安全なクラウド利用環境に向けた
クラウドセキュリティ対策
2017年11月27日
日本クラウドセキュリティアライアンス
業務執行理事/事務局長 諸角昌宏

Copyright © 2016 Cloud Security Alliance Japan Chapter

http://www.chapters.cloudsecurityalliance.jp/

CSA本部の事業の日本における展開
ガイダンス、CCM、STAR、CCSK等

WGを中心とした調査研究活動
CSA本部WGとの協業
CSAジャパン独自のWG
日本発グローバルWG

情報発信活動セミナー、シンポジウム
Summit、Congress、月例勉強会等

ホワイトペーパ等の翻訳、公開
Copyright
Copyright ©
© 20162016 CloudCloud Security
Security Alliance
Alliance Japan
Japan Chapter
Chapter

http://www.chapters.cloudsecurityalliance.jp/

2

＜参考＞
Security, Trust& Assurance
Registry
セキュリティ
認証

クラウドコン
ピューティングのためのセキュリ
ティガイダンス
コントロールマトリクス

ISO27001/HIPAA/HITECH Act他の基準との連結 /AICPA/COBIT4.1/
ENISA IAF/ FedRAMP/PCI DSS v2.0

WGや研究活動
知識確認
Copyright © 2016 Cloud Security Alliance Japan Chapter

http://www.chapters.cloudsecurityalliance.jp/

3

Big Data ユーザWG
医療情報ユーザWG
モバイルユーザWG
IoT WG
CCM/STAR WG
SDPWG
ガイダンス WGCASB WGSLA Innovation WG
Blockchain WG
Cloud Data Center Security WG
クラウドプライバシー WG
クラウドセキュリティ WG
Copyright
Copyright ©
© 20162016 Cloud
Cloud Security
Security Alliance
Alliance Japan
Japan Chapter
Chapter

http://www.chapters.cloudsecurityalliance.jp/

4Copyright
Copyright ©
© 20162016 Cloud
Cloud Security
Security AllianceAlliance Japan
Japan Chapter
Chapter

http://www.chapters.cloudsecurityalliance.jp/

5

目的
クラウドセキュリティの各分野に対して、推奨事項、技術的対策についてフォーカスし、クラウドセキュリティとして、技術的なベースラインを明確にすることで、より安全なクラウド利用に向けてのガイドラインを作成する

対象とするクラウドセキュリティの分野
インフラセキュリティ
データセキュリティ（暗号化を含む）
ID、アクセス管理
アプリケーション開発
仮想化
インシデント管理

Copyright
Copyright ©
© 20162016 Cloud
Cloud Security
Security Alliance
Alliance Japan
Japan Chapter
Chapter

http://www.chapters.cloudsecurityalliance.jp/

6

IaaS

パッチ適用、不要なサービスの停止などのホストの安全化
クライアントとクラウドの間の通信の暗号化
サーバ接続に用いるホスト鍵の保護アクセスできる人を限定する
プラットフォームのセキュリティ対策について、プロバイダに確認する

PaaS
アプリケーション設計を厳密に行う。アプリケーションに必要なセキュリティ機能を組み込む。
プラットフォームのセキュリティ対策について、プロバイダに確認する
SaaS

プロバイダのセキュリティ対策について、プロバイダに確認する

Copyright
Copyright ©
© 20162016 Cloud
Cloud Security
Security Alliance
Alliance Japan
Japan Chapter
Chapter

http://www.chapters.cloudsecurityalliance.jp/

7データセキュリティライフサイクル•
各フェーズにおけるデータセキュリティ•
作成（Create）•
データの作成/変更/更新/修正•
情報の機微性、価値に基づいて分類•
保存（Store）•
データベース、ストレージ等にデータを格納•
データの保護（暗号化、アクセス管理）•
利用（Use）•
データの利用（アプリケーション等）•
モニタリング、アクセス制御（DLP、DRM）•
共有（Share）•
他のユーザとデータを共有•
ポリシー、DLP
アーカイブ（Archive）•
使用頻度の落ちたデータの保管•「保存」と同じレベルのデータ保護•
破棄（Destroy）•
データの完全な削除・破棄（物理的あるいは論理的）•
法律、規制にも注意が必要•
利用者側での破棄： クリプトシュレッディング•

Copyright
Copyright ©
© 20162016 Cloud
Cloud Security
Security Alliance
Alliance Japan
Japan Chapter
Chapter（クラウドコンピューティングのためのセキュリティガイダンス V3.0から引用）

http://www.chapters.cloudsecurityalliance.jp/

8

クラウド環境での課題

機密情報がファイアウォールの外に出ていることを前提としたポリシー設
定およびセキュリティ対策が必要
様々なデバイス、様々な場所からのアクセス

クラウドサービスごとに必要となるID、アクセスの管理
クラウド環境でのID,アクセス管理の推奨事項
連携（フェデレーション、Federation）
プロビジョニング
新しいテクノロジー

IDaaS（ID as a Service）
ID、アクセス管理をクラウドで展開

Copyright
Copyright ©
© 20162016 Cloud
Cloud Security
Security Alliance
Alliance Japan
Japan Chapter
Chapter

http://www.chapters.cloudsecurityalliance.jp/

9ソフトウエア開発ライフサイクル（Software Development LifeCycle, SDLC）• 定義• ビジネスおよびセキュリティ要件を決定• アプリケーションの目的、ビジネス要件を満たすために必要なことを定義• デザイン• 脅威モデル、セキュリティを考慮したデザイン• 開発• コードレビュー、ユニットテスト、静的分析• テスト• 脆弱性診断、動的分析、機能テスト、品質保証（QA)＊セキュリティチームが、開発のすべてのフェーズに関わることが重要
定義
••

設計

セキュリティ仕様の定義
コーディング規約••

脅威モデル
セキュリティを考慮したデザイン開発•••

コードレビュー
単体テスト
静的分析

Copyright
Copyright ©
© 20162016 Cloud
Cloud Security
Security Alliance
Alliance Japan
Japan Chapter
Chapter

テスト
••
•

脆弱性診断
動的分析
品質保証

http://www.chapters.cloudsecurityalliance.jp/10仮想化環境のセキュリティ
ハイパバイザのセキュリティ
ハイパバイザの構成管理、運用管理の徹底
ログの監視等

ハイパバイザの脆弱性対策
パッチ適用等

ゲストVMのセキュリティ
仮想マシンの暗号化（イメージに対する改ざんの防止等）
VMの移動時の管理
Copyright
Copyright ©
© 20162016 Cloud
Cloud Security
Security Alliance
Alliance Japan
Japan Chapter
Chapter

http://www.chapters.cloudsecurityalliance.jp/11インシデント管理プロセス• 準備• データの処理、保存場所等の確認• プロバイダとのSLA,契約の理解•
プロバイダの連絡先、役割、責任、インシデントの連絡方法等• インシデント管理の計画を立てる• 検知、分析• データの入手、解析•
プロバイダ提供のデータと利用者が収集するデータの両方• フォレンジック• 拡大防止• 利用者の責任において実施。プロバイダは支援する• インスタンスの一時停止、アクセス制御等• 排除と復旧• 利用者の責任において実施。プロバイダは支援する

準備

検知
分析

拡大防止

Copyright
Copyright ©
© 20162016 Cloud
Cloud Security
Security Alliance
Alliance Japan
Japan Chapter
Chapter

排除
復旧
http://www.chapters.cloudsecurityalliance.jp/12新たにガイドラインが必要か？
すでに、CSAのガイドラインがあり、また、様々な団体がガイドライン的な資料を公開している状況で、新たなガイドライン（解説本）は不要？
クラウドセキュリティは、すでに、提案書ベースでビジネスとして進めている段階になっている。つまり、ビジネスとしての実装段階である。
実装に向けて専門家を育てていく段階であり、新たなガイダンスを作る段階ではない。

製品を含めたリファレンスを作成するということであればメリットがある。ただし、ベンダーニュートラルにする必要がある。

クラウドセキュリティWGの意義はあるのか？
すでに知識のある人にとっては、新たなガイドラインを作成することに関するモチベーションは少ない。

ボランティアベースのWGとして、参加者にメリットがある活動にするにはどうすればよいか？
新しいトピックが必要（例：IoT、BlockChain）。

Copyright
Copyright ©
© 20162016 Cloud
Cloud Security
Security Alliance
Alliance Japan
Japan Chapter
Chapter

http://www.chapters.cloudsecurityalliance.jp/

13

1.
••2.

•
••
3.
•

抽出フェーズ
ガイドラインから、フォーカスすべき要素を抽出抽出した要素のカテゴリ分け
解釈/分類フェーズ
各要素の内容の理解
利用者運用イメージの検討
技術的対策について検討
実現フェーズソリューションを活用した具体策の検討•

OSSベースでのソリューションのマッピング、解説

Copyright
Copyright ©
© 20162016 Cloud
Cloud Security
Security Alliance
Alliance Japan
Japan Chapter
Chapter

http://www.chapters.cloudsecurityalliance.jp/

14

CSAアカデミーの開始
2017年度当初目標の実現
クラウドセキュリティのリテラシ向上の取り組み。
会員のCCSK取得を支援
新しいガイダンス4.0を活用

クラウドセキュリティWGの活動、CSAアカデミーを両輪にして、クラウドセキュリティそのものの底上げを図っていきたい。
Copyright
Copyright ©
© 20162016 Cloud
Cloud Security
Security Alliance
Alliance Japan
Japan Chapter
Chapter

http://www.chapters.cloudsecurityalliance.jp/

15

Thanks!
Copyright © 2016 Cloud Security Alliance Japan Chapter

http://www.chapters.cloudsecurityalliance.jp/