Well-Architected Frameworkのセキュリティの柱

Well-Architected Frameworkは、柱ごとにまとめられたAWSのベストプラクティス集です。Securityの柱は、試験で求められる考え方の基盤になります。

フレームワークには、Operational Excellence、Security、Reliability、Performance Efficiency、Cost Optimization、Sustainabilityという6つの柱があります。試験ではSecurityに重点が置かれます。

最初の原則は、強固なアイデンティティ基盤を構築することです。最小権限を適用し、職務を分離し、アイデンティティを一元化し、一時的な認証情報を優先します。

2つ目の原則は、追跡可能性を有効にすることです。変更をリアルタイムで監視、警告、監査します。CloudTrail、Config、CloudWatchが非常に重要なのはそのためです。

次の原則は、外側の境界だけでなく、すべてのレイヤーでセキュリティを適用することです。エッジ、VPC、サブネット、インスタンス、OS、アプリケーションが対象です。設計原則としての多層防御です。

このフレームワークは、セキュリティの自動化を推奨しています。制御をコードとして定義し、安全な構成を再現可能にすると、イベントへの対応も迅速かつ一貫したものになります。

暗号化、トークン化、アクセス制御を使って、保管中と転送中のデータを保護します。機密性に応じて分類し、直接扱える人物を制限しましょう。

重要な実践方法の1つは、人をデータから遠ざけることです。ツールと自動化を使い、人が生データに触れる機会をできるだけ減らします。関与する人が少ないほど、漏えいの機会も減ります。

最後の原則は、セキュリティイベントに備えることです。インシデントは起こると想定し、ランブックを準備してシミュレーションを実施します。準備そのものが制御になります。

2つの答えがどちらも機能する場合は、原則を使って決めます。最小権限、より多くの自動化、より高い追跡可能性、デフォルトでの暗号化を優先しましょう。

各原則は実際のサービスに対応します。アイデンティティはIAMとSTS、追跡可能性はログ、階層化されたセキュリティはネットワーク防御、データ保護はKMSに対応します。

Securityの柱の原則を思い出しましょう。

Securityの柱は、強固なアイデンティティ、追跡可能性、すべてのレイヤーでのセキュリティ、自動化、データ保護、イベントへの備えという原則を定めています。選択肢を決める際の判断基準として使いましょう。