いつも忘れないように、コンセプトから。
コンセプト
・お金かけてまでやりたくないのでほぼ無料でAWSを勉強する
→ちょっとしたサービスを起動すると結構高額になりやすい。
・高いレベルのセキュリティ確保を目指す
→アカウントを不正に使われるととんでもない額を請求されるので防ぐ
いろいろ忙しかったので久しぶりにお勉強をはじめました。コロナでリモートワークなので通勤時間分は空いているはずなんですが、その分勉強するかというとやってないですね。。。朝起きてちょっとして仕事をはじめ、終えて寝る。時間はちょっとずつありますが、ダラダラ過ごしてしまい、良くないなと思う今日この頃です。
AWSブログ(セキュリティ)
さて、先週末にちょっと興味深いAWSブログが公開されてました。DoDというのはアメリカ国防総省ですが、そこでセキュリティのレベル認定を行っていて、そのレベル４をパスしたサービスが追加されたというものです。
https://aws.amazon.com/jp/blogs/security/16-additional-aws-services-authorized-at-dod-impact-level-4-for-aws-govcloud-us-regions/
追加されたのは以下のサービスです。
Amazon Cloud Directory
Amazon Comprehend
Amazon Kinesis Data Firehose
Amazon Route 53
Amazon SageMaker (also authorized at DoD IL 5)
Amazon Transcribe
Amazon Translate
AWS CodeBuild
AWS CodeCommit
AWS DataSync
AWS IoT Greengrass
AWS License Manager
AWS Organizations
AWS Service Catalog
AWS Trusted Advisor
AWS Web Application Firewall (WAF)
全部使うかというと、そうでもないものもありますが、なかなか充実してきました。Sagemakerだけ高いレベルなんで、DoDでも積極的に使っているんでしょうか。ちなみに、AWSのサービスがどのコンプライアンスに適合しているかは以下のサイトにまとまっています。知っている人も多いと思いますが。。。
https://aws.amazon.com/jp/compliance/services-in-scope/
こちらは日本語なので読みやすいですね。結構評価中のものもあるので、自社に導入する時のセキュリティ基準に加えるのも良いと思います。ちなみに、適合しているからといって、そのサービスが安全かというえばそうではなく、どういう風に設定して、どう使うかが重要なのは言うまでもありませんね。設定をミスすれば情報漏洩につながります。
ただ、逆に適合しているサービスであれば、正しく使えば安全だとも判断できるので、そういう意味では有効な指標だとも思います。安全なサービスを正しく使うというのが重要ですね。
なお、DoDのクラウドに対するセキュリティ要件はこちらを参照するとわかります。レベルの解説は22ページ以降に記載されています。
https://dl.dod.cyber.mil/wp-content/uploads/cloud/pdf/Cloud_Computing_SRG_v1r3.pdf