検討項目

検討の視点

定期的なトレー

行動例

・

SEC10-1 と同じ

・

同左

・

演習・訓練のフィードバックを受・

演 習 ・ 訓 練 に お ける

ニング
演習・訓練の振り返りけ、対応計画を練る。必要に応じて課 題 の 抽 出 が 重 要とセキュリティ施策の input としてもな る た め 、 参 加 者で活用することが望ましい。

振 り 返 り の 機 会 を設
け 、 見 直 し に 向 けた

Copyright © 2022 Cloud Security Alliance Japan Chapter

54

計画を検討する。
外部演習等の検討・

自組織内では難しい演習・訓練（複・セ キ ュ リ テ ィ 企 業が雑な環境を準備した高度な訓練）は

開 催 し て い る 講 義や

外部演習などに参加する。

サ イ バ ー 演 習 を 活用する。

Copyright © 2022 Cloud Security Alliance Japan Chapter

55

4. 参考・引用文献
AWS Well-Architected Framework・

https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/framework/welcome.html

Copyright © 2022 Cloud Security Alliance Japan Chapter

56