ガバナンス

セキュリティガバナンスは、全体的なアプローチのサブセットとしてリスク管理を支援するためのポリシーと管理目標を定義することにより、ビジネス目標をサポートすることを目的としています。セキュリティ管理目標に対して階層的アプローチ (各レイヤーを前のレイヤーの上に構築する) を取ることにより、リスク管理を達成します。AWS 共有責任モデルを理解することが、基礎のレイヤーとなります。この知識により、お客様側の責任は何か、AWS から何を継承するかが明確になります。有益なリソースは AWS アーティファクトです。これを使用すると、AWS のセキュリティとコンプライアンスのレポート、および一部のオンライン契約にオンデマンドでアクセスできます。

コントロールの目的のほとんどは、次のレイヤーで満たします。プラットフォーム全体の機能が備わっているのはこちらになります。例えば、このレイヤーには AWS アカウントの販売プロセス、AWS IAM Identity Center などの ID プロバイダーとの統合、共通の検出制御などが含まれます。プラットフォームガバナンスプロセスのアウトプットの一部もこちらにあります。新しい AWS のサービスを使用して開始する場合は、AWS Organizations サービスでサービスコントロールポリシー (SCP) を更新し、サービスの初期使用のためのガードレールを提供します。他の SCP を使用して、一般的にセキュリティ不変条件と呼ばれる共通のセキュリティ制御目標を実装できます。これらは、複数のアカウント、組織単位、または AWS 組織全体に適用する管理目標または設定です。典型的な例としては、インフラストラクチャが実行されるリージョンを制限したり、検出コントロールの無効化を防いだりすることが挙げられます。この中間レイヤーには、設定ルールやパイプラインのチェックなど、体系化されたポリシーも含まれます。

最上位のレイヤーは、製品チームが管理目標を達成する場所です。これは、製品チームが管理するアプリケーションで実装が行われるためです。これには、アプリケーションで入力確認を実装することや、マイクロサービス間で ID が正しく受け渡しされるのを確認することなどが考えられます。製品チームが設定を担当しますが、中間レイヤーから一部の機能を継承できます。

統制を実装する場所がどこであろうと目的は同じです。すなわち「リスク管理」です。一連のリスク管理フレームワークは、特定の業界、リージョン、またはテクノロジーに適用されます。主な目標は「可能性と結果に基づいてリスクを強調すること」です。これが固有のリスクです。次に、可能性、結果、またはその両方を軽減する管理目標を定義します。続いて、管理策を実施することで、結果としてどのようなリスクが生じるのかを確認できます。これは残差リスクです。管理目標は、1 つ以上のワークロードに適用できます。次の図は、典型的なリスクマトリックスを示しています。可能性は過去の発生頻度に基づき、結果はイベントの金銭的、風評的、時間的コストに基づいています。

図 2: リスクレベルの可能性マトリックス