- 公開日
- 最終更新日
【AWS セキュリティ成熟度モデルを読み解く】 - 最適化
この記事を共有する
目次
パーソル＆サーバーワークスの髙井です。
AWS を中心としたクラウドインフラの設計・構築・運用を担当しています。
はじめに
本ブログは「AWS セキュリティ成熟度モデルを読み解く」シリーズの第4回（最終回）です。
前回の第3回では効率化フェーズ（セキュリティ運用の仕組み化・自動化）を紹介しました。今回取り上げる「最適化」フェーズは、成熟した組織がさらに高度な対策を講じ、セキュリティを組織文化として定着させることを目的としています。
クイックウィンが「鍵をかける」、基礎が「家の構造を堅牢にする」、効率化が「セキュリティシステムを自動運転にする」だとすれば、最適化は「セキュリティを組織の DNA に組み込む」フェーズです。
想定読者
- 効率化フェーズまでの対策が整い、さらなる高度化を目指している方
- Just-in-Time アクセス、脅威インテリジェンス、生成 AI のセキュリティに関心がある方
最適化フェーズの全体像
最適化フェーズでは、クイックウィンから効率化までと同じ10カテゴリにわたり、高度かつ専門的な推奨事項が定義されています。本シリーズでは第1回と同じ4カテゴリ（アイデンティティとアクセス管理、脅威検知、データ保護、インシデントレスポンス）に絞って紹介します。
選定理由は第1回で述べたとおり、規模・業種を問わず多くの組織に当てはまる（汎用性が高い）カテゴリであるためです。
本ブログで取り上げる最適化の推奨事項一覧
| カテゴリ | 推奨事項 | 概要 |
|---|---|---|
| アイデンティティとアクセス管理 | 一時的な昇格アクセスの管理 | 必要なときだけ特権を付与し、不要になったら自動で取り消す |
| 脅威検知 | 脅威インテリジェンスの活用 | 外部の脅威情報を取り込み、検知精度と対応速度を向上させる |
| データ保護 | 生成 AI データの保護 | 生成 AI 利用時のデータ漏洩・不正利用を防止する |
| インシデントレスポンス | SOAR の活用とチケット管理 | インシデント対応をオーケストレーションし、可視化・自動化する |
下記のとおり、それぞれの推奨事項について詳しく見ていきます。
一時的な昇格アクセスの管理
最適化フェーズでは、特権アクセスを「常時付与」するのではなく、必要なときだけ一時的に付与し、不要になったら自動で取り消す Just-in-Time（JIT）アクセスの仕組みが推奨されています。
JIT アクセスの基本的な流れは下記のとおりです。
- 担当者がアクセスをリクエスト（理由・期間を明示）
- 承認者がリクエストを承認
- 一時的な認証情報またはロールが付与される
- 指定時間の経過後、アクセスが自動で取り消される
AWS IAM Identity Center の一時的な昇格アクセス機能や、AWS のパートナーソリューションを活用して実現できます。
すべてのアクセスリクエストと承認がログに記録されるため、監査証跡としても有用です。
＜補足＞
まず本番環境の管理者権限から JIT アクセスを適用し、段階的に対象を拡大するのが現実的な進め方です。
「常に管理者権限を持っている人」がいる状態は、内部不正やアカウント侵害時のリスクを大幅に高めます。
最初はシンプルな承認ワークフロー（例：Slack での承認→手動でのロール付与）から始め、運用が安定してからツールで自動化するアプローチも有効です。
脅威インテリジェンスの活用
効率化フェーズでカスタム脅威検出基盤を構築した上で、最適化フェーズでは外部の脅威インテリジェンスを検知ルールに統合します。
脅威インテリジェンスとして活用される情報は下記のとおりです。
- 攻撃者の IP アドレスリスト
- マルウェアのファイルハッシュ
- 攻撃者の手口・戦術
- 業界固有の脅威レポート
GuardDuty のカスタム脅威リスト機能を使えば、独自の IP アドレスリストやドメインリストを取り込み、検知ルールに反映できます。
＜補足＞
脅威インテリジェンスは持っているだけでは価値がありません。
収集した情報を検知ルールに反映して初めて意味があります。
高額な商用フィードを契約する前に、まずは AWS が提供する脅威情報を活用する等、検知ルールへの統合パイプラインを構築することが先決です。
生成 AI データの保護
Amazon Bedrock をはじめとする生成 AI サービスの利用が拡大する中、最適化フェーズでは生成 AI に関連するデータ保護が推奨されています。
生成 AI 利用時に考慮すべきリスクは下記のとおりです。
- 機密データのモデルへの意図しない送信（データ漏洩）
- モデル出力の正確性・信頼性の担保
- プロンプトインジェクションによる不正な出力の誘導
- 生成されたコンテンツの権利・コンプライアンス上の問題
Amazon Bedrock Guardrails を活用することで、入力・出力の両方にフィルターを適用し、不適切なコンテンツや機密情報の漏洩を防止できます。
＜補足＞
生成 AI のセキュリティはまだベストプラクティスが固まっていない領域です。
技術の進化が速いため、「完璧なポリシーを最初に作る」よりも、基本的なガバナンスルール（利用可能なモデルの制限、入力データの分類基準、出力の人間レビュー要否）から整備し、継続的に見直すアプローチが現実的です。
SOAR の活用とチケット管理
効率化フェーズで個別のプレイブックを自動化した後、最適化フェーズではインシデント対応全体をオーケストレーションする仕組みを構築します。
SOAR（Security Orchestration, Automation and Response）の導入により実現できることは下記のとおりです。
- すべてのインシデントをチケットとして追跡・管理
- SLA に基づく自動エスカレーション（対応期限超過時に上位者へ通知）
- 対応メトリクスの可視化（MTTD: 検知までの平均時間、MTTR: 復旧までの平均時間）
- 複数のセキュリティツールをまたいだワークフローの自動実行
Splunk SOAR や Palo Alto Networks Cortex XSOAR などのサードパーティ製品、または AWS サービスの組み合わせ（Security Hub + EventBridge + Step Functions）で実現可能です。
＜補足＞
SOAR ツールの導入は大きな投資になるため、まず既存のチケット管理ツールでインシデントの可視化から始めるのが現実的です。
「何件のインシデントが発生し、平均何時間で対応完了しているか」を計測できるだけでも大きな進歩です。
メトリクスが揃ってから、ボトルネックの自動化に投資する判断ができます。
本ブログで触れなかった最適化の推奨事項
下記の推奨事項は本シリーズの4カテゴリには含まれませんが、最適化フェーズとして重要な項目です。
| カテゴリ | 推奨事項 | 概要 |
|---|---|---|
| セキュリティガバナンス | セキュリティタスクの責任分担 | RACI マトリクスによるセキュリティ責任の明確化 |
| セキュリティ保証 | 監査証拠の収集自動化 | AWS Audit Manager による監査エビデンスの自動収集 |
| アイデンティティとアクセス管理 | IAM データ境界の活用 | VPC エンドポイントポリシーと条件キーによるデータ境界の実装 |
| アイデンティティとアクセス管理 | IAM ポリシー生成パイプライン | コードベースの IAM ポリシー管理と自動テスト |
| 脅威検知 | VPC フローログの分析 | ネットワークトラフィックの異常検知と可視化 |
| 脆弱性管理 | 脆弱性管理チームの編成 | 脆弱性のトリアージと対応を専門で行うチームの設置 |
| インフラストラクチャ保護 | ゼロトラストアクセスの実装 | AWS Verified Access によるネットワーク境界に依存しないアクセス制御 |
| インフラストラクチャ保護 | 抽象化サービスの利用 | コンテナ・サーバーレスによるインフラ管理負荷の軽減 |
| アプリケーションセキュリティ | レッドチームの編成 | 攻撃者視点でのセキュリティテストを行う専門チームの設置 |
| インシデントレスポンス | ブルーチームの編成 | 防御・検知・対応を専門で行うチームの設置 |
| インシデントレスポンス | 高度なセキュリティ自動化 | 機械学習を活用した異常検知と自動対応の高度化 |
| インシデントレスポンス | 設定不備の自動修正 | Security Hub のカスタムアクションによる自動修復 |
| レジリエンス | ディザスタリカバリの自動化 | AWS Elastic Disaster Recovery による復旧プロセスの自動化 |
| レジリエンス | カオスエンジニアリングの実施 | AWS Fault Injection Service による障害注入テスト |
詳細は AWS セキュリティ成熟度モデル - 最適化 を参照してください。
シリーズ全体のまとめ
全4回にわたり、AWS セキュリティ成熟度モデルの4つのフェーズを同じ4カテゴリで追ってきました。
下記のテーブルに、各カテゴリの進化の軌跡をまとめます。
| カテゴリ | クイックウィン | 基礎 | 効率化 | 最適化 |
|---|---|---|---|---|
| アイデンティティとアクセス管理 | MFA の有効化 | SCP/RCP によるガードレール | 最小権限の継続的な見直し | Just-in-Time 昇格アクセス |
| 脅威検知 | GuardDuty の有効化 | 追加保護プランの有効化 | SIEM/SecLake によるカスタム検出 | 脅威インテリジェンスの統合 |
| データ保護 | パブリックアクセスのブロック | 保存時の暗号化（KMS CMK） | 転送中の暗号化（TLS/ACM） | 生成 AI データの保護 |
| インシデントレスポンス | 検出結果への対応体制 | プレイブックの文書化 | プレイブックの自動化 | SOAR によるオーケストレーション |
このテーブルから分かるとおり、各カテゴリとも「手動→定義→自動化→高度化」という一貫した進化の方向性があります。
AWS セキュリティ成熟度モデルは、単なるチェックリストではなく、組織全体のセキュリティ文化を段階的に育てるためのロードマップです。
すべてのフェーズを一度に実現する必要はありません。自組織の現在地を把握し、次のフェーズに向けて一歩ずつ進めていくことが重要です。
本シリーズが、皆さまのセキュリティ対策の優先順位付けの一助になれば幸いです。
この記事は私が書きました
髙井 大暉
記事一覧頑張ってインフラエンジニアやってます。
