セキュリティの実装、統合、検証 - AWS 規範ガイダンス
実装Integration検証

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

セキュリティの実装、統合、検証

セキュリティ、リスク、コンプライアンス要件をマッピングした後、次のドメインはセキュリティの実装、統合、検証です。特定された要件に基づいて、リスクを効果的に軽減するための適切なセキュリティコントロールと対策を選択します。これには、暗号化、アクセスコントロール、侵入検知システム、ファイアウォールなどが含まれます。侵入検知および防止システム、エンドポイント保護、アイデンティティ管理などのセキュリティソリューションを既存の IT インフラストラクチャに統合して、包括的なセキュリティカバレッジを提供します。脆弱性スキャン、侵入テスト、コードレビューなどの定期的なセキュリティ評価を実施して、セキュリティコントロールの有効性を検証し、弱点やギャップを特定します。セキュリティの実装、統合、検証に焦点を当てることで、組織はセキュリティ体制を強化し、セキュリティ違反の可能性を減らし、規制要件と業界標準への準拠を実証することができます。

実装

まず、現在のセキュリティ、リスク、コンプライアンスのしきい値または需要に関するドキュメントを更新します。これにより、計画されたセキュリティとコンプライアンスの要件、コントロール、ポリシー、ツールをクラウドに実装できます。このステップは、検出ワークショップ中に特定された既存のリスク登録と選好が定義されている場合にのみ必要です。

次に、計画されたセキュリティとコンプライアンスの要件、コントロール、ポリシー、ツールをクラウドに実装します。これらは、インフラストラクチャ、オペレーティングシステム AWS のサービス、アプリケーションまたはデータベースの順に実装することをお勧めします。以下の表の情報を使用して、セキュリティとコンプライアンスのすべての必須領域に対処していることを確認します。

[面積]

セキュリティとコンプライアンスの要件

インフラストラクチャ

  • AWS アカウント

  • ランディングゾーン

    • 予防的コントロール

    • 「発見的コントロール」

  • ネットワークセグメンテーション

  • アクセスコントロール

  • Encryption

  • ログ記録、モニタリング、アラート

AWS のサービス

  • AWS のサービス 設定

  • インスタンス

    • [Storage (ストレージ)]

    • ネットワーク

  • アクセスコントロール

  • Encryption

  • 更新とパッチ

  • ログ記録、モニタリング、アラート

オペレーティングシステム

  • ウイルス対策

  • マルウェアとワームの保護

  • 設定

  • ネットワーク保護

  • アクセスコントロール

  • Encryption

  • 更新とパッチ

  • ログ記録、モニタリング、アラート

アプリケーションまたはデータベース

  • 設定

  • コードとスキーマ

  • アクセスコントロール

  • Encryption

  • 更新とパッチ

  • ログ記録、モニタリング、アラート

Integration

セキュリティ実装では、多くの場合、以下との統合が必要です。

  • ネットワーク — 内外のネットワーク AWS クラウド

  • ハイブリッド IT ランドスケープ – オンプレミス AWS クラウド、パブリッククラウド、プライベートクラウド、コロケーションなど、 以外の IT 環境

  • 外部ソフトウェアまたはサービス – 独立系ソフトウェアベンダー (ISVs) によって管理され、お客様の環境でホストされていないソフトウェアおよびサービス。

  • クラウド運用モデルサービス – DevSecOps 機能を提供する AWS クラウド運用モデルサービス。

移行プロジェクトの評価フェーズでは、検出ツール、既存のドキュメント、またはアプリケーションインタビューワークショップを使用して、これらのセキュリティ統合ポイントを特定して確認します。でワークロードを設計および実装するときは AWS クラウド、マッピングワークショップで定義したセキュリティおよびコンプライアンスポリシーとプロセスに従って、これらの統合を確立します。

検証

実装と統合の後、次のアクティビティは実装を検証することです。セットアップがセキュリティとコンプライアンスの AWS ベストプラクティスに沿っていることを確認します。次の 2 つのカバレッジエリアからセキュリティを検証することをお勧めします。

  • ワークロード固有の脆弱性評価と侵入テスト - で実行されるワークロードのオペレーティングシステム、アプリケーション、データベース、またはネットワークセキュリティを検証します AWS のサービス。これらの検証を実行するには、既存のツールとテストスクリプトを使用します。これらの評価を実行するときは、AWS ペネトレーションテストのカスタマーサポートポリシーに準拠することが重要です。

  • AWS セキュリティのベストプラクティスの検証 - AWS 実装が AWS Well Architected Framework および Center for Internet Security (CIS) などの他の選択されたベンチマークに準拠しているかどうかを検証します。この検証では、、Prowler (GitHub)AWS Trusted Advisor、AWS Service Screener (GitHub)、AWS セルフサービスセキュリティ評価 (GitHub) などのツールとサービスを使用できます。

セキュリティおよびコンプライアンスに関するすべての調査結果を文書化し、セキュリティチームおよびリーダーに伝えることが重要です。レポートテンプレートを標準化し、それらを使用して、それぞれのセキュリティステークホルダーとのコミュニケーションを容易にします。検出結果の修正中に行われたすべての例外を文書化し、それぞれのセキュリティ関係者が署名していることを確認します。