Microsoft Tech Summit 2018

1. クラウド ネイティブなセキュア アプリケーションの
作り方に PCI DSS を添えて
冨田 順
シグマコンサルティング株式会社
CTO
AD19
近江 武一
株式会社 kyrt
代表

2. ようこそ本セッションへ

3. セッションアンケートにご協力ください。
公式イベントアプリで、「Microsoft Tech Summit 2018 参加者アンケート（必須）」と
「各セッションアンケート（ 5 つ以上）」、合わせて 6 つ以上のアンケートにご回答ください。
もれなくオリジナルグッズを贈呈いたします。
Information
Twitter のご案内
本セッションに関するご質問やご感想は、 #mstsjp18 と セッション ID の
ハッシュタグで、ご投稿をお願いします。
#mstsjp18

4. 本セッションの注意事項

5. 本セッションの禁則事項
シャッター音がするカメラでの撮影を禁止します
https://www.microsoft.com/ja-jp/microsoftpix

6. 本セッションのスライドはここからダウンロードできます
https://www.slideshare.net/harutama/presentations

7. 本セッションのレベルは400です

8. https://docs.microsoft.com/ja-jp/azure/
https://www.microsoft.com/ja-jp/TrustCenter/Compliance/PCI
本セッションで取り扱わないこと

9. ポエム
「セキュア と リスク」

10. セキュア = 安全
https://ejje.weblio.jp/content/secure

11. 安全とは?
https://twitter.com/pasupakaru/status/746503306499919873

12. 安全とは?
http://madness-satan.jugem.jp/?eid=1275

13. ここまでまとめ

14. この人が言っている「リスク」ってなんでしょう ?

15. 金融におけるリスクの定義
https://www.nomura.co.jp/terms/japan/ka/kabu_risk.html

16. アップサイドリスク と ダウンサイドリスク
https://www.mizuho-ri.co.jp/glossary/0152.html

17. PMBOK でのリスクとは?
https://www.pmi-japan.org/topics/pmi1/pmbok_5_9.php

18. PMBOK におけるリスクを図にすると
https://www.it-innovation.co.jp/2013/09/11-191800/

19. ここまでまとめ

20. プロが語るセキュリティについてはこちらでどうぞ

21. 本セッションで話したいこと

22. こんなのはセキュアじゃない

23. 本セッションで言いたいこと

24. 本セッションの構造
目的
• セキュアなアプリケーションを作る
目標
• 必要な人だけが必要な情報に
アクセスできる状態を作り出す
• 何かにアクセスしたというログが
残っている
Key Goal Indicator (KGI)
• どれだけクラウドの機能を
利用できているのか?
Key Performance Indicator (KPI)
• PCI DSS の要件に対して
どれだけ準拠できているのか?

25. 目的と目標

26. 本セッションの構造
目的
• セキュアなアプリケーションを作る
目標
• 必要な人だけが必要な情報に
アクセスできる状態を作り出す
• 何かにアクセスしたというログが
残っている
Key Goal Indicator (KGI)
• どれだけクラウドの機能を
利用できているのか?
Key Performance Indicator (KPI)
• PCI DSS の要件に対して
どれだけ準拠できているのか?

27. Key Goal Indicator (KGI)
脅威
回避
マイナスのリスクを回避するために、プロ
ジェクトマネージメント計画書を変更する。
転嫁
脅威によるマイナスの影響を、責任ととも
に第三者へ転嫁する。
軽減
有害なリスク事象の発生確率や影響度
を、受容可能な限界値まで低減する。
受容
受動的:何のアクションも取らずリスク発
生時に対処する。
能動的:時間・お金・資源を含むコンティ
ンジェンシー予備を設ける。
好機
活用 好機が確実に到来するようにする。
共有
プロジェクトの利益となる好機を捉える能
力の高い第三者にオーナーシップを割り当
てる。
強化
確率やプラスの影響を増加させることや、
これらのプラスの影響を持つリスクの主要
因を特定し最大化することで、好機の「規
模」を修正する。
受容
受動的:何もしない
能動的:コンティンジェンシー予備を設ける。
https://www.pmi-japan.org/topics/pmi1/pmbok_5_9.php

28. クラウドはセキュリティにとっての「好機」だと考えます

29. 本セッションの構造
目的
• セキュアなアプリケーションを作る
目標
• 必要な人だけが必要な情報に
アクセスできる状態を作り出す
• 何かにアクセスしたというログが
残っている
Key Goal Indicator (KGI)
• どれだけクラウドの機能を
利用できているのか?
Key Performance Indicator (KPI)
• PCI DSS の要件に対して
どれだけ準拠できているのか?

30. Key Performance Indicator (KPI)

31. ここから本編

32. 今日のお話

33. 情報セキュリティ - CIA
機密性
JIS Q 27002(ISO/IEC 27002)

34. Shared responsibility model – 共有責任モデル
https://docs.microsoft.com/ja-jp/azure/security/security-management-and-monitoring-overview

35. Blueprint: PaaS Web
Application for PCI DSS
https://docs.microsoft.com/ja-jp/azure/security/blueprints/pcidss-paaswa-overview
https://servicetrust.microsoft.com/ViewPage/PCIBlueprint

36. 情報セキュリティ (CIA) 対策の方針

37. キーノートの話にもありましたね

38. アーキテクチャ ダイアグラム
https://docs.microsoft.com/ja-jp/azure/security/blueprints/pcidss-paaswa-overview

39. 構成 ーインフラ視点
SQL Database
App Service
Environment
Key Vault Log Analytics
Application
Insights
Storage
Public Web Private Web Batch
Network
Security Group
VNet
Azure AD

40. Demo: Azure Security Center

41. 認証・アクセス制御
不正アクセス防止
監査・ログ・監視
暗号化 ー 鍵管理

42. アーキテクチャ ダイアグラム
https://docs.microsoft.com/ja-jp/azure/security/blueprints/pcidss-paaswa-overview

43. ３層のアクセス制御
SQL Database
App Service
Environment
Key Vault Log Analytics
Application
Insights
Storage
Public Web Private Web Batch
Network
Security Group
VNet

44. Azure Resource Manager と Resource
○☓

45. 確認：RBACの許可
Microsoft.Sql/servers/databa
ses/write
例： SQL DatabaseのDatabaseの作成
認証されたプリンシパルでActionが許可
されているか確認

46. Actionの例
順位 頻度 名前 例
1 2338read
2 808write
3 669delete
4 87register ADD, ApiManagement, Automation
5 36listkeys Storage, Batch, Automation
6 34stop Automation, Redis
7 31start Automation, Redis
8 31join Network, ML
9 29listsecrets Functions, ApiManagement
10 26unregister ADD, ApiManagement, Automation

47. Workspaces 2015-03-20 – Purge
Azure Resources 内に実装されたアクセス制御

48. まとめ

49. 認証・アクセス制御
不正アクセス防止
監査・ログ・監視
暗号化 ー 鍵管理

50. アーキテクチャ ダイアグラム
https://docs.microsoft.com/ja-jp/azure/security/blueprints/pcidss-paaswa-overview

51. Unauthorized Access (不正アクセス)

52. 多段防御

53. ネットワーク分離と通信制限

54. 脅威分析
Internet DNS
Web App
Firewall
(WAF)
Application
Gateway App Service
Environment
Web App
WebJobs
Azure
Active Directory
Azure
KeyVault
Azure
RBAC
Application
Insights
Storage (Azure)
Azure SQL
database
Azure virtual network
Interaction
Interaction
Interaction
運用管理者
コールセンター
オペレーター
Interaction
Interaction
Web App
Firewall
(WAF)
Application
Gateway
Azure Recource Group
VNSE

55. 認証・アクセス制御
不正アクセス防止
監査・ログ・監視
暗号化 ー 鍵管理

56. アーキテクチャ ダイアグラム
https://docs.microsoft.com/ja-jp/azure/security/blueprints/pcidss-paaswa-overview

57. Log Analytics
Application Insights
ログ
SQL Database
App Service
Environment
Key Vault Log Analytics
Application
Insights
Storage
Public Web Private Web Batch
Network
Security Group
VNet

58. ２つのログ保管サービスと役割

59. KQL によるデータのクエリ

60. まとめ

61. 認証・アクセス制御
不正アクセス防止
監査・ログ・監視
暗号化 ー 鍵管理

62. アーキテクチャ ダイアグラム
https://docs.microsoft.com/ja-jp/azure/security/blueprints/pcidss-paaswa-overview

63. データの暗号化

64. Key Vault 2つのアクセス制御

65. アクセス制御と監査ログ
必ずこっちを使うこと

66. セキュリティワールド

67. まとめ

68. 最後に

69. 最後に

70. Information
「Ask The Speaker」
各ブレイクアウトセッション終了後の休憩時間に、
登壇したスピーカーに直接ご質問いただけるコーナーを
B2F 「Ask The Speaker」 Room に用意
しています。セッション内容のより深い理解のため、
ぜひお役立てください。
（※ハンズオンラーニング、シアターセッション、ビジネストラック
及び 一部のセッションを除きます）

71. セッションアンケートにご協力ください。
公式イベントアプリで、「Microsoft Tech Summit 2018 参加者アンケート（必須）」と
「各セッションアンケート（ 5 つ以上）」、合わせて 6 つ以上のアンケートにご回答ください。
もれなくオリジナルグッズを贈呈いたします。
Information
Twitter のご案内
本セッションに関するご質問やご感想は、 #mstsjp18 と セッション ID の
ハッシュタグで、ご投稿をお願いします。
#mstsjp18

72. 関連セッション

73. セキュリティ関連

74. インフラ関連

75. PaaS 関連

76. Azure AD

77. © 2018 Microsoft Corporation. All rights reserved.
本情報の内容（添付文書、リンク先などを含む）は、作成日時点でのものであり、予告なく変更される場合があります。