ニュース
AWSジャパン、“最優先事項”に位置付けるクラウドセキュリティの取り組みを説明
2023年3月1日 06:00
アマゾン ウェブ サービス ジャパン合同会社（AWSジャパン）は2月28日、Amazon Web Services（AWS）のクラウドセキュリティに関する取り組みについて説明した。
AWSジャパン パブリックセクター技術統括本部長兼プリンシパルソリューションアーキテクトの瀧澤与一氏は、「クラウドセキュリティはAWSの最優先事項である。AWSを活用することで、優れた可視性と制御による安全な拡張を実現できるほか、統合されたサービスによってリスク対策を自動化し、リスクを低減することができる。最高水準のプライバシーとデータセキュリティを確保できるように設計しており、セキュリティパートナーとのエコシステムもAWSのクラウドサービスの特徴になる」と語った。
AWSでは、アクセス管理をサポートする「AWS Identity and Access management（IAM）」や、アクセス記録をサポートする「AWS CloudTrail」、暗号化を提供する「AWS Key Management Service（KMS）」、ウェブアプリケーションファイヤウォールを提供する「AWS WAF」、機械学習を活用して脅威を検出し、AWSアカウントを保護する「Amazon Guard Duty」、洞察を得ることができる「AWS Security Hub」、EC2のなかでの挙動を管理する「Amazon Inspector」、統合的な運用管理を行う「AWS Systems Manager」、機械学習によって挙動を検知する「Amazon Detective」、アプリケーションのコードの脆弱性を見つける「Amazon Code Guru」、ストレージのなかの機微な情報を発見する「Amazon Macie」などを提供。さまざまなセキュリティニーズに対応できるようにしているという。
特に、可視性と自動化に特徴があるとし、具体例として、Amazon Guard Dutyを活用し、異常なデータ移動などの振る舞いを検知すると、監視サービスであるAmazon CloudWatchを通じて、インシデント通知を行うだけでなく、AWS Lambdaでネットワークを自動的に遮断し、情報漏えいを防ぐことができるといった仕組みを構築できると説明。
「自動化によって、24時間365日の監視と、迅速な対応ができるようになる。検知から対処までの時間を短縮することで、リスクを回避したり、軽減したりすることが可能になる。結果としてセキュリティレベルを高めることができる」などとした。
また、AWSジャパン セキュリティアシュアランス本部長の松本照吾氏は、「アジアの企業の93％がサイバーセキュリティのリスクを懸念しているが、この解決にはクラウドが適している。オンプレミスでは可視性が欠如し、自動化が欠如し、セキュリティには限界がある。マッキンゼーでは、ワークロードやインフラをクラウド環境に移行することで、組織のリソースの安全性を高め、サイバーチームの管理を簡素化できると指摘している。日本のデジタル庁でも、クラウド活用においては、マネージドサービスによって適切に管理が行え、高水準のセキュリティ対策を低コストで実現できるとしている」と述べた。
さらに、「AWSでは責任共有モデルによって、データなどのクラウド内のセキュリティは、お客さまが選択したAWSクラウドサービスによって決定している。一方で、クラウドそのもののセキュリティは、AWSが責任を持って運用している。言い換えれば、データの統制はお客さまだけが可能な状態になっており、それを実現するためにAWSは、クラウドサービスのセキュリティをしっかりと守っている。AWSでは、さまざまなセキュリティコンプライアンスに取り組み、世界中のリージョンにおいて、グローバルなセキュリティ標準やフレームワークを採用している。リージョンによっては、地域ごとに必要になるものがあれば追加しており、例えば地震が多い日本では建築基準法に準拠した建物にしている」などとした。
AWSは、日本においては、2021年にISMAPを取得し、最初の登録事業者の1社になっており、これも高いセキュリティレベルを維持していることの裏づけといえる。
「ISMAPでは、責任範囲の管理と情報の提供、機能の提供の3点が、クラウドサービスプロバイダーに求められている。AWSでは、これらに対応するとともに、ISMAPカスタマパッケージを用意し、必要な情報をパッケージ化して提供しながら、ISMAPで求められる高いセキュリティレベルのサービスを提供している」と述べたほか、「AWSは、お客さまのセキュリティ向上をさまざまな形で支援し、安全な基盤を提供するだけでなく、お客さまが設定したセキュリティのゴールを達成するための支援も行っている」とも語った。
また説明会では、AWSのCISO（最高情報セキュリティ責任者）であるCJ Moses氏による「Security Predictions in 2023 and Beyond」で示されたセキュリティに関する予測についても触れた。
同レポートは、2022年11月に公表されたもので、そのなかで、6つの予測として、「セキュリティは、組織が行うすべてのことにおいて不可欠になる」、「ダイバーシティの考慮は、セキュリティ人材のギャップに継続的に対処できる」、「AI/MLによる自動化で、より強力なセキュリティが実現」、「データ保護への投資が促進される」、「多要素認証のより高度な形式が普及する」、「量子コンピューティングがセキュリティに効果を発揮する」を挙げた。
AWSの瀧澤統括本部長は、「断続的なセキュリティ対応が不可欠であり、AWSは、そのためにさまざまなセキュリティサービスを提供している。また、世界には419万人のサイバーセキュリティの専門家がいるが、272万人不足しているとの指摘があり、この課題を解決するには多様なバックグラウンドや経験を持った人材を育成することが必要だと考えている。機械学習を活用した検知や分析のほか、指数関数的に増加するデータを保護すること、データ保護に関する法律への対応にも投資を加速することになるだろう。そして、バイオメトリクスやマルチモーダル形式の多要素認証に移行すること、量子コンピューティングを活用した暗号化や、耐量子セキュリティの強化も必要である。AWSは、これらの分野に対しての投資を加速している」と語った。
一方、CLOUD法（Clarifying Lawful Overseas Use of Data Act）に関する内容についても説明した。CLOUD法は、米国政府が定めたもので、海外のデータの合法的使用を明確化する法律だ。名称からクラウドに限定した法律のように聞こえるが、直接的にクラウドサービスを対象にしたものではない。また、米国の法執行機関に対して、クラウド内のデータに対して自由なアクセス権を与えるというものではないことも指摘した。
その上で、「CLOUD法では、顧客の同意がある場合と、米国の刑事訴訟に従い米国の裁判所が発布した令状がある場合にはデータの差し押さえが可能になる。また、クラウドサービスプロバイダーが、他国の法律や国益に抵触する要求に異議を申し立てる権利が認められている点も特徴である」とし、「AWSでは、お客さま自身が、所有するデータの管理を維持すべきだと確信しており、お客さまが自分のコンテンツを保護するための高度な暗号化や、キー管理のサービスを数多く提供している。AWSを活用していれば、安全にデータを守ることができる」と述べた。
AWSのクラウドサービスでは、データの所在地やデータの移転は顧客が選択でき、データを国内に保持し、データを勝手に海外に移転されることがない点や、重要データについてはコンフィデンシャルコンピューティングによって、高度なデータ処理による暗号化が可能になっている点、データへのアクセス管理ができる点などを強調した。
さらに、ソブリンクラウドに対する取り組みについても言及。「ソブリンクラウドでは、機能が制限されたクラウドソリューションを使うという選択になっているが、AWSではデータを統制した形ですべての機能を使えるサービスであるべきだと考えている。sovereign by designの考え方により、企画や設計段階から統制を視野に入れた仕組みを構築すること、透明性の確保と保証により信頼を得たものにすること、パートナーとともにチームによって変化に対応できるソブリンクラウドを実現することが大切である」とした。
AWSでは、企画および設計段階からデータの統制を行ったり、AWS Nitro Systemによる高度な処理を通じてデータを保護したりできるほか、電子政府推奨の暗号化技術の採用や第三者機関による認証によって信頼性の高い環境を実現。ドイツでは、ドイツテレコムグループのT-SystemsがAWSのマネージドサービスとしてデータ保護を提供するなど、パートナーとの連携によって、各国の規制に対応したソブリンクラウド環境を実現している例も示した。さらに、AWSが米国政府機関からデータ開示を受けた情報についても公開しており、「米国政府の要求によって、日本のリージョンのデータが開示された実績はない」とした。
なお、AWSの現状についても説明。現在、190カ国以上で数百万のユーザーが利用し、日本では数十万以上が利用しているほか、世界31地域99カ所のデータセンター群から、200以上のクラウドサービスを提供し、2021年だけで3084件の新機能を追加したことを紹介。日本では東京リージョンと大阪リージョンで構成し、東京リージョンでは、関東エリアに分散した4つのアベイラビリティゾーン（AZ）、大阪リージョンでは3つのAZで構成。自然災害の影響を受けにくく、ミッションクリティカルなニーズにも対応していることを強調した。また、これまでに129回の値下げを行い、2022年の年間売上高が801億ドルを達成したことも示した。
AWSの瀧澤統括本部長は、「AWSは、サーバーレスアプリケーションの構築と実行に利用可能な一連のマネージド型サービスを用意しており、これによる運用機能は料金のなかに含まれている。政府機関や民間企業でも、運用負荷を下げ、セキュアな環境で活用できる」としたほか、「2011年～2022年において、AWSは日本市場に対して1兆3510億円の投資を行い、日本のGDPへの貢献は1兆3060億円に達している。そして、2万300人以上の雇用も生み出している」と述べた。
さらに、サステナビリティに関する取り組みでは、2025年までに再生可能エネルギーの電力比率を100％にすること、2030年までに配送の50％を炭素ゼロ化すること、2040年までに炭素ゼロ化を100％達成する目標を掲げており、進捗は順調に進んでいることを示しながら、CO2排出量のモニタリングや分析、未来予測を行うAWS Customer Carbon Footprint Toolを提供するなど、顧客企業の環境戦略を支援する取り組みも行っていることも紹介した。
「日本では公共分野での採用が増えており、機微な情報を扱うような業界でもAWSが採用されている。AWSは、テクノロジーとデータを民主化し、一人ひとりがデジタルの恩恵を享受できる社会の実現に貢献する」と語った。