情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及
佐古 伸晃
株式会社野村総合研究所
品質監理本部
情報セキュリティ部
2023年2月17日

01

はじめに

02

クラウドセキュリティ

03

NRIにおける社内普及の取組

04

まとめ

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

1

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

自己紹介◼野村総合研究所(NRI)

情報セキュリティ部

佐古伸晃(SAKO Nobuaki)⚫ 経歴：金融・通信系インフラエンジニア→セールス・サービス企画→セキュリティ⚫ 職務：オフィスセキュリティ担当グループマネージャー• 社内OA系セキュリティ（社内システム・メール・インターネット・プロキシ）• 社内NWセキュリティ（社内LAN・無線）• 物理セキュリティ（端末・拠点・入退館）• 委託先セキュリティ• クラウドセキュリティ（社内からのクラウドサービス利用）➢ クラウドサービス・クラウドネイティブ関連技術をいかに安全に使うか• 共通ガイドライン：IaaS / PaaS / SaaS 全般• 個別ガイドライン：AWS / Azure / Google Cloud (GCP) / OCI / Alibaba Cloud 向けの詳細版• Docker / Kubernetes、バージョン管理(GitHubなど)➢ 発表内容はNRIでの取り組みであり、汎用的ではないかもしれませんが、何かのお役に立てたら幸いです
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

2

01

はじめに

02

クラウドセキュリティ

03

NRIにおける社内普及の取組

04

まとめ

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

3

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

そもそもセキュリティとは◼セキュリティ【security】⚫ 個人の安全、建物・施設の防犯、国家の安全保証、財産の担保・有価証券など、価値ある資産を守ること⚫ 情報を第三者からの侵入、攻撃、漏洩、改竄といった不正利用から阻止し、機密性や安全性を保持すること◼ISO/IEC 27002 ISMS(情報セキュリティマネジメントシステム) での定義
⚫ 情報セキュリティ(Information Security)とは、情報の以下を維持すること(基本の三特性)• 機密性 (Confidentiality)：許可されたものだけがアクセスできること、盗聴されないこと• 完全性 (Integrity)：正しい状態で保持されていること、改竄されないこと• 可用性 (Availability)：いつでも安全にアクセスできること、万一に備えバックアップすること⚫ 更に、情報に以下のような特性を含めることができること(追加の四特性)• 真正性 (Authenticity)：対象が本当にその人・ものであること、認証すること• 責任追跡性 (Accountability)：起きたことや原因を追跡できること、ロギングすること• 否認防止 (Non-Repudiation)：後からなかったことにはできないこと、署名などで保護すること• 信頼性 (Reliability)：安定して期待される役割を果たすこと、冗長化すること
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

4情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

脅威とは◼セキュリティは、次の三要素が存在する場合に必要になる⚫ 守るべき資産⚫ それを脅かす脅威⚫ 脅威が突いてくる脆弱性➢ Information Technology(IT) 企業・システム・エンジニアが扱い、守るべき資産は、情報である◼「脅威」とは？
⚫ リスクを発生させる要因のこと。（情報セキュリティ用語辞典）⚫ 脅威にはおよそ心理学，生態学，国際関係の三つの側面がある。まず心理学的には，個人の心理的な安定や統合をおびやかすような人や物，あるいは状態が存在することをいう。たとえば，親の愛情を失う，もしくは失うのではないか，という子どもの不安や〈おびえ〉などは，脅威の一例である。脅威は外在的な事象から生まれることが多いが，〈現実〉の脅威と〈知覚された〉脅威とを区別して考えねばならない。現実に存在する脅威
が，つねに正確に知覚されるとは限らないからである。（世界大百科事典 第２版）
➢ 脅威を想定し、対策を取って、リスクコントロールをする必要がある

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

5情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

IPAの「情報セキュリティ10大脅威 2023」◼2022年に発生したセキュリティ事故や攻撃の状況などから脅威を選出し、投票により順位付け⚫ 個人では、10位に「ワンクリック請求等の不当請求による金銭被害」が2018年以来のランクイン、他は同じ傾向⚫ 組織では、10位に「犯罪のビジネス化（アンダーグラウンドサービス）」が2018年以来のランクイン、他は同じ傾向
前年順位

個人

順位

組織

前年順位

1位

フィッシングによる個人情報等の詐取

1位

ランサムウェアによる被害

1位

2位

ネット上の誹謗・中傷・デマ

2位

サプライチェーンの弱点を悪用した攻撃

3位

3位

メールやSMS等を使った脅迫・詐欺の手口による金銭要求

3位

標的型攻撃による機密情報の窃取

2位

4位

クレジットカード情報の不正利用

4位

内部不正による情報漏えい

5位

5位

スマホ決済の不正利用

5位

テレワーク等のニューノーマルな働き方を狙った攻撃

4位

7位

不正アプリによるスマートフォン利用者への被害6位

修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）

7位

6位

偽警告によるインターネット詐欺

7位

ビジネスメール詐欺による金銭被害

8位

8位

インターネット上のサービスからの個人情報の窃取

8位

脆弱性対策情報の公開に伴う悪用増加

6位

10位

インターネット上のサービスへの不正ログイン

9位

不注意による情報漏えい等の被害

10位

圏外

ワンクリック請求等の不当請求による金銭被害

10位

犯罪のビジネス化（アンダーグラウンドサービス）圏外

9位

インターネットバンキングの不正利用

圏外

予期せぬIT基盤の障害に伴う業務停止

9位➢ 前回調査時、技術者300人の内83％がクラウドの設定ミスに関連するデータ侵害に対して脆弱であることを懸念
出典：情報セキュリティ10大脅威 2023 | IPA

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

6情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

OWASPの「OWASP Top 10」◼Open Web Application Security Project（OWASP）が公開する脆弱性上位10項目⚫ 個別の脆弱性から大きな枠組みへ観点が変化（システム構築の方法・手段が多様化し抽象化）⚫ コンポーネントの活用に伴ったリスクの変化（クラウドのアクセス設定ミス、Log4Jライブラリ脆弱性）⚫ 構造の複雑化で増えるサーバサイドリクエストフォージェリ（マイクロサービス化で内部通信が多い）➢ 脅威は毎年変化するので、常に脅威のトレンドを意識して対策を検討する必要がある
OWASP TOP 10＜2017＞

OWASP TOP 10＜2021＞

前回順位

A01

インジェクションA01

アクセス制御の不備

5位

A02

認証の不備

A02

不適切な暗号化

3位

A03

機微な情報の露出

A03

インジェクション

1位

A04

XML外部エンティティ参照（XXE）

A04

安全が確認されない不安な設計

NEW

A05

アクセス制御の不備

A05

不適切なセキュリティ設計

6位

A06

不適切なセキュリティ設定

A06

脆弱で古いコンポーネント

9位

A07

クロスサイトスクリプティング（XSS）

A07

識別と認証の不備

2位

A08

安全でないデシアライゼーション

A08

ソフトウェアとデータの整合性の不備

NEW

A09

既知の脆弱性であるコンポーネントの使用

A09

セキュリティログとモニタリングの不備

10位

A10

不十分なロギングとモニタリング

A10

サーバサイドリクエストフォージェリ（SSRF）

NEW

出典：OWASP TOP10から知る脆弱性トレンドと対応 | UBsecure

https://owasp.org/www-project-top-ten/

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

7情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及脆弱性があることを知る◼CVE(共通脆弱性識別子)⚫ MITRE社が管理する一般公開されているセキュリティ脆弱性のリスト⚫ 世界中のITベンダー、セキュリティ企業、リサーチ組織がCVE採番機関(CNA)として登録、報告➢ このリストや通知情報から、自組織の利用するプロダクトに該当する脆弱性を特定、対策を検討

出典：MITRE | CVE Details

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

8情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

CSAの「クラウドコンピューティングの重大脅威 – パンデミックイレブン」◼Cloud Security Alliance（CSA）が数年に１回公開しているクラウドの11の脅威⚫ クラウドプロバイダ起因のランキングが下がり続け、利用者起因のものが増えている⚫ システムとして堅牢なクラウドは、人間のオペレーションが弱点（管理不備や設定ミス、戻し忘れなど）➢ クラウドそのものへの懸念は少なくなってきているため、現在のCSAはクラウド技術の実装により焦点を当てる
1. 不十分なアイデンティティ、クレデンシャルおよびアクセスと鍵の管理、ならびに特権アカウント
2. セキュアでないインターフェースやAPI
3. 設定ミスと不適切な変更管理
4. クラウドセキュリティのアーキテクチャと戦略の欠如
5. セキュアでないソフトウェア開発
6. セキュアでないサードパーティーのリソース
7. システムの脆弱性
8. 予想外のクラウドデータ公開
9. サーバレスやコンテナワークロードの構成ミスやエクスプロイト
10. 組織的な犯罪、 ハッカーとAPT
11. クラウドストレージデータ流出
出典：クラウドコンピューティングの重大脅威 パンデミックイレブン 2022 | CSA Japan

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

9情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

MITREの「MITRE ATT&CK®」◼MITRE ATT&CK®(マイター・アタック: Adversarial Tactics, Techniques, and Common Knowledge)⚫ MITRE社の管理する、現実の観測に基づく、敵対戦術とテクニック(脅威)のナレッジベース⚫ 偵察、初期アクセス、実行、永続化、権限昇格、探索など14プロセスで、どのような事が行われるかパターン化➢ 敵対者の戦術とテクニックを知ることで、どのような脅威に対策をとるか想定し、具体的な対策に落とし込む

偵察(Reconnaissance)
攻撃資源開発(Resource Development)
水平展開(Lateral Movement)

初期アクセス(Initial Access)

実行(Execution)

収集(Collection)

永続化(Persistence)
権限昇格(Privilege Escalation)
防衛回避(Defense Evasion)

出典：MITRE ATT&CK | MITRE

コマンドと制御(Command and Control)
認証情報(Credential Access)
探索(Discovery)

持出(Exfiltration)
影響(Impact)

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

10情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

MITRE ATT&CK IaaS Matrix (公式IaaS抜粋版)
初期アクセス(Initial Access)• 公開アプリケーションの悪用• 信頼関係のある組織の悪用• クラウドアカウントの窃取実行(Execution)• ユーザーの誤操作誘発

永続化(Persistence)• アカウントの操作、作成• マシンイメージへの埋め込み• クラウドアカウントの窃取権限昇格(Privilege Escalation)• クラウドアカウントの窃取防衛回避(Defense Evasion)• FWの無効化、ログの消去• クラウドインフラの変更• 未使用リージョンの利用• 代替認証情報の利用
出典：IaaS Matrix | MITRE ATT&CK®

• クラウドアカウントの窃取水平展開(Lateral Movement)

認証情報(Credential Access)• 代替認証情報の利用• ブルートフォース• Web認証情報の偽造• 多要素認証リクエストの発行• ネットワークフィッシング
• 保護されていない認証情報

探索(Discovery)• クラウドアカウントの探索• クラウドインフラ、サービス、オブジェ
クトストレージ、ネットワークの検出• ネットワークスニッフィング• ソフトウェアの特定• 管理コンソールへのアクセス• 管理用アクセス経路の特定• パスワードポリシー、権限の特定収集(Collection)• 自動収集• リポジトリデータの窃取• オブジェクトストレージの窃取• ステージング環境へのコピー

持出(Exfiltration)• 他アカウントへデータ移送

影響(Impact)• データの破壊• データの暗号化（ランサム）• データの改ざん• エンドポイントサービスの拒否• ネットワークサービスの拒否• リソースの不正利用➢ 攻撃者はアカウントをなんとか窃取しようとする
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

11

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

クラウドセキュリティの考え方◼オンプレミスとクラウドでも、守るべき資産(情報)は変わらない。
◼その管理主体・アクセス経路・外部接続点の違いから、脅威と脆弱性は異なってくる。
⚫ オンプレミス• 利用者が管理し、物理的に閉じたネットワークでアクセスが限定され、外部接続点は専任チームで統制されることが多い。

• 物理ネットワーク内にいる者はなりすましが困難なため、脅威ではない信頼された存在として扱われてきた。

⚫ クラウド• プロバイダが管理し、世界中どこからでもアクセスでき、利用者の権限・設定次第で外部接続点はフルオープンになる。
• クラウド環境では、インターネット上にいるモノを物理的に信頼できる存在と証明するのは困難。

➢クラウドにおけるセキュリティの考え方・役割分担も自ずと変わってくる。
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

12情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

クラウドセキュリティの役割分担◼代表例：責任共有モデル⚫ 利用者の責任：クラウド ’における’ セキュリティ(Security ‘in’ the cloud)⚫ プロバイダの責任：クラウド ’の’ セキュリティ(Security ‘of’ the Cloud)◼クラウド利用の基本的な考え方⚫ セキュリティだけではなく、予算・調達・契約
・精算・ガバナンスなどその他の分野にも及ぶ◼多くのクラウドサービスでも同じモデルを採用。
⚫ 利用者側の責任は必ずある⚫ 自分の責任範囲を押さえる
出典：Amazon Web Services ブログ 責任共有モデルとは何か、を改めて考える

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

13

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及新たな責任共有モデル◼IaaS / PaaS / SaaS 以外の as-a-Service が増え、クラウドネイティブが担うレイヤーが細分化⚫ レイヤーごとにセキュリティ対策する必要があるが、レイヤーが複数に渡るため対策・役割分担が困難➢ 全てのレイヤーを網羅するのは労力がかかるので、デファクトスタンダードなフレームワークを活用(Cloud Security Alliance)
従来モデル（NIST SP800-145)
オンプレ

IaaS

PaaS

SaaS

データ

データ

データ

データ

アプリ

アプリ

アプリ

アプリ

ミドル

ミドル

ミドル

ミドル

OS

OS

OS

OS

仮想化

仮想化

仮想化

仮想化

物理

物理

物理

物理

利用者責任

プロバイダ責任出典：クラウドコンピューティングの進化と新たな責任共有モデル | CSA

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

14

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及代表的なセキュリティフレームワーク◼デファクトスタンダードとなっているセキュリティフレームワークには以下のようなものがあり、それぞれ
サイバー攻撃対策・内部不正対策、組織面・技術面の四象限⚫ NIST CSF： 米国立標準研究所(NIST) 発行のCyber Security Framework(CSF)⚫ CIS Controls：米インターネットセキュリティセンター(CIS) 発行のセキュリティ管理策⚫ ISMS：
JISQ27001(ISO/IEC27001) に基づいた情報セキュリティ管理の仕組み⚫ PCI DSS：
クレジットカード業界セキュリティ団体(PCI SSC) 発行の対策基準◼クラウドサービス利用時のセキュリティ判断基準➢ NRIでは、サイバー攻撃対策に特化し、業界を問わず、具体的な技術面での対策・設定に強みを持つ
CISの提供するリソースを活用

出典：NRIセキュア | 【解説】NIST サイバーセキュリティフレームワークの実践的な使い方

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

15

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及(参考)セキュリティフレームワークやナレッジの利用例◼セキュリティフレームワークやナレッジを活用したセキュリティ対策の評価・分析手法

出典：NRIセキュア | MITRE ATT&CKを用いたサイバー攻撃対策の評価サービス

出典：Microsoft | MITRE ATT&CK® と組み込
み Azure security control とのマッピングを発表◼セキュリティベンチマーク／コントロールでの対策／方針と、セキュリティフレームワークとのマッピング
IM-1: 一元化された ID と認証システムを使用する
CIS Controls v8 ID(s)NIST SP 800-53 r4 ID(s)PCI-DSS ID(s) v3.2.1

3.12, 13.4, 4.4

AC-4, SC-2, SC-7

1.1, 1.2, 1.3

セキュリティの原則: 一元化された ID と認証システムを使用して、クラウドリソースと非クラウドリソースに対する組織の ID と認証を管理します。
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.
出典：Microsoft | Azure セキュリティベンチマーク16情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

Center for Internet Security(CIS)の提供リソース◼米国の政府・学術機関・企業がインターネット・セキュリティ標準化に取り組む団体⚫ CIS Controls：サイバー攻撃に焦点を当てた具体的技術対策を示す18種類のフレームワーク⚫ CIS Benchmarks：セキュリティ推奨事項・設定値を記載したドキュメント

出典：LAC I CIS Controls v8日本語版をリリース

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

17

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及「クラウドのセキュリティ」は信頼できるのか？

プロバイダ責任◼クラウドプロバイダの責任は果たされているか？
⚫ 責任を共有するには、利用するクラウドサービスが信頼できるか、コンプライアンスの観点で判断する⚫ 企業のセキュリティポリシーに合致するか、独自の質問票（セキュリティチェックシート）を用意するケースもあるが、クラウドサービス事業者と一問一答をやり取りするのは双方ともに非常に労力・時間がかかる◼コンプライアンスに関しては、以下のような第三者基準の認証取得状況を確認⚫ ISO27001：情報セキュリティマネジメントシステム(ISMS)⚫ ISO27017：クラウドベースの情報セキュリティの統制⚫ ISO27018：クラウド上での個人データ保護⚫ SOC1：財務報告に係る内部統制報告書⚫ SOC2：セキュリティや可用性などの内部統制報告書⚫ HIPPA、PCI-DSS、FISCなど：特定業界ごとの統制基準➢ 取得状況に応じて、クラウド事業者のセキュリティ対策が実施済みと判断し、アセスメントを一部/全部省略可➢ ISO27001の場合は一部（共通ガイ
ドラインチェックリストにマッピング）➢ ISO27017、SOC2、ISMAPの場合は全部省略可⚫ ISMAP、FedRAMP / SP800-53、NIST SP800-171、GDPR、マイナンバー法など：国ごとの統制基準
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

18

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及「クラウドにおけるセキュリティ」をどう対策するか？

利用者責任◼CIS Benchmarks は、非常に広範囲な製品・サービスを対象とするドキュメント群⚫ 各クラウドプロバイダ、Docker/Kubernetes、OS/ミドルなどをカバー⚫ 以下の観点では対策が手薄なので、追加対策を実施• コンテナイメージの署名、レジストリの定期・依存関係先スキャン、CI/CDパイプライン保護、バージョン管理
カテゴリ

対象の製品・サービス(例)Cloud Provider

Alibaba Cloud, Amazon Web Services, Microsoft Azure, Google Cloud Platform, IBM Cloud, OCIDesktops & Web Browsers

Apple Desktop OSX, Apple Safari Browser, Google Chrome, Microsoft Internet Explorer, Microsoft Windows Desktop 10/XP/NT,
Mozilla Firefox Browser, Opera Browser, Mobile Devices, Zoom

Mobile Devices

Apple Mobile Platform iOS, Google Mobile Platform

Network Devices

Agnostic Print Devices, Check Point Firewall, Cisco Firewall Devices, Cisco Routers/Switches IOS, Cisco Wireless LAN Controller,
Juniper Routers/Switches JunOS, Palo Alto Networks

Server Software- Operating Systems

Amazon Linux, CentOS, Debian Linux Server, IBM AIX Server, IBM Z series, Microsoft Windows Server, Novell Netware, Oracle
Linux, Oracle Solaris Server, Red Hat Linux Server, Slackware Linux Server, SUSE Linux Enterprise Server, Ubuntu LTS Server

Server Software- Other

Apache HTTP Server, Apache Tomcat Server, BIND DNS Server, FreeRADIUS, Microsoft IIS Server, IBM DB2 Server, Microsoft
Exchange, Microsoft SharePoint Server, Microsoft SQL Server, MIT Kerberos, MySQL Database Server, Novell eDirectory,
OpenLDAP Server, Oracle Database Server, PostgreSQL Database Server, Sybase Database Server

Security Metrics

Quick Start Guide, Security Metrics

Virtualization Platforms

Agnostic VM Server, Docker, Kubernetes, VMware Server, Xen Server

Other

Microsoft Access, Microsoft Excel, Microsoft Office, Microsoft Outlook , Microsoft PowerPoint, Microsoft Word

出典：CIS Benchmarks | CIS

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

19情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

CIS Cloud Provider Benchmarks◼ 主要なパブリッククラウドのIaaS中心の対策••••①IAM、②ネットワーク、③コンピュート、④ロギング／モニタリング、⑤セキュリティ／コンプライアンスの５分類
各クラウドベンダごとに利用できる機能、設定の細かさ・複雑さが異なるが、考え方は共通
上記をベースに、各クラウドのベストプラクティスや、自組織のセキュリティ要件を加えてガイドライン化
コンテナ、サーバレス、SaaS機能は独自色が強いので個別対応
Version
最終更新① IAM② Networking③ Compute VM
Storage
Database
Serverless④ Logging / Monitoring⑤ Security / Compliance
合計

出典：CIS Benchmarks | CIS

AWS

1.5.0
2022/8/12
21
5
10
11+16
63

Azure

1.5.0
2022/8/23
33
7
6
15
25
11
18
23+9
147

Google Cloud
2.0.0
2022/12/31
18
10
12
2
25
3
16
84

OCI

Alibaba Cloud
1.2.0
1.0.0
2022/4/13
2020/12/11
13
16
8
5
6
6
9
9
16
23
2
8
45
76

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

20

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

CIS Cloud Provider Benchmarks での対策
◼ 主要なパブリッククラウドのIaaS中心の対策①IAM① IAM(Identity and Access Management)• 最小権限、パスワードポリシー、MFA、プリンシパル• クレデンシャル、APIキー、rootユーザの利用制限② ネットワーク• 0.0.0.0/0からSSH/RDPを許可しない、from IP制限
• 許可されたソースのみに制限③ コンピュート
• パブリックバケット作成制限• 暗号化、CMK・BYOK、ローテーション④ ロギング／モニタリング• ログ記録、保管、監視、作成・変更・削除の通知• 可視化、スコアリング、ダッシュボード

Identity &AccessManagement

VPN
GatewayGroups

Policies②ネットワーク／③コンピュート

Availability Zone 1

Availability Zone 2

Subnet A Bastian Server
10.0.30.0/24

REGIONAZ3Loaded Balanced
Subnet D
Web Servers
10.0.30.0/24
Virtual Machine

Bare
Metal
ComputeLoad
Balancer

Subnet B
Primary10.0.30.0/24 Database Secur

Virtual Machine

Subnet C
Standby Database
10.0.30.0/24

ity
Lists
Database
System

Database
SystemObjectStorage

VCN⑤ セキュリティ／コンプライアンス• 自社セキュリティサービスの有効化

Alarming

Healthcheck

Notifications

Monitoring

Logging④ロギング／モニタリング ⑤セキュリティ／コンプライアンス

Auditing

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

Tagging21

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及(参考)CIS Benchmarks 本文
推奨事項

プロファイル

修復方法

説明
根拠

参考URL

監査方法
コンソール
監査方法
コマンドライン

出典：CIS Benchmarks

CIS Controlとの対応*MITRE ATT&CKとのマッピング情報は別紙一覧表(Excel)に記載
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

22

あなたのクラウドは大丈夫？NRI実務者が教えるセキュリティの傾向と対策(参考)パブリッククラウドのCISベンチマーク準拠チェックサービスAWS Security Hub- AWS独自、CIS v1.2.0/1.4.0、PCI DSSなどに対応

Google Cloud Security Health Analytics (Security Command Center)- GCP CIS v1.1.0、PCI DSS、NIST SP 800-53などに対応

Microsoft Defender for Cloud(旧Security Center)- Azure独自、CIS v1.1.0、NIST SP 800-53などに対応

OCI Cloud Guard- OCI独自、CIS v1.1.0などに対応

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

23

01

はじめに

02

クラウドセキュリティ

03

NRIにおける社内普及の取組

04

まとめ

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

24情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

NRIにおけるクラウドセキュリティの取り組み◼ルール・推進、適用・検知、利用者の対処、教育・啓蒙を通じ、継続的な対策を社内普及• 各種社内規程• クラウド利用申請・審査• ガイドライン整備• アカウントの棚卸・調査• 脆弱性／セキュリティ• ガイドライン準拠状況のアップデート対応

ルール・

適用・

推進

検知

教育・

利用者

啓蒙

の対処

チェック・通知サービス• e-Learning• ガイドライン適用の維持• 研修、勉強会、連絡会• 違反通知へのアクション• 社内Slack、Wiki、サイト• 調査、アナウンス対応
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

25

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

ルール・推進：脆弱性／セキュリティアップデート対応◼JPCERTコーディネーションセンターのJVN(Japan Vulnerability Notes)の活用⚫ 日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供⚫ 「情報セキュリティ早期警戒パートナーシップ」制度に基づいて報告された脆弱性情報や、CERT/CCなど海外機関と連携した脆弱性情報を公表。自組織の利用するプロダクトに該当する脆弱性を特定、対策を検討。
⚫ 日本では「アクセス制御の不備」、「インジェクション」、「不適切なセキュリティ設定」の3カテゴリが大半➢ 日本での傾向も加味し、重点的に対策する脆弱性を把握
JVNでの報告データ（2018-2021）とOWASP Top 10のマッピング➢その他、複数のソースから情報収集、必要に応じて社内連絡
出典：OWASP TOP10から知る脆弱性トレンドと対応 | UBsecure

https://jvn.jp/jp/index.html

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

26

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

ルール・推進：各種社内規程、ガイドライン整備◼各レイヤーごとに規程・ガイドラインを整備、管理する仕組み・サービスと連携、第三者基準を参照
運営
データ
アプリ

本番ｱｸｾｽ、ﾌﾟﾛｼﾞｪｸﾄｾｷｭﾘﾃｨﾙｰﾙ
機密情報・個人情報、委託先管理

Webｻｲﾄ運営・ｺﾝﾃﾝﾂ・SNS
Webアプリケーション
スマートフォンアプリケーション
インターネット公開サーバ

ミドルバージョン管理

データベース

不
正
ア
ク
セ
ス
予
防

情報ｾｷｭ
ﾘﾃｨ障害
管理
CSIRT

ISO、個人情報保護法など

Webアプ
リケーショ
ン診断

FISC、PCIDSS、NISTOWASPなど

プラット
フォーム
診断

OS

OS

仮想化

Docker/Kubernetes

CWPP

物理

クラウド

CSPM

端末

社内ｼｽﾃﾑ利用、機器・NW管理

EDR

レイヤー

規程・ガイドライン

CI/CD

Dev
Sec
Ops

CIS Benchmark、CIS Control
MITRE ATT&CKなど参照するベンチマークや基準、ナレッジ
仕組み・サービス

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

27

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

NRIのクラウドガイドラインの考え方◼各サービスごとに設定できる対策と想定される脅威は様々だが、大別して７つを設定
対策の大項目想定される脅威1.

アイデンティティによる認証・認可

不正アクセス、アカウント乗っ取り、過大権限による誤操作

2.

ネットワークによるアクセス制御・境界線防御

インターネットからのログイン施行、侵入・攻撃、横移動

3.

暗号化による保存データ・通信経路の保護

情報漏洩、盗聴、改ざん

4.

多重化・冗長化構成による可用性の向上

HW故障、SW障害、広域障害

5.

バックアップ取得によるデータロストへの備え

運用ミス、データセンター被災、ランサムウェア

6.

ロギング・モニタリングによる記録・監視

攻撃、不正行動、疑わしい挙動、戻し忘れ

7.

分析・レポーティングによる可視化・監査

攻撃、障害、設定不備の見落とし◼ セキュリティ以外の関連する観点も追加し、より包括的なガイドラインを作成
8.

統制レベルに応じたアカウント分割

コンプライアンス違反、本番環境とその他環境の混同

9.

予算設定、利用金額超過アラート

使い過ぎ、無駄なリソース利用、不正利用

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

28

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

NRIにおけるクラウドセキュリティガイドラインの構成◼独自ルール／ベストプラクティス／CIS Benchmarkの三階建て、メガクラウドは個別詳細版あり⚫ 権威あるスタンダードとして、MITRE ATT&CK および CIS Control ともマッピング
クラウドガイドライン(共通)
AWS
ガイドライン

Azure
ガイドライン

Google Cloud
ガイドライン自社ノウハウをもとにした独自ルール（共通）Oracle Cloud
ガイドライン

Alibaba Cloud
ガイドライン

過去の運用から得られた独自の知見

各クラウドのベストプラクティス（設定・方針が個別）
CIS
Control
MITRE
ATT&CK
リスクベース：
想定される脅威

ベースライン：
サイバー攻撃対策フレームワークCIS Benchmark（設定は個別だが、方針は共通）
個別サービスごとの設計方針・設定方法

NRI独自サービス、CSPM、クラウドプロバイダのセキュリティチェック・可視化サービス

各クラウドサービスのアカウントを監視、違反があれば利用者へ通知
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

29

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

ガイドラインの利用フロー①クラウド利用の大方針はなにか

クラウド利用者向けガイドライン（共通）②どのような脅威があり備えるべきか

MITRE ATT&CK③どのような対策方針が取れるか

CIS Control④デファクトスタンダードの対策はなにか

CIS Benchmark⑤公式のベストプラクティスはなにか

各クラウドのベストプラクティス（Well-Arch）⑥実施すべき具体的な対策はなにか

AWS/Azure/Google Cloud/OCI/Alibabaガイドライン（個別）⑦どのような優先度で対策するか

必須：すぐやる/利用開始までにやる
追加：機密情報があればやる/実施を検討する⑧自環境の設計・設定はどうなっているか

利用者の対策状況、内容を記載⑨対策実施状況の審査結果はどうか

審査者の確認結果、調査項目、連携サービスでのカバー内容

権威あるナレッジ

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

30

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

ガイドラインの内容◼共通ガイドライン、権威あるナレッジ、ベストプラクティス、個別ガイドラインを横串でマッピング⚫ 各ルール、ベストプラクティス間の関連性を把握することで、根拠と具体的な対策が明確になる⚫ 外部リソースを活用することで、セキュリティの傾向変化・アップデートへの追従が容易となる⚫ 共通的な考え方で対策するため、ベンチマークやベストプラクティスにない対応にも先手が打てる➢ 社内勉強会などで有識者と連携して現場レベルで調整のうえ、定期的に見直し・アップデートを実施
NRIのクラウド共通ガイドライン

MITRE ATT&CK

タイトル

本文

戦術

ユーザア
カウント
の多要
素認証

クラウド利 多要素認証で TA0001： T1078： M1018： 6.3 外部に公開され 1.5 rootユー アイデン 強力なサイン ポリシー MFAの ポリシーで アカウント 対策例
用者はユー あれば防げたイ 初期アクセ 有効なア ユーザーアカ ているアプリケーショ ザアカウント ティティ インメカニズム
強制
MFA利 開設後 実施済
ザアカウント ンシデントが発 ス
カウント
ウント管理 ンにMFAを要求する でMFAを有 管理
を使用する
用を強制 すぐやる ／予定に多要素 生し、パスワード 攻撃者は 攻撃者は ユーザーアカ
効化する
し、リソー
認証(MFA) 保護だけでは不 あなたの既存のア ウントに関 6.4 リモートネットワー
MFA サインイスへのアク代替策を設定しな 十分であるとの ネットワーク カウントの 連する作 クアクセスに対するンを強制する
セスを制実施済ければなら 認識が広まって に入ろうと 資格情報 成、変更、 MFAの必要性
アクセス管理
限する。
／予定
ない。
いる。
しています。 を取得し、 使用、およ(IAM) ポリ
悪用する び権限を 6.5 管理者アクセス
シーを作成す対象外
可能性が 管理する。 にMFAを必要とする
る
あります。

根拠

技術

CIS
緩和策

Control

Well-Architected
Benchmark 分類

NRIの個別ガイドライン

ﾍﾞｽﾄﾌﾟﾗｸﾃｨｽ サービス 対策

対策例

利用者
優先度

状況

NRIのクラウドガイドラインでの記載(イメージ)➢ 対策が実施できない場合は、代替策がリスク低減策として有効か、対象外とする理由は妥当か、を確認
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

31

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

ガイドラインが活用される工程は限定的◼従来のガイドラインを用いた品質担保を実施する運用では、カバーされる工程が少ない⚫ 企画の最上流、実装～テスト中盤、リリース運用では、ドキュメントであるガイドラインが活用されにくい

開発工程

アプリケーション、OS/ミドル、Docker/Kubernetes、

テストフェーズ終盤～リリース前に、クラウドの各セキュリティガイドラインによる、推奨される要件定義・設計・実装のチェック

Web/プラットフォーム診断を行い、セキュリティホールの発見・対策

企画

シフトレフトSecurity by Design

要件定義

設計

実装

CI/CDパイプライン、DevOpsループ
SAST/DAST/SCA/IAST

リリース
運用

テスト

CSPM/CWPP/etc⚫ シフトレフト、CI/CD・DevSecOps、継続監視・通知、セキュリティの可視化・自動化が必要➢ 全ての工程にセキュリティの概念・機能を取り込む
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

32

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

適用・検知：利用申請・審査、棚卸・調査◼クラウド利用申請・審査⚫ クラウドサービスを利用する際は、申請して審査を受ける⚫ 各種ガイドラインに沿って審査を行い、不備があれば是正を促す➢ ガイドラインの項目と異なる対処であっても、代替コントロール策としてリスク低減できるか、判断が必要となる◼アカウントの棚卸・調査⚫ 申請漏れ、廃止漏れのチェックのため、クラウドサービスのアカウント棚卸を実施⚫ 利用者の申告ベースだと実態が把握しきれない場合があり、利用料支払い実績などからも追う➢ 地道な活動の繰り返し

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

33

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

適用・検知：準拠状況のチェック・通知サービス◼ガイドライン準拠状況のチェック・通知サービス⚫ ガイドラインの準拠状況は、継続的なチェックを行わないと適切な状態か把握できない⚫ パブリッククラウドのセキュリティ設定検査サービスや、CSPM（Cloud Security Posture Management : クラ
ウドセキュリティ態勢管理）でもチェック可能⚫ 独自ルールは作り込みが必要、対応スタンダードが最新でなかったり、通知内容が日本語対応していなかったり、利用者のネクストアクションに繋がらない場合も。 → 継続チェック・通知サービスを独自実装➢ 設計ポリシーやユーザ棚卸など、人の判断が必要な方針・運営は、利用者の役割・定常業務として残る◼連携先組織⚫ CCoE：クラウド活用を推進する横断組織。利用者との間を埋める役割も。
⚫ CSIRT：セキュリティ事故対応チーム。インシデントが発生した場合に連携。
⚫ セキュリティ担当：各本部・部署でのセキュリティ対策推進担当。

⚫ クラウド技術部門、アカウント管理運営チーム、品質監理、経理など

出典：クラウド活用推進組織（CCoE）| NRI

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

34

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

利用者の対応◼ガイドライン適用の維持⚫ 審査は完璧でも、その後の構築・テストや、運用中に変更や戻し忘れが発生する⚫ 追加費用がかかるなどの理由で自力でやろうとするが、業務に忙殺されがち◼違反通知へのアクション⚫ 通知が来ていても、日常的に来ていると見なくなる➢調査、アナウンス対応⚫ ガイドライン準拠状況の変化がないか、インシデントに繋がりやすい項目の調査を実施、注意喚起アナウンス• 人間の認証に対して多要素認証を設定しているか※サービスの認証は設定不可の場合も• 受け渡し可能な認証情報（アクセスキーなど）を作成していないか※システム間連携で必要な場合も• インターネットAny（0.0.0.0/0）にSSHやRDPなどのポートが開いていないか※テストや切り分けなどで全開放しがち• オブジェクトストレージなどの公開設定は適切か
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

35

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及

教育・啓蒙：現場の理解を得るための情報発信◼e-Learning⚫ プライバシーマーク確認の一環で、全役職員向けに個人情報保護および情報セキュリティ対策として実施⚫ 設問に、世間的に注目されたインシデントや、クラウド関連の基本動作・対策を盛り込む◼研修、勉強会、連絡会⚫ 情報セキュリティ部門として現場に伝えたいことを情報発信する場⚫ 社内のクラウド関連勉強会で、ガイドライン改定内容の事前共有やフィードバックを行う◼社内Slack、Wiki、サイト⚫ Slack：素早く気軽な情報共有、コミュニケーション用（フロー情報）⚫ Wiki：コミュニケーションで得られた知見をまとめて記載（ストック情報）

非公式な個人の見解扱い
発信に対する心理的安全性の確保
現場との距離感を縮める⚫ サイト：公式な見解を文書・社内規程として掲載
Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

36

01

はじめに

02

クラウドセキュリティ

03

NRIにおける社内普及の取組

04

まとめ

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

37

情報セキュリティマネージャーが知っておくべきクラウドセキュリティと社内普及まとめ◼ プロバイダと利用者の責任範囲を把握し、外部リソースを活用する⚫ プロバイダの「クラウドのセキュリティ」は、第三者認証の取得状況、ホワイトペーパーを確認⚫ 利用者の「クラウドにおけるセキュリティ」は、公開ナレッジ、ベンチマーク、ベストプラクティスを活用◼ 「クラウドにおけるセキュリティ」は共通する考え方で対処できることが多い⚫ IAM・認証認可、ネットワーク保護、ロギング・モニタリングの３つが基本⚫ 暗号化、多重化・冗長化、バックアップ、分析・レポーティング、アカウント分割、予算設定でより強固にする◼ 全ての工程にセキュリティの概念・機能を取り込む⚫ 初期段階からセキュリティを取り込む（シフトレフト：早い段階から相談を）⚫ ツール・サービス活用により継続監視・改善を省力化・自動化⚫ ルール・推進、適用・検知、利用者の対処、教育・啓蒙を通じ、継続的な対策を普及➢ 開発現場の理解を得るためには、情報発信が必須

Copyright（C） Nomura Research Institute, Ltd. All rights reserved.

38