AWSボリュームに暗号化は必要なのか？
当初、実際にAWSのデータセンターの実サーバーに物理的に侵入された場合や、AWSの管理システムへのハッキングした時くらいにデータを守れるという認識だったのでそれが正しいのかどうかAWSサポートに問い合わせをしてみた.
AWSサポート問い合わせ結果(原文は載せれないので要約)
1. お客様のセキュリティあるいはコンプライアンス要件を満たせるようにご用意している機能
多くのユーザーはこのコンプライアンス基準へ準拠のためだけに、ストレージ暗号化の機能を利用しているのが現実らしい
2. AWSのデータセンターに対して物理的な侵害が発生した場合に、保護する事が可能になる
これは想定していた当然のメリットである.
3. EBS と EC2 インスタンスとはネットワークを経由で通信するが、暗号化ボリュームを使用している場合この通信経路上も暗号化される
これは少しびっくりしたが、よく考えてみたら当然でEC2とEBSはネットワーク経由で通信しており、暗号化していない場合はそのネットワーク間は覗けてしまう状態らしい(誰かがここを傍受できる環境にはなっていないと思われるが)
4 KMSに対するキーポリシーで制御することでセキュリティへの多層防御を実現するための一つの層として機能する
通常はIAM などでのアクセスコントロールを行うがそれに加え、暗号化した場合KMSに対するキーポリシーで制御することで多重防御セキュリティとなる
e.g)
機密レベルに応じて KMS の CMK を使い分けることで、その鍵へのアクセスを制御するキーポリシーで一括してアクセス可能な先をコントロールするという方法などがある
さらに、KMS には API のコールログを記録する機能あるので、証跡として残すことが可能になる
ストレージデバイスが製品寿命に達した際の廃棄プロセスについても聞いてみた
AWS の処理手順には、ストレージデバイスが製品寿命に達した場合に、顧客データが権限のない人々に流出しないようにする廃棄プロセスが組み込まれており、AWS は、DoD 5220.22-M（「National Industrial Security Program Operating Manual（国立産業セキュリティプログラム作業マニュアル）」）または NIST 800-88（「Guidelines for Media Sanitization（メディア衛生のためのガイドライン）」）に詳細が記載されている技術を用いて、廃棄プロセスの一環としてデータを破棄される.廃棄された磁気ストレージデバイスはすべて業界標準の方法に従って消磁され、物理的に破壊しているとのこと
参考資料:
https://d0.awsstatic.com/International/ja_JP/Whitepapers/AWS%20Security%20Whitepaper.pdf
総評
AWSやGCP、Azureなどの大手クラウドサーバーを利用する場合、既にほぼ守られており、そこを突破した攻撃が来た場合、どちらにしろ防ぎようがないと思っているので、ボリュームの暗号化の必要性をあまり感じていなかったが、今回の問い合わせによって、不明確だった部分の知識を得た.
多重防御し、いつどのようにくるかわからない攻撃に耐えられる確率を少しでも上げることが大事.
余談
このあたりの話はTwitterで意見を募ったがあまり的確な回答がなかったので、あまり世の中に周知されていない部分なのかもしれないと思い初めて記事を書いてみました.
意見あればコメント下さい.