1

CLOUD RESILIENCE:TESTED BY PANDEMIC

クラウド：
パンデミックで立証された適応力

Jim Reavis
CEO, Cloud Security
Alliance

BUILDING SECURITY BESTPRACTICES FOR NEXT GENERATIONITABOUT THE
CLOUD
CSA
SECURITY
A L L I A N C E について

2次 世 代 I T の た め の 実 践 規 範 の 構 築
GLOBAL, NOT-FOR-PROFITORGANIZATION

国 際 的 非 営 利 活 動 組 織
RESEARCH AND EDUCATIONALPROGRAMS

調 査 研 究 と 普 及 啓 発 に 向 け た 取 組 み
CLOUD PROVIDER CERTIFICATION– CSA STARク ラ ウ ド 事 業 者 向 け 認 証 ス キ ー ム
C S A S T A R“To promote the use of bestpractices for providing
security assurance within
Cloud Computing, andprovide education on theuses of Cloud Computing tohelp secure all other formsof computing.”

クラウドコンピューティン
グにおけるセキュリティ保証に向けた実践規範活用の促進と、クラウド利用のための教育を通じてあらゆるコンピュータ利用のセキュリティを高めるための活動への取組み

USER CERTIFICATION –利 用 者 向 け 資 格 認 定

CCSK

C C S KTHE GLOBALLY AUTHORITATIVE
SOURCE FOR TRUST IN THE CLOUD

ク ラ ウ ド に お け る ト ラ ス ト の 源 と なる グ ロ ー バ ル な 拠 り ど こ ろ

3

INDIVIDUAL
MEMBERS100+
CHAPTERS個 人 会 員

地 域 支 部

35+400+ACTIVE WORKINGGROUPSCORPORATEMEMBERSW G

企 業 会 員Strategicpartnerships
政tn府er、
研 究機 関 、
Str ategic parsh ips
withg o v e r nwith
m e ngovert s , n標
準ts,
化 団 体 、 専 門
m enr e s e a r cr esear
hch in家stitu
団tion
体 s,・ 学会 、産institutions,pr of ession alassociation
業 界 と の 戦s 略 的
professional
andin
dustr
yassociations andindustry

パ ー ト ナ ー シ ッ プ

CSA r esear ch isF REE!

研 究 成 果 は無 償 で 提 供 !

2009

OUR COMMUNITYCSA FOUNDED

SEATTLE/BELLINGHAM, WA // USHEADQUARTERS

アメリカ本部
シアトル/
ベリンガム

BERLIN //EMEA HEADQUARTERS

EMEA本部
ベルリン

APAC本部
シンガポール中国NGO
深圳SHENZHEN //CHINA CSA NGO#CSAAnywhere Online Resources:
SINGAPORE //https://cloudsecurityalliance.org/online-resources/
ASIA PACIFIC
HEADQUARTERS

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE

99,000+2 0 0 9 年 設 立• Criteria on Security Assessment System (ISMAP) developed by METI is an
important milestone in Japan to encourage secure cloud adoption• 日本政府（METI等）が開発したセキュリティ評価基準（ISMAP = Informationsystem Security Management and Assessment Program = 政府情報システムのためのセキュリティ評価制度）は、日本がクラウドをセキュアに取り入れるための重要な一歩• “Cloud First” policy similar to United States• 米国と同様の“クラウドファースト”ポリシーの導入• CSA congratulates METI on an excellent initiative• 経済産業省(METI)の卓越したイニシアティブに敬意• CSA Japan involved in providing comments on draft• CSAジャパンによるドラフト段階、パブコメによる貢献• Japan Congress 2019: Opportunity for METI to disseminate info in advance• CSA Japan Congress 2019にて事前説明の機会を提供• https://www.meti.go.jp/press/2019/03/20200327017/20200327017.html

4
COPYRIGHT © 2020 CLOUD SECURITY ALLIANCEPartnering to make Japan more secure
日本への連携：より高いセキュリティへ5

オンライントレーニング

無料のWEBINARとイベント

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE

オンラインのクラウド
セキュリティソリュー
ションを通じて「つながり」を形成

仲間同士の意見交換#CSAAnywhere:
https://cloudsecurityalliance.org/online-resources/
CSA COVID-19 INFO
https://cloudsecurityalliance.org/covid-19

6

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE

Cloud & COVID-19

クラウドと新型コロナウイルス

COVID-19 & Cloud Impact• Greater usage of cloud in response to pandemic• パンデミック対応でクラウド利用が急増• Overall resilience strong• 全体としては十分な適応力があった• Mistakes made in rush to “Work From Home”• リモートワークを急ぐあまり、問題が発生• Companies in “clean up” mode
• 企業ではそれらの問題は解決しつつある• Problems identified with legacy IT systems• レガシーシステムで問題が発生• Experience pointing the way to new enterprise architectures• 新しいエンタープライズアーキテクチャへの方向性が示された• Questions about health of cybersecurity industry• サイバーセキュリティ業界が無事でいられるか、に疑問符

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE

新型コロナのクラウドへのインパクト

7

COVID-19 Cloud Usage• Cloud providers and customers report spike in usage• クラウド事業者、利用者双方でクラウド利用の急峻な増加を確認• Isolated reports of resource exhaustion in new IaaS serviceprovisioning• 新しいIaaSサービスのプロビジョニングに際して、リソースの枯渇の報告があちこちで上げられた• Some cloud collaboration and conferencing tools
overwhelmed• クラウド上のコラボレーションツールや会議システムがダウンしたとの報告もあった• Overall, cloud scalability was successful• 総じて、クラウドのスケーラビリティはうまく機能した

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE

新 型コロ ナ下 でのク ラウ ドの利 用実 態

8

COVID-19 Common Problems• COVID-19 related attacks (e.g. Phishing)• 新型コロナ蔓延に便乗した攻撃（例：フィッシング）• Work from Home configurations insecure• リモートワーク向け設定のセキュリティ面の不備• Traditional VPNs and VDI (Virtual DesktopInfrastructure) not designed for 100% virtual workforce• 従来型のVPNやVDI(Virtual Desktop Infrastructure) は、バーチャルの労働環境として完全な設計になっていない• Some security controls loosened for agility• 迅速性のためにセキュリティコントロールが緩められたケースがあった

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE

新型コロナ下 でよく見られる問題点

9

COVID-19 Key Lessons Learned• Cloud adopting companies tend to do better than legacy IT• クラウドを採用した企業はレガシーなITの企業よりうまく行く傾向• Multifactor authentication and SSO very important• 複数要素認証とシングルサインオンは極めて重要• Software Defined Perimeter & Zero Trust are new blueprint
for enterprise architectures• SDP(Software Defined Perimeter)とゼロトラストがエンタープライズアーキ
テクチャの新しい設計図になる• Hybrid & multi-cloud enterprises need to effectively moveworkloads quickly between IaaS platforms• ハイブリッドやマルチクラウドの採用企業は、IaaSプラットフォーム間のワークロードの移動をスピーディに効率よく行う必要がある

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE

新 型コロ ナ下 での主 な教 訓

10

COVID-19 Cybersecurity Industry Impact?
• Cybersecurity industry is more important than ever
• サイバーセキュリティ産業は以前にも増して重要に• Concerns about global economic crash• 世界経済が破綻することへの懸念• Nightmare scenario: • 悪夢のシナリオ• Global economy sinks into depression (20% or more unemployment)• 世界経済の 深 刻 な 不 況 （ 20%以 上 の 失 業 率 ）• Companies must downsize or even eliminate cybersecurity department• 企業はサイ バ ー セ キ ュ リテ ィ 部 門 の 規 模縮 小 、 更 に は廃止も迫られる• Organized crime moves in, attacks and controls weaker companies – the newcybersecurity department• 犯罪組織 の 暗 躍 ： 弱 い 企 業 を 攻 撃 し て 支 配 － 新 サ イ バ ー セ キ ュ リティ部門

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE

新 型コロ ナの サイバ ーセ キュリ ティ 産業へ のイ ンパク トは ？

11

12
COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE

Cloud Security Beyond COVID -19
クラウドセキュリティ：新型コロナを超えてEnterprise Concerns 企 業が気 を付 けるべ きこ とは？
• ク ラ ウ ド へ の攻 撃 と ク ラ ウド 上 の 事 故 は多 発 。 従 来 から の 脅 威 に よる 可 能 性 大*通常起りえないが、起っ• What are the Black Swans? • ブ ラ ッ クスワン * は 現 れ る か ？
た時の衝撃が強い事象• Total Cloud Meltdown? Not seen as likely, any more than the Internet• クラウドの完全なメルトダウン？多分ない。インターネットの崩壊より低確率• “Snowden” events leading to widespread lack of trust in the model and players? More likely• スノーデン的事件によるクラウドのモデルや参加者におけるトラストの崩壊？ より可能性あり• Security at Scale • セキュリティもスケールアウトが必要• Ubiquity of compute (cloud & IoT), storage (cloud & IoT) and bandwidth (5G)

*いつでもどこでも利用可• ユビキタス*になるコンピュート(cloud , IoT)、ストレージ(cloud , IoT) 、通信(5G) compute (Cloud, Big Data, IoT, etc) leading to a Loss of Privacy?
• Pervasive• コンピューティングの普遍化(Cloud, Big Data, IoT, etc)がプライバシー侵害をもたらす？
• GDPR is not the last privacy regulation, more will come – with stricter requirements• GDPRがプライバシー規制の全てではない。今後さらに厳しい要件の規制が現れる• In the future, will you be allowed to have databases of PII if you cannot provide security?

• 将来、セキュリティが確保できないのにPII（個人識別情報）のデータベース保持が許されるか？

• Can we maintain portability, choice, agility?

• ポータビリティ、選択の自由、迅速性(agility)は確保できるか？

• Can we retool and grow a cloud security workforce?

• クラウドセキュリティ戦力の再装備・再編成・拡大は可能か？

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE• Cloud attacks & breaches will explode, probably based on basic threats

13

Enterprise Directions

企 業がと るべ き施策 、対 策

• サイバーセキュリティスキルの補強＝より多くのクラウドセキュリティ知識• Scale & Automation• 拡張性と自動化•

DevOps/DevSecOps• DevOps / DevSecOps•

Machine Learning• マシンラーニング• Highly virtualized, API-driven security models• 高度に仮想化された、APIベースのセキュリティモデル••••••••••

Zero Trust & Software Defined Perimeter
ゼロトラスト、SDP(Software Defined Perimeter)
Microsegmentation
マイクロセグメンテーション
Containerized, Microservices & Serverless
コンテナ、マイクロサービス、サーバレス
Structured frameworks and orchestration to shrink threat windows
脅威の入り口を狭める構造化フレームワークとオーケストレーション（統合管理）
Highly dependent upon identity and crypto advances
アイデンティティ管理技術と暗号技術の進化に頼る要素が大きい• Blockchain = Worldwide ledger of trust• ブロックチェーン＝世界共通のトラストの台帳• CSP Coordination with ISMS program• クラウド事業者はISMSプログラムに対応すること

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE• Cybersecurity skills gap remediation = greater cloud security knowledge

14

Enterprise Directions – High Assurance 企業がとるべき道－しっかりした保障• Moving away from VPNs to granular identity-based access control to applications• アプリケーションへのアクセスコントロールはVPNをやめて精緻なアイデンティティベースの管理に切り替える• Software Defined Perimeter and Zero Trust to create virtual private clouds, analogous to classified network architectures• 仮想プライベートクラウド(VPC)構築はSDPとゼロトラストをベースとし、クラス（機密度）分けされたネットワー
クアーキテクチャを模したものとする• Encryption & Key management• Client-held keys, e.g. BYOK

• 暗号化と鍵管理• 利用者が管理する鍵、つまりBYOK(Bring Your Own Key)• Encryption in transit, at rest and in use (as close as possible)• 伝送、保存、利用時の暗号化（可能な限り近くで）• Confidential Computing • コンフィデンシャルコンピューティング（秘密を保持したままの演算処理）• Limit decrypted computing to hardware-based “Trusted Execution Environment” in CPU and memory• 平文でのコンピューティングを、CPUとメモリ内のハードウェアベースの“Trusted Execution Environment”に限定する• Emerging new area: https://confidentialcomputing.io/• 新たに開発されつつある分野： https://confidentialcomputing.io/• Goal is to protect against traditional malicious attackers, prevent cloud provider insider accessto data and block rogue government request for customer data
• 目指す所は：通常の悪意ある攻撃者からの防御、クラウド事業者内部者によるデータへのアクセス防止、顧客情報に対する政府の乱暴な要求の阻止

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE• Putting crown jewels in the cloud• 大事な資産や秘密情報はクラウドに置くこと• Network • ネットワーク

15

16

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE

CSA Roadmap

CSAのロードマップ

Certificate of Cloud Auditing Knowledge• A new individual professional credential under development byCSA• 新しい個人向け専門知識認定。CSAで開発中• Demonstrates expertise in understanding the essential principles
of Governing and Auditing cloud computing systems.
• クラウドコンピューティングシステムのガバナンスと監査における基本原則の理解に熟達していることの証明• Exam, online and in-person training• 試験による認定。トレーニング（オンライン、対面）あり• Available in Q4 2020
• 2020年第4四半期開始• Site for information and announcements:• 情報、お知らせはこちら：
https://cloudsecurityalliance.org/education/ccak

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE

クラウド監査知識の資格認定

17

CCM & CSA STAR Provider Program• Cloud Controls Matrix undergoing significant revision, Version 4• CCM(Cloud Control Matrix) 大幅改訂中。⇒V4へ• Initial development underway for simpler “STAR-lite” assessment
criteria• 簡易版評価基準”STARライト”新規開発進行中• Working with GSA on mutual recognition program withFedRAMP, aka FedSTAR• FedRAMPとの相互認証プログラム、別名FedSTARに関して、GSA(General Services Administration,米国共通役務庁)と調整中• Developing “Continuous auditing” framework• 継続的監査(Continuous auditing)の枠組みを開発中• Evaluating feasibility of extending STAR for Internet of Things• STARのIoTへの拡張について有効性(feasibility)を検証中• Goal for rapid growth beyond ~900 current STAR entries• STARの成長を加速：現行の登録数900を超えて

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE

CCMと、事業者向けプログラム”CSA STAR”

18Research Priorities

研究開発の重点テーマ• Document AI weaknesses and threats to cybersecurity• AIの弱点とサイバーセキュリティにとっての脅威についての文書の作成• Crypto & Key Mgt reference architectures to secure applications, data and workloads at all points• 暗号と鍵管理のリファレンスアーキテクチャの開発による、あらゆる状態におけるアプリ、データ、ワークロードの保護• Update CSA security controls frameworks for state-of-the-art serverless, containerized and microsegmentedtechnologies• 最新のサーバレス、コンテナ、マイクロセグメンテーション技術に関するCSAのセキュリティ管理策体系の最新化• Increased secure developer guidance• セキュリティ能力のある開発者向けガイダンスの拡充• Create “quantum safe” deadlines for updates to prevent quantum attacks• 「耐量子」研究の改訂版目標時期の設定：量子コンピューティングによる攻撃への備え

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE• Build new architectures and strategies • 新しいアーキテクチャと戦略の開発• DevOps & DevSecOps to to achieve high levels of automation in the cloud backend• クラウドのバックエンドにおける高度な自動化達成のためのDevOps & DevSecOpsの推進• IoT controls framework, autonomics & architectures to harden IoT endpoints• IoTのエンドポイント強化に向けた、IoT管理策の枠組み、自律化、アーキテクチャの開発• AI to improve accuracy and automation of holistic systems• AIを用いた、全体システムの正確性と自動化の改良• Blockchain as the World Wide Ledger of Trust to provide an immutable framework for audit and technology
enumeration• ブロックチェーンをトラストの世界共通台帳とし、監査と技術の数値表記を実現する改変不可の枠組みを提供• Enterprise architectures harmonizing SDP, Zero Trust & 5G
• SDP、ゼロトラスト、5Gの全体調和を実現するエンタープライズアーキテクチャの開発

19Summaryまとめ• 新型コロナにより、クラウドファーストと仮想化の戦略価値が浮き彫りに• Cloud computing has proven resilient and scalable during thepandemic• パンデミックを通じ、クラウドコンピューティングの適応力と拡張性を確認• Concerns about economic impacts on cybersecurity• 経済的ダメージによるサイバーセキュリティに対する影響の懸念• CSA accelerating research to enable broader adoption andassurance of cloud• CSAは研究開発を加速し、クラウド利用の拡大とクラウドにおけるセキュリティ保障の実現を目指す

COPYRIGHT © 2020 CLOUD SECURITY ALLIANCE• COVID-19 highlights the benefits of a Cloud First, virtual strategy

20

Thank You!
Contact CSA
Email: info@cloudsecurityalliance.org
Twitter: @Cloudsa

Site: www.cloudsecurityalliance.org
Download: www.cloudsecurityalliance.org/download

H T T P S : / / C L O U D S E C U R I T Y A L L I A N C E . O R G /21