牛タン会議 2019 (ITのイベントだよ）で発表した資料です。 https://vsuc.connpass.com/event/156131/

1. クラウドセキュリティ
について考える
~牛タン会議 2019~
2019/12/12
山本誠樹 a.k.a 世界のやまさ
Microsoft MVP for Microsoft Azure July 2014 ~ June 2020
@nnasaki

2. タイムライン
コミュニティ
参加
2011
コミュニティ
登壇・開催
2012
Azure出会い
登壇大失敗
2013
Microsoft MVP
受賞
退職
2014
フリーランス
2015
フリーランス
2016
会社員になる
de:code登壇
2017
JKD18.12登壇
2018
転職
2019

5. https://tech.nikkeibp.co.jp/atcl/nxt/news/18/06701/

6. https://www.asahi.com/articles/ASMD57WSXMD5UTIL065.html

7. クラウドなら安全なの？

8. https://www.itmedia.co.jp/news/articles/1905/09/news084.html

9. https://downdetector.jp/shougai/windows-
azure/nyusu/278093-microsoft-azure-nifa-sheng-
shitazhang-hai/

10. https://japan.zdnet.com/article/35139925/

11. https://special.nikkeibp.co.jp/atclh/NXT/19/microsoft0930_2/vol5/index.html

12. ここまでのまとめ
• オンプレもクラウドも障害が起きる
• オンプレは自分で治す
• クラウドは放っておいても治る
• オンプレは作った時点が最高の品質
• クラウドは継続して信頼性の向上を行っている

13. とはいえクラウド怖いよね

14. クラウドなにが怖いか？
• 実体が見えない
• インターネットに直接つながっている
• 情報漏洩
• ハッカーに狙われる
• 閉鎖環境じゃないと。。。
• インターネットに機密情報を置くなど言語道断

15. ハッカーに狙われるのは本当
• Microsoftは世界で二番目にサイバー攻撃を受けている組織
• 世界で一番攻撃を受けている組織は米国防総省(ペンタゴン)
• https://news.mynavi.jp/itsearch/article/security/1534
• 当然Azureも常に攻撃を受けている

16. 階層型防御

17. セキュリティセンター
https://www.microsoft.com/ja-jp/security/business

18. https://special.nikkeibp.co.jp/atclh/NXT/19/microsoft0930_2/vol2/index.html

19. 企業のセグメント化戦略は、従来の "ネットワークのセグメント化
" セキュリティ戦略よりも高いレベルで定義されます。 オンプレミ
ス環境に対する従来のセグメント化アプローチは、さまざまな技術
チームによって "ボトムアップ" で開発され、企業のユース ケース
やアプリケーション ワークロードに適切に適合していなかったた
め、目標を達成できないことがよくありました。 これにより、サ
ポートの問題を引き起こす極度の複雑さが生じる結果となり、多く
の場合、広範囲に作成されたネットワーク ファイアウォールの例
外によって元の意図が損なわれています。
https://docs.microsoft.com/ja-
jp/azure/architecture/security/governance

20. https://docs.microsoft.com/ja-jp/azure/architecture/framework/security/network-security-
containment#discontinue-legacy-network-security-technology

21. https://azure.microsoft.com/ja-jp/blog/cis-azure-
security-foundations-benchmark-open-for-comment/

22. 政府情報システムにおけるクラウドサー
ビスの利用に係る基本方針
• うちは立ち入り検査が必要なんじゃ！
• P13
• クラウドサービスの情報セキュリティ機能の実態を利用者が個別に詳
細に調査することは困難である。そのため、パブリック・クラウドに
関しては、第三者による認証や各クラウドサービスの提供している監
査報告書を利用することが重要である。
• P9
• (2) クラウドセキュリティ認証等の認証基準、監査フレームワークの監
査報告書の活用や個別の調査等により、クラウドサービス提供者から
提供されているサービスが統一基準を満たしていることを確認するも
のとする。
https://cio.go.jp/sites/default/files/uploads/document
s/cloud_%20policy.pdf

23. https://www.microsoft.com/security/blog/2019/10/23/perimeter-based-network-
defense-transform-zero-trust-model/

24. まとめ
• オンプレの考えをクラウドにそのまま持ち込むのやめよう
• クラウドにはクラウドの適したセキュリティの考え方をしよう

25. Appendix

26. 完璧なアプリとは何か？
絶対に落ちない いつでも使える 24X365 すぐに応答がある

27. そんなアプリありますか？

28. 回復性の高いアプリを作ろう
• アプリケーションも耐障害性より回復しやすい作りにする
• Bulkhead
• Circuit Breaker
• 補正トランザクション
• 正常性エンドポイント監視
• Leader Election
• キュー ベースの負荷平準化
• Retry
• Scheduler エージェント スーパーバイザー
https://docs.microsoft.com/ja-jp/azure/architecture/patterns/category/resiliency