2024年 5⽉ 22⽇

CSA Japan Summit 2024
テーマプレゼンテーション︓「クラウドセキュリティ、発⾒的統制の今」〜 クラウドの進化と活⽤、その先 〜
⽇本クラウドセキュリティアライアンス 会⻑ 渥美俊英
デジタル庁 ⼭本教仁様、PwC 保坂あずみ様
クラウドで⽇本をイノベーション

1「クラウドセキュリティ、発⾒的統制の今」
１ テーマの趣旨
CSAJ 副会⻑

渥美俊英

２ デジタル庁ガバメントクラウドにおける予防的統制・発⾒的統制の考え⽅〜先進的利⽤現場から デジタル庁 Chief Cloud Officer ⼭本教仁様
３ ISMAPと次世代のクラウドセキュリティ評価〜監査現場から PwC リスク・アシュアランス部 マネージャ 保坂あずみ様
４ パネルディスカッション
渥美モデレータ、⼭本様、保坂様〜 ミニプレゼンを深堀り〜 意図、苦労、⼈材、課題など
CSAJ 渥美クラウドで⽇本をイノベーション

デジタル庁 ⼭本様 PwC 保坂様
2

「クラウドセキュリティ、発⾒的統制の今」
テーマの背景Ø メガクラウドはこの10数年で、著しく規模拡⼤と機能拡⼤が進化
Ø この2-3年で予防的統制から発⾒的統制のサービスが著しく進化Ø 更にベストプラクティスな設計ガイド、IoCテンプレートも無料公開Ø この背景には、クラウド最⼤リスクである設定・設計ミス対策拡充★本パネルでは、この先進的利活⽤の状況、更に次世代の監査のあり⽅をテーマにします。
クラウドで⽇本をイノベーション

3「クラウドセキュリティ、発⾒的統制の今」
問題提起︓ミニプレゼンテーション「クラウド最新動向と先進的活⽤、課題」
クラウドセキュリティアライアンスジャパン
副会⻑ 渥美俊英

クラウドで⽇本をイノベーション

4「クラウドセキュリティ、発⾒的統制の今」
テーマの背景の関⼼事
Ø クラウド利活⽤、⽇本は先進国で今なお遅れ
Ø 政府クラウド動向、調達要件⾼度化、世界初の直接調達、⽶系認定Ø 経済安全保障の名の下で、国産クラウドへの期待と⽀援策
Ø ウクライナ侵略、戦争IT技術の変化、国家を守るメガクラウド
Ø クラウドの著しい進化、予防的統制・発⾒的統制■ クラウドの進化、適切な活⽤と組織、テクノロジー、⼈材育成■ ISMAPのさらなる進化、次世代監査、クラウドサービスの活⽤クラウドで⽇本をイノベーション

5公共クラウドバイデフォルトの 「調達要件」が著しく⾼度化

https://www.digital.go.jp/procurement/f7a497a7-1798-4690-abdf-79d3511d1752/
クラウドで⽇本をイノベーション

6

ガバメントクラウド調達要件、延々200余
おそらく世界で最もクラウドネイティブ
・個別に開発されたものではないこと
・情報資産はユーザが指⽰しない限り⽇本国内に保管・国内の利⽤企業ユーザ数及び公開事例が100以上
・データベースや運⽤管理等、オンデマンドで利⽤
・全てのマネージドサービスを数回のクリックで利⽤テンプレート
・⾃動的にサービス間連携が構成され、稼働環境を構築できる機能を無償で利⽤可能
・ベストプラクティスに基づくアーキテクチャを実装するテンプレートをインターネットに無償で公開
https://www.digital.go.jp/procurement/f7a497a7-1798-4690-abdf-79d3511d1752/
クラウドで⽇本をイノベーション

7ガバメントクラウド調達第2ラウンド

クラウドで⽇本をイノベーション

8グローバルクラウドの10年余りの進化と真価専⾨特化
応⽤的サービス

⾃動化
統合化
組織管理

基盤系
基本的サービス

セキュリティ、コンプライアンス特化
GuardDutyAWS Security Hub Amazon Detective（継続的監視分析）（アラート統合管理）（潜在イシュー検査）
AWS Inspector
Trusted Advisor
Amazon Macie（セキュリティ評価）（推奨設定確認） （機密データ保護）AWS Organizations Systems Manager Control Tower(アカウント管理)（運⽤⾃動化）（設定⾃動化統制）
AWS KMS（暗号鍵管理）AWS WAF（WAF）

AWS Shield（DDoS攻撃保護）IAM
AWS CloudTrailAWS Config(統合権限管理) （全てのイベントログ）（全ての変更管理）

クラウドで⽇本をイノベーション

9クラウドならではのセキュリティ
責任共有モデル 〜統制・監査にマネージドサービスを駆使ユーザのアプリケーション・コンテンツ

ユーザ

ネットワーク
セキュリティ

サーバー(OS)
セキュリティ

データ
セキュリティ

アクセスコントロール

本来ユーザ責任の役割をクラウドサービスで実現
優れた実践アドバイス

ルール逸脱
検知・対応

常時モニタ
リアル対応

普段と異なる検知・対応

ストレージ

データベース

ネットワーク

基本サービス

クラウド事業者

コンピュートグローバルインフラ

クラウドで⽇本をイノベーション

アベイラビリティゾーン

リージョン

グローバルネットワーク

エッジロケーション

Copyright Toshihide Atsumi

ユーザ⾃⾝でクラウドをコントロール↓↓↓↓↓↓

事業者が担当・クラウド基盤
・サービス運⽤
10

プリヴァト銀⾏
ウクライナ最⼤の銀⾏270アプリケ、４PBデータ、3500サーバをクラウド移⾏

歴史には、腕まくりをして正しいことをしなければならない瞬間があります。

ロシア侵略に⾒る戦争技術の変化とクラウドØ 2022年2⽉侵攻当⽇、AWSはウクライナ政府とクラウド移⾏開始
Ø この2週間前に、ウクライナ議会はデータ国内保管のIT法を変更
Ø ロシアの2/24ミサイル攻撃の前、Microsoftがまずサイバー攻撃を検知
Ø AWS、Microsoftは、政府、企業のシステムを⼀気にクラウド移⾏
Ø 移⾏⽀援(数百億円)は両社共無償 戦争に直⾯した多⼤なノウハウを得た
Ø 厳しい戦禍の下、⾏政、⼾籍、経済、決済、教育はクラウドで維持クラウドサービスは、私たちの国の⼾籍や経済活動の救世主。
クラウドをミサイルで破壊することはできない。
フェドロフ副⾸相兼デジタル変⾰⼤⾂ Twitter
クラウドで⽇本をイノベーション

12「クラウドセキュリティ、発⾒的統制の今」
ミニプレゼンテーション１ への橋渡しØISMAPをテーマにした、過去のCSAJイベント⇒ 登壇者のお⽴場もあり、、Øとあるメガクラウドご担当者の切実な声⇒ 監査に「紙」の証跡が必須︕︖
ØJASA20周年記念イベントで聞いたこれからの課題⇒ お、これはようやくテーマにできる段階︕
クラウドで⽇本をイノベーション

13「クラウドセキュリティ、発⾒的統制の今」
ミニプレゼンテーション２ への橋渡し
Ø前述のエピソードから 監査⼈の依然とした作業⇒ 監査業務向けのクラウドサービス︕︖
Øしかし監査⼈は、開発者利⽤者とは異なる役割、⽬線Øこれだけ急速に進化するメガクラウドにどう取り組む
クラウドで⽇本をイノベーション

14クラウドセキュリティ、発⾒的統制の今
パネルディスカッション 関⼼事〜 ミニプレゼンを深堀り〜 意図、苦労、⼈材、課題など◆クラウドの進化、適切な活⽤と組織、テクノロジー、⼈材育成◆ ISMAPのさらなる進化、次世代監査、クラウドサービスの活⽤クラウドで⽇本をイノベーション

15

u政府がCSPから直接調達という決定の背景〜予防的統制・発⾒的統制の最上位を⾃らコントロール︖

uCSPMの「態勢」（X体制）の現状は〜最後には⼈が判断、対応、そのための練習

uIaaS中⼼の国産CSPへの期待〜個⼈的には、是⾮とも頑張ってほしいです
クラウドで⽇本をイノベーション

16

uISMAPスキームに関わる監査サイドから〜ガバメントクラウドのIaaS向け管理策を超える考えに驚き〜まずは⾼度に進化したサービスを知ることから◆ 次世代監査にクラウドサービスを活⽤〜クラウド利⽤者組織内の監査に役⽴つサービス群◆ しかし、監査側は、クラウド利⽤側とは異なる〜仕組みの裏の理解、統制、SOC２のレベル以上︖
クラウドで⽇本をイノベーション

17

u利⽤者側も監査側も共通の悩み、⼈材uメガクラウドサービス、セキュリティ、統制が分かる⼈材〜メガクラウド外資によくあるカルチャー、会議、姿勢

uクラウド最⼤のリスクは「設定のミス」ではない「設計の在り⽅」〜「責任共有の利⽤者側設定」からクラウドならではの仕組み

クラウドで⽇本をイノベーション

18

u最後にひとこと、ご参加者につたえたいこと

u私、渥美 クラウドで暮らしやすい豊かな⽇本の⽣活、社会
そのために、まだまだクラウドエバンジェリスト役やります

クラウドで⽇本をイノベーション

19