AWS運用で気になるセキュリティの話

ここ数年でニーズが拡大しているクラウドネットワークの AWS 。スピードスタートが求められる業界にとって、すぐに、初期費用なしで構築できる AWS は利便性が高く、導入を検討した企業様も多いかと思います。

しかし、検討段階で必ず「クラウドに大事なデータをおいて、セキュリティは大丈夫なのか？」という議論になったのではないでしょうか？年々セキュリティ対策の強化が求められる中、このポイントは必須となるでしょう。

今回、「 AWS ってセキュリティ対策はどうしてるの？安全なの？」という、みなさんが気になる話をお伝えしたいと思います。

AWS運用は安心？セキュリティは大丈夫？

AWS は世界190カ国での導入実績があり、クラウドネットワークサービスの中でもトップシェアを占めるサービスです。セキュリティに厳しい金融機関での利用も増えており、2020年10月には、総務省も政府共通プラットフォームをセキュリティ強化とコスト削減を目的に AWS での運用を始めました。この実績こそが AWS の安全性が認められた証拠になるかもしれません。

では、具体的にどんなことを取り組んでいるの？というと、
まず AWS はセキュリティ対策を最重要視し、方針を出しています。

AWS のセキュリティ方針
セキュリティは AWS において最優先されるべき事項
セキュリティへの大規模な投資
セキュリティに対する継続的な投資
セキュリティ専門部隊の設置
AWSにおけるセキュリティとコンプライアンス

専門部隊が最優先、大規模投資で対策・・・。なんか、すごい感じがします。

実際にそれを証明する手段として、 AWS に導入されているセキュリティとクラウドのコンプライアンスの堅牢な管理に対して、世界中の独立したサードパーティによる認証を取得しています。

その数がすごい！ AWS のセキュリティ対策への本気度が伝わります。

AWSコンプライアンスプログラムより抜粋

また、 AWS は「クラウドのセキュリティ」責任範囲を明確に提示しています。

下記の「 AWS 責任共有モデル」の表にあるように、 AWS は AWSクラウドで提供されるすべてのサービスを実行するインフラストラクチャの保護について責任を負う、としています。

この部分については、 AWS が方針に沿って、強固なセキュリティ対策を実施してくれている、ということです。

AWS 責任共有モデル

https://aws.amazon.com/jp/compliance/shared-responsibility-model/

ということは、自社で構築した AWS の「クラウド内のセキュリティ」は？

この上位レイヤーの OS 、データ、アプリケーションなどは、カスタマーがコントロールをして、セキュリティサービスを利用し対策をする必要があるということになります。

結局、自分たちで対策しなきゃいけないんだ・・・

と思われるかもしれません。しかし、すべての対策を実施するとなると、時間もコストも大変な投資が必要になります。

AWS のインフラストラクチャは、クラウドに合わせて特別に構築され、世界で最も厳しいセキュリティ要件を満たした設計になっています。しかも、24時間365日のモニタリング体制。

インフラストラクチャの部分は最新の強固なセキュリティ対策が実施されている、お任せできる、というだけでも、大きな安心メリットではないでしょうか？

AWS運用は自然災害にも強いセキュリティを発揮できるのか？

地震、台風、水害と自然災害が多い日本の場合、災害時の IT 被害も重要な懸念事項になります。「情報セキュリティ監査人が選ぶ 2020年の情報セキュリティ10大トレンド」では、今まで圏外だった「自然災害による IT 被害の拡大」が1位にランクイン。今後も続くだろう自然災害への対策は必須のセキュリティ対策となりそうです。

では、 AWS は自然災害に強いのか？

もちろん、 AWS のデータセンターが自然災害に合えば、オンプレミスと同様に影響を受けるでしょう。単一のデータセンター障害でも継続可能な対策はとられていますが、 AWS の大きな強みは、災害時を想定して物理的に離れた場所に複数のデータセンターが設置されていることです。

もし災害が起きた場合、複数のデータセンター間のデータレプリケーションに対応した対障害性に強いシステムを構築していれば、サーバー停止を防ぎ、サービスの継続を実現できます。

AWS のデータセンターは世界各地にあるので、海外への対応も可能です。各サービスごとに求めるセキュリティレベルに合わせて、冗長性を選択できるのも魅力ですよね。

自然災害が多い日本では、常に変化する環境に合わせて対策をとる必要があります。グローバルに最新のセキュリティ対策がとれる AWS は「自然災害にも強い」といえるのではないでしょうか？

ところで、そんなに複数のデータセンターが、東京のどこにあるんだ？実物を見に行ってみたい！と興味を持たれた方もいるかもしれませんが、 AWS のデータセンターはセキュリティ観点からも非公開となっています。そりゃあ、そうですよね。

ただ、 AWS のホームページで、データセンターの紹介サイトがありました。
興味がある方は下記紹介ページを参考にしてください。

参考： AWS のデータセンター
https://aws.amazon.com/jp/compliance/data-center/data-centers/

AWSはクローズド環境で運用できるのか？

クラウド上にデータをおいたら、不特定多数な人に利用されたり攻撃されたりしないのか？
社内の人間だけで利用することはできるのか？
そんな不安もあるかと思います。

AWS はアカウンドごとに専用の仮想ネットワーク空間 Amazon VPC が存在します。その VPC の中に、インターネット通信を許可するパブリックサブネットや、特定のネットワークからの通信のみのプライベートサブネットを構築することができます。例えばウェブサーバーはパブリック環境、データベースサーバーはプライベート環境など、用途に合わせて設定が可能です。

また、インスタンスごとに設定できるセキュリティグループで制限も可能です。例えば、ファイルサーバー用の Amazon EC2 を社内環境のみで使用したい場合は、 AWS の仮想ファイアウォールのセキュリティグループを使い、自社保有のグローバル IP アドレスからの通信のみを許可する設定をすることでクローズド環境を実現することができます。