クラウドセキュリティは AWS の最優先事項です。AWS のお客様は、セキュリティを最も重視する組織の要件を満たすよう構築されたデータセンターとネットワークアーキテクチャを利用できます。
AWS クラウドの利点は、お客様が安全な環境を維持しながらその環境をスケーリングし、進化させることを可能にすることです。実際に使用したサービスに対してのみ料金が発生するため、事前の投資なしで必要なセキュリティを獲得でき、オンプレミス環境よりもコストを削減できます。
管理性とプライバシーの向上 – すべてをより低コストで
データの保護
AWS インフラストラクチャでは、お客様のプライバシーを保護するための、強力な安全対策が用意されています。すべてのデータは安全性が非常に高い AWS データセンターに保存されます。
コンプライアンスの要件に準拠
AWS では、インフラストラクチャ内で数多くのコンプライアンスプログラムを管理できます。つまり、コンプライアンスの一部は最初から達成されています。
コスト削減
AWS データセンターを利用することでコストを削減できます。独自の施設を管理することなく、最高のセキュリティ基準を維持できます。
迅速なスケーリング
AWS クラウドの使用量に合わせてセキュリティをスケーリングできます。ビジネスの規模に関わらず、AWS インフラストラクチャによってデータが保護されます。
AWS クラウドは世界中の 18 個の地理的リージョンと 1 つのローカルリージョンにある 55 個のアベイラビリティーゾーンで運用されており、さらに 4 つのリージョン (バーレーン、香港特別行政区、スウェーデン、米国で 2 番目の AWS GovCloud リージョン) と 12 個のアベイラビリティーゾーンが追加される予定です。
リージョンおよびアベイラビリティーゾーンの数
米国東部
バージニア北部 (6)、オハイオ (3)
米国西部
北カリフォルニア (3)、オレゴン (3)
アジアパシフィック
ムンバイ (2)、ソウル (2)、シンガポール (3)、シドニー (3)、東京 (4)、大阪ローカル (1)
カナダ
中部 (2)
中国
北京 (3)、寧夏 (2)
欧州
フランクフルト (3)、アイルランド (3)、ロンドン (3)、パリ (3)
南米
サンパウロ (3)
AWS GovCloud (US-West) (3)
新しいリージョン (近日追加予定)
バーレーン
中国香港特別行政区
スウェーデン
AWS GovCloud (米国東部)
リージョン間レプリケーションによる継続性の向上
アベイラビリティーゾーンを使用した同一リージョン内の複数のデータセンター間でのアプリケーションやデータのレプリケーションに加えて、地理的リージョンを越えたデータレプリケーションにより冗長性と耐障害性を増大させることも選択できます。
コンプライアンスおよびデータレジデンシー要件を満たす
データが物理的に存在するリージョンについてはお客様が完全な管理権と所有権を保持するため、地域的なコンプライアンス要件およびデータレジデンシー要件を満たすことは簡単です。
地理的拡張
AWS クラウドでは、さらに 12 個のアベイラビリティーゾーンと 4 つのリージョン (バーレーン、香港特別行政区、スウェーデン、米国で 2 番目の AWS GovCloud リージョン) を追加する予定です。
すべてのステップで AWS の専門的なサポートネットワークを利用できます
-
インフラストラクチャのセキュリティ
AWS では、プライバシーを高めネットワークアクセスをコントロールするため、いくつかのセキュリティ機能とサービスが用意されています。具体的には次のとおりです。
- Amazon VPC に組み込まれたネットワークファイアウォールと、AWS WAF の Web アプリケーションファイアウォール機能でプライベートネットワークを作成し、インスタンスとアプリケーションへのアクセスを制限
- 全サービスに共通した TLS による転送時の暗号化
- オフィスやオンプレミス環境からのプライベートまたは専用接続を可能にする接続オプション
-
DDoS の緩和
クラウドでは可用性が最も重要です。AWS のお客様は AWS サービスの利点や組み込みのテクノロジーを基礎から活用して、DDoS 攻撃に対する耐障害性を実現しています。
AWS サービスの組み合わせを使用して深層防御戦略を実装し、DDoS 攻撃を阻止することができます。DDoS への自動応答を行うように設計されたサービスは、影響の軽減や削減までの時間を最小化するうえで役立ちます。
分散サービス妨害攻撃の軽減のための、Auto scaling、Amazon CloudFront、Amazon Route 53 といった AWS テクノロジーの使い方に関する詳細を確認。
-
データの暗号化
AWS にはスケーラブルで効果的な暗号化機能が提供されており、クラウド内に保管中のデータのセキュリティをより一層強化できます。これには以下が含まれます。
- EBS、S3、Glacier、Oracle RDS、SQL Server RDS、および Redshift といった、AWS のストレージおよびデータベースサービスに利用できる、データの暗号化機能
- 暗号化キーを AWS 側で管理するか、完全に自分で管理するかを選択できる、AWS Key Management Service などの柔軟なキー管理オプション
- コンプライアンスの要件を満たすことを可能にする、AWS CloudHSM を使用した専用の、ハードウェアベースの暗号化キーストレージ
さらに、AWS には、AWS 環境内でお客様が開発またはデプロイされたどのサービスにも暗号化とデータ保護を統合できる API が用意されています。
-
インベントリおよび設定
AWS には、クラウドリソースを組織の標準とベストプラクティスに準拠させつつスピードを向上させるため、幅広いツールが用意されています。これには以下が含まれます。
- アプリケーションの脆弱性やベストプラクティスからの逸脱で、影響を受けるネットワーク、OS および接続されたストレージなどを自動的に評価できる、セキュリティ評価サービスの Amazon Inspector
- AWS リソースの作成と廃棄を組織の標準に従って管理するためのデプロイツール
- AWS リソースを判別し、それらリソースへの変更を長期的に追跡管理する、AWS Config などのインベントリおよび設定管理ツール
- 標準的な事前設定環境を作成するための、AWS CloudFormation などのテンプレート定義および管理ツール
-
モニタリングとロギング
AWS には、お客様の AWS 環境で何が起きているかを正確に把握できるツールと機能が用意されています。これには以下が含まれます。
- AWS CloudTrail による、呼び出しの実行者、内容、発生地点など、API 呼び出しに対する高い可視性
- 調査とコンプライアンスレポートを容易にするログ収集オプション
- Amazon CloudWatch による、特定のイベント発生時またはしきい値超過時のアラート通知
これらのツールと機能によって、ビジネスに影響が及ぶ前に問題点を特定できる可視性が得られ、環境のセキュリティ体制を向上させ、リスクプロファイルを減少させることができます。
-
ID およびアクセスの管理
AWS では、AWS サービス全体に対してユーザーアクセスポリシーを定義し、適用し、管理できます。これには以下が含まれます。
- 個々のユーザーアカウントに AWS リソース全体でのアクセス許可を定義可能にする AWS Identity and Access Management (IAM)
- ハードウェアベースの認証システムに向けたオプションを含む、特権アカウントに向けた AWS Multi-Factor Authentication
- 社内ディレクトリとの統合および連携によって管理コストを削減し、エンドユーザーエクスペリエンスを向上できる AWS Directory Service
AWS では、多くのサービスについてネイティブな Identity and Access Management の統合、およびお客様のアプリケーションやサービスとの API 統合を実現しています。
-
侵入テスト
任意の AWS リソースへの、または AWS リソースからの侵入テストの承認をリクエストするには、AWS 脆弱性/侵入テストリクエストフォームに必要事項を記入して、送信してください。侵入テストのリクエストに関して注意すべき複数の重要事項があります。
- すべての侵入テストに許可が必要です。
- 許可をリクエストするには、テストを希望するインスタンスに関連付けられているルート認証情報を使用して、AWS ポータルにログインする必要があります。これを行わないと、フォームが正しく事前入力されません。サードパーティーにテストの実施を依頼する場合は、フォームに必要事項を記入して、AWS から承認が下りた時点でサードパーティーに通知することをお勧めします。
- AWS のポリシーでは、お客様が所有する EC2 と RDS のインスタンスのテストのみが許可されます。AWS の他のサービスや、AWS で所有しているリソースに対するテストは禁止されています。
- 現時点において、当社のポリシーでは、スモール RDS インスタンスまたはマイクロ RDS インスタンスのテストは許可されていません。m1.small または t1.micro の EC2 インスタンスのテストは許可されていません。これは、他のお客様と共有する可能性のあるリソースのパフォーマンスに悪影響が及ぶ可能性を未然に防ぐためです。
APN パートナーは、お客様のオンプレミス環境にある既存のコントロールと同等または同一の、あるいはそのコントロールと統合できる、業界のトップ製品を多数提供しています。これらの製品は、既存の AWS のサービスを補完することで、クラウド環境とオンプレミス環境の両方で包括的なセキュリティアーキテクチャとよりシームレスな体験のデプロイを可能にしています。
