Fin-JAWS 第31回金融向けリファレンスアーキテクチャ「AWS金融パートナから見た金融向けリファレンス～リファレンスを活用した全社ベースライン構築事例～」

Fin-JAWS 第31回金融向けリファレンスアーキテクチャ AWS金融パートナから見た金融向けリファレンス 〜リファレンスを活用した全社ベースライン構築事例〜 シンプレクス株式会社 岸野秀昭 1 ©2023 Simplex Inc.

AWS Security Roadshow Japan 2021 自己紹介 ◼ 氏名：岸野 秀昭 Hideaki Kishino ◼ 所属： シンプレクス株式会社 クロス・フロンティアディビジョン インフラ & DX推進グループ ◼ 役割： CSIRT および CCoE の一員として プロジェクト横断でセキュリティ対策推進を担当 ◼ APN関連活動歴： AWS Security Roadshow Japan 2021 登壇 FISC準拠支援のためのAWSパートナーコンソーシアム (幹事企業) 金融リファレンスアーキテクチャ日本版 プレビュー参加 2 ©2023 Simplex Inc.

お招きいただきありがとうございます！ 3 ©2023 Simplex Inc.

当社と「金融リファレンスアーキテクチャ日本版」 プレビューに参加し、AWSJ主催の技術説明会に登壇しました https://aws.amazon.com/jp/blogs/news/financereferencearchitectureproductionseminar202210/ 4 ©2023 Simplex Inc.

• https://aws.amazon.com/jp/blogs/news/financereferencearchitectureproductionseminar202210/

5 ©2023 Simplex Inc.

6 ©2023 Simplex Inc.

7 ©2023 Simplex Inc.

「金融リファレンスアーキテクチャ日本版」で評価すべきポイント 実装まで踏み込んだ リファレンスである点 ✓ BLEA for FSI を CDK で提供 ✓ ガバナンスベース ✓ サンプルアプリケーション FISC安全対策基準の 実務基準との対応表がある点 ✓ テンプレートを利用した場合に 各基準をどのように満たすか確認可能 8 マルチアカウントを前提とした テンプレートである点 ✓ Control Tower を中心に マルチアカウント管理が テンプレート化されている ©2023 Simplex Inc.

「金融リファレンスアーキテクチャ日本版」で評価すべきポイント クラウドジャーニーのあらゆる ステージで参照すべきリファレンス 実装まで踏み込んだ リファレンスである点 ✓ FISC安全対策基準の 実務基準との対応表がある点 マルチアカウントを前提とした テンプレートである点 PROJECT / FOUNDATION → これをベースに実装 BLEA for FSI を CDK で提供 ✓ テンプレートを利用した場合に ✓ Control Tower を中心に ✓ ガバナンスベース 各基準をどのように満たすか確認可能 マルチアカウント管理が MIGRATION / REINVENTION → 答え合わせ ✓ サンプルアプリケーション テンプレート化されている 9 ©2023 Simplex Inc.

当社での活用事例 10 ©2023 Simplex Inc.

施策への取込み内容 (展開途中を含む) 全社セキュリティベースラインを ガバナンスベースを参考に構成 ✓ 展開中のベースラインにおいて BLEA for FSI のガバナンスベースを 活用して対応内容を修正 ✓ 次ページで詳細を補足 FSI Lens for FISC を利用した ワークロード評価 ✓ Well-Architected Tool の カスタムレンズとして定義を行い ワークロードのレビューに活用 11 当社CDKライブラリへの サンプルアプリ統合 ✓ 各サンプルアプリケーションに 当社独自要素を加え 再利用可能なテンプレートを 社内に提供 ©2023 Simplex Inc.

【参考】全社セキュリティベースライン ✓ ガバナンスベースを参考に Control Tower を採用 ✓ 各セキュリティサービスは可能な限り AWS Organizations との連携でデプロイ (BLEAではCDKでデプロイ) ✓ 各セキュリティサービスの運用部分を補完すべく、独自に監視・レポートツールをデプロイ 12 ©2023 Simplex Inc.

せっかくAWSJにいるので… 利用時の課題もお伝えします 13 ©2023 Simplex Inc.

「金融リファレンスアーキテクチャ日本版」で感じた課題 セキュリティ運用までは 踏み込んでいない コスト観点の 落とし穴が存在する Well-Architected Toolの カスタムレンズが日本語非対応 ✓ テンプレート内でセキュリティサービスの 有効化は実施している ✓ 一方でそれらの活用度合いや、どのよう に運用していくかまでは言及がない ✓ 特にAWSを利用し始めて間もない場 合はこのあたりも重要な情報ではないか ✓ Control Tower の構成では、Config レコーダーが必須で導入され、停止や 記録対象の絞り込みもできない ✓ 特にCDK利用案件では導入フェーズで スタックの作り替えを行うケースが多く費 用高騰しがち ✓ 導入時は管理下としないことで回避中 ✓ マルチバイト文字が利用でき ないため、元が日本語でも カスタムレンズは英語入力 ✓ リンクは掲載可能だが、地味 に使い勝手がよくないポイント 14 ©2023 Simplex Inc.

「金融リファレンスアーキテクチャ日本版」で感じた課題 実際に使ってみて分かる課題もある とはいえすべてリファレンス側で網羅することは難しく セキュリティ運用までは コスト観点の Well-Architected Toolの 踏み込んでいない 落とし穴が存在する カスタムレンズが日本語非対応 ✓ 利用事例の発信等を通じて、利用者主体で テンプレート内でセキュリティサービスの ✓ Control Tower の構成では、Config ✓ マルチバイト文字が利用でき より使いやすいリファレンスに育てていくことを期待 有効化は実施している レコーダーが必須で導入され、停止や ないため、元が日本語でも ✓ 一方でそれらの活用度合いや、どのよう に運用していくかまでは言及がない ✓ 特にAWSを利用し始めて間もない場 合はこのあたりも重要な情報ではないか 記録対象の絞り込みもできない ✓ 特にCDK利用案件では導入フェーズで スタックの作り替えを行うケースが多く費 用高騰しがち ✓ 導入時は管理下としないことで回避中 15 カスタムレンズは英語入力 ✓ リンクは掲載可能だが、地味 に使い勝手がよくないポイント ©2023 Simplex Inc.

まとめ 16 ©2023 Simplex Inc.

まとめ ✓ 「金融リファレンスアーキテクチャ日本版」はクラウドジャーニーの あらゆるステージで参照すべきリファレンス ✓ 初学者はサンプルから始めることができる ✓ 熟練者は答え合わせとして使うことができる ✓ 一方で実際に使ってみて分かる課題もあった ✓ 主に Control Tower …。 ✓ 利用者による発信等を通じてより使いやすくなる余地がある ✓ 利用する上での注意点や、個社ごとに追加で考えるべきポイント等を整理 ✓ これによりリファレンスが期待する個社ごとのカスタマイズもやりやすくなるのでは ✓ 特に既存管理構成からの移行のハードルは下がるはず 17 ©2023 Simplex Inc.

Thank you ! 18 ©2023 Simplex Inc.