Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

ハイブリッドクラウド時代のサイバーセキュリティの考え方

18 views

Published on

2018/12/19
行く年、来る年、年忘れセキュリティ

Published in: Business
  • Be the first to comment

  • Be the first to like this

ハイブリッドクラウド時代のサイバーセキュリティの考え方

  1. 1. ハイブリッドクラウド時代の サイバーセキュリティの考え方 久保田 朋秀,CISSP 日本マイクロソフト株式会社 クラウドプラクティス技術本部 クラウド セキュリティ アーキテクト 2018-12-13
  2. 2. 自己紹介 所属会社:日本マイクロソフト株式会社 Cloud Security Architect としてパートナー企業様のクラウドソリューション開発および拡販支援を担当 【個人としての活動】 経済産業省 「クラウドサービスに関するセキュリティガバナンス確立の検討に係る有識者会議」委員 「クラウドセキュリティガイドライン活用ガイドブック」執筆など 日本セキュリティ監査協会(JASA) JASA-クラウドセキュリティ推進協議会 コア会議メンバー 公益財団法人金融情報システムセンター(FISC) システム監査専門委員会 システム監査指針改訂に関する検討部会委員 情報ネットワーク法学会会員 近畿大学,工学院大学, 放送大学 非常勤講師
  3. 3. Digital Transformation DXの考え方とクラウドサービスの立ち位置 • National Guideline • Trends of Digital Transformation
  4. 4. クラウドを取り巻く潮流 政府情報システムにおけるクラウドサービスの利用に係る基本方針 https://cio.go.jp/sites/default/files/uploads/documents/cloud_%20policy.pdf • 政府情報システムもクラウドサービスが 第一候補 ➢ クラウド バイ デフォルト ➢ セキュリティもクラウドネイティブへ
  5. 5. (中略) クラウド導入とセキュリティ基準 • 2013年時点で、経産省ガイドライン も新しいビジネスのためにクラウドの 活用促進を目的に作られている ➢ セキュリティは導入阻害要因ではない クラウドサービス利用のための情報セキュリティマネジメントガイドライン http://www.meti.go.jp/policy/netsecurity/downloadfiles/cloudsec2013fy.pdf
  6. 6. AI (bots, agents, robo- advisors, intelligent automation)オープン API バンキング ブランチレス銀行 ブロックチェーン Fintech パートナーシップ 予測分析 ( IoT, big data ) アドバイザリー ペイメント カード コマーシャルバンク 預金貸出 銀行免許 金融サービス企業の革新と進化(DXの例) 6
  7. 7. デジタル化が重要差別化要因に オンラインサービスが 使いやすい/便利だった 金利が有利だった メリットがあるサービスがあった 就職・転職などで振込先を変える必要があった 引っ越しなどで近所に銀行がなかった 手続きが遅かった 受付対応が悪い セキュリティがよい 積極的資産運用層 入金のみ利用層 住宅ローン契約 利用者層別 傾向 質問:あなたが銀行の乗り換えをしたのは、どのような事情・理由によるものでしたか。(複数回答)
  8. 8. クラウドを活用したビジネス変革 2 倍 営業利益はほぼ倍増 4 万ドル 従業員あたりの収益増加額 50% 収益に対する平均純利益の 増加率 出典: Keystone Strategy のホワイト ペーパー「Data & Analytics Maturity Model & Business Impact」、「The Digital Business Divide」 (2016 年) 最新のクラウド、データ、および AI テクノロジを採用する組織は、競合組織よりも優位に立っています
  9. 9. F A S H I O N I S T A S Revenue: +6% Profitability: -11% Market Value: -12% D I G I R A T I Revenue: -4% Profitability: -11% Market Value: -7% B E G I N N E R C O N S E R V A T I V E デジタル化 革新的マネジメント より早くデジタル化を成熟させた企業が好業績を上げている Source: MIT Sloan “How digital leaders outperform their peers in every industry” +9% 収益率 +12% 市場価値 +26% 利益率 Revenue: -10% Profitability: +9% Market Value: +7% Revenue: +9% Profitability: +26% Market Value: +12% 最先端に追随 ビギナー 保守的に追随 デジタルエリート
  10. 10. クラウドサービスを利用する目的 企業がデジタライゼーションやデジタルトランスフォーメーション を進める上での有効な手段のひとつ 「Digitalization」 ビジネスモデルを変えたり新しい収益や価値を生み出す機会を提供する為にデジタル技術 を利用すること。デジタルビジネスへ移行する為のプロセス(Gartner) 「Digital Transformation(DX)」 DXとは、企業が「第3のプラットフォーム」技術を活用して、新しい製品やサービス、新 しいビジネスモデル、新しい関係を通じて価値を創出し、競争上の優位性を確立すること (IDC)
  11. 11. Cloud Security の考え方 オンプレミス時代から変えるべきセキュリティ対策のスタート地点 • Identity-centric Management
  12. 12. デバイス データユーザー アプリ オンプレミス オンプレミス時代のセキュリティ 境界の「中と外」という考え方
  13. 13. クラウド時代のセキュリティ アプリケーション デバイス データ ID 境界の外で様々なやりとりがなされる時代
  14. 14. オンプレミス セキュリティの軸がIDへ Azure Active Directory
  15. 15. 多要素認証 アクセス権限の付与 アクセス拒否 パスワードリセット の強制****** 条件付きアクセス Controls On-premises apps Web apps ユーザー デバイス 場所 アプリ Conditions Machine learning Policies Real time Evaluation Engine Session Risk 3 10TB Effective policy 条件付きアクセス
  16. 16. 名刺、社員証など・・・ インターネットの世界で自分で自分をどのように証明しますか? ところで「外」で自分が自分であることの証明方法は? 実社会なら・・・ 河野さんセクションのフォローアップ
  17. 17. ID管理の4つのフェーズ
  18. 18. Windows Server Active Directory Azure Public cloud Commercial IdPs Consumer IdPs Partners Customers Azure AD Connect Azure Active Directory
  19. 19. Microsoft Azure Security Center
  20. 20. 全体のセキュリティ状態の可視化 赤い表示が 危険性のある項目
  21. 21. 継続的なセキュリティ評価 システム更新プログラムが 適用されていないVMが 83台中34台あることがわかる
  22. 22. 脆弱性を迅速に特定し、修復 マルウェアの脅威に対する リアルタイム保護を行って いないコンピューターが 計33台あることがわかる
  23. 23. 多くのセキュリティ関連製品と連携 IDアクセスの情報のほか、 サーバーログやFWのログ マルウェア対策ソフトのログ など様々な製品のログを結び つけて利用できます。
  24. 24. 攻撃者に関する情報を取得 どこから、どのような攻撃が どれだけ来ているかがわかる ため予防対策が容易となる ホワイトリスト・ブラックリスト への適用など防止・抑止を容易に
  25. 25. セキュリティ操作と調査の簡素化 攻撃をうけてしまった人や 端末からデータのやりとり などの関係図を構築し 被害範囲を特定し、修復 プロセスへ
  26. 26. Azure Security Center 単一のクラウドベースのコンソールで、ハイブリッド クラウドワークロードのセキュリティを動的に検出し て管理する 統合された可視性と制御 攻撃の被弾を減らすためのリスクを特定し、軽 減する、実用的でアダプティブな保護を実現 アダプティブな脅威の防止 高度な分析と Microsoft インテリジェントセキュリ ティグラフを使用して、進化するサイバー脅威を迅速 に検出し、対応する インテリジェントな検出と応答
  27. 27. Cloud Security Trend さらなる安心安全、より簡単に運用 • Microsoft Trusted Cloud
  28. 28. システムの中身が見えないクラウドでは情報の開示が重要! Microsoftのサービスは、セキュリティ対策の徹底とプライバシーの保護、各種法令の遵守 そして、情報の公開による透明性の確保を原則とし、信頼されるサービスの提供を目指しています。 マイクロソフトにおける情報開示例
  29. 29. https://www.microsoft.com/ja-jp/trustcenter Trust Center セキュリティやコンプライアンス、 プライバシーに関連する情報は Trust Centerというサイトで 公開しています。 多くの情報が掲載されているので、 是非ご確認ください。
  30. 30. https://servicetrust.microsoft.com/ Service Trust Portal サービスを利用される方々の 法令順守において、サービサーの 遵守状況を知ることは必要不可欠です。 このポータルでは、各サービスの監査が どのような状況かを確認できます。 コンプライアンスマネージャーでは 各種監査におけるマイクロソフトが 実施する評価項目とサービス利用者が 実施する項目があり、どういった点を 実施すべきかを確認し、実施状況を まとめることができます。
  31. 31. Service Trust Portal クラウドサービス利用時の利用者側の 内部監査はSOC2レポートなど第三者 による保証型監査レポートを参照する 方式が主流になる流れ。 随時、最新の資料が更新されています。 ※契約者のみ、認証あり
  32. 32. Security Architecture ステップに合わせたクラウドネイティブアーキテクチャー • Microsoft Cybersecurity Reference Architecture
  33. 33. Securing Privileged Access Office 365 Security Rapid Cyberattacks (Wannacrypt/Petya) https://aka.ms/MCRA Video Recording Strategies SQL Encryption & Data Masking Office 365 Dynamics 365 +Monitor Data Loss Protection Data Governance eDiscovery
  34. 34. 図の見方および河野さんセッションのフォローアップ • 利用者(顧客、エンドカスタマー)企業のクラウドサービス導入状況は、各社によってステップが 異なります。 • 社内のサーバー、端末+DCのみのお客様と、パブリッククラウドを使いこなしているお客様では 次にとるべき対応も異なります。 • アニメーション設定されているPowerPointではステップの進化が順に示されますので、ダウン ロードして活用してください。(次に必要な導入サービスなどの参考に) • 各種セキュリティ製品ともログを統合し、短い時間で攻撃や侵入被害を検知できるインテリジェン トな各種クラウドネイティブなセキュリティ機能を活用することで、潜在的な脆弱性の抑制や状況 の把握を行い、被害が発生した際には、素早い検知、被害の抑制、原因の特定、復旧のプロセスを できるだけ早いタイミングで行うシステムアーキテクチャー(事業者の方はサービス= Cybersecurity Operation Service / Incident Response and Recovery Services)を組むこと を最終目的地とした製品導入や中長期計画が重要です。
  35. 35. © Copyright Microsoft Corporation. All rights reserved.

×