組織全体でセキュリティを重視する文化醸成が重要--「AWS re:Inforce 2024」

寺島菜央 (編集部)

2024-07-10 16:57

 アマゾン ウェブ サービス ジャパン(AWSジャパン)は7月9日、Amazon Web Services(AWS)が米国ペンシルバニア州で開催したセキュリティイベント「AWS re:Inforce 2024」に関する説明会を報道機関向けに開催した。同イベントは米国時間6月10~12日に開催され、AWSのセキュリティソリューションやクラウドセキュリティ、コンプライアンスなどにおいて250以上のセッションが行われた。

AWSジャパン 瀧澤氏
AWSジャパン 瀧澤氏

 説明会では、AWSジャパン 執行役員 パブリックセクター技術統括本部長の瀧澤与一氏が基調講演のサマリーとサービスアップデートについて説明した。

 基調講演では、AWS 最高情報セキュリティ責任者(CISO)のChris Betz(クリス・ベッツ)氏が、“Culture of security”(セキュリティのカルチャー)をテーマにセキュリティにおけるポイントを説明したという。

AWS CISOのBetz氏
AWS CISOのBetz氏

 Culture of securityは、企業/組織全体でセキュリティを重視するカルチャーを実現するという考え方。Betz氏は、システムの提供において、セキュリティの強固や脆弱(ぜいじゃく)性、さまざまな脅威に対応するために技術に着目しがちだが、セキュリティをより強固にするにはカルチャーが重要だと指摘している。

 AWSではセキュリティを最優先事項に据えており、最高経営責任者(CEO)を含むリーダーシップチームが毎週セキュリティの議論をしている。提供しているサービスを顧客が安全に活用できるように、サービスに影響を与える脅威や安全の確保に対して経営陣が責任を持って対応しているという。

 このセキュリティの確保に向け、「Security Guardian Program」を社内で適用しており、セキュリティの知見を持つボランティアメンバーが集まり、ミーティングでの情報共有や必要なエスカレーションを行っている。

 また、“セキュアバイデザイン”という考え方も重視しているという。AWSにおいては、データセンターやアーキテクチャーなど物理的なセキュリティを強固にする方法を実装している。例えば、同社独自のチップ「AWS Graviton4」は、セキュリティ要求に基づいてチップを設計している。メモリーに関する攻撃などを想定し、「Nitro System」を用いてチップレベルでファインチューニングしているという。

 セキュリティ戦略においては、セキュリティ不変条件を考慮し、コードにセキュリティ違反がないことを保証するメカニズムをAWS内部で構築している。内部でテストを頻繁に行い、脆弱性を予測しながら、自動化された推論手法で望ましくない振る舞いを特定して、検証など必要な対応を内部で行っているという。ここでの自動化された推論とは、セキュリティの仕組みを検証し、保証すること。ストレージサービス「Amazon S3」や脆弱性管理サービスの「Amazon Inspector」にも自動化された推論の機能が搭載され、活用されている。

 セキュリティの脅威が日々変化する中で、Betz氏は「継続的なイノベーション」が重要だと指摘する。ネットワークやストレージ、データベース、コンピュートなどさまざまな領域においてセキュリティ機能を実装し、高度なリスクに対応できる能力が必要になっている。AWSは顧客に代わり、継続的なイノベーションを行いながらセキュリティサービスを拡充している。

 生成AIにおけるセキュリティでは、3層から成る生成AIスタックのそれぞれの安全性を確保しているという。GPUなどを用いて基盤モデルを開発するレイヤーでは、膨大な学習データを処理する必要があるため、Nitro Systemを用いてAIデータのアイソレーションを確保している。

 生成AIのアプリケーションを作成するレイヤーでは「Amazon Bedrock」を提供し、複数の基盤モデルを顧客が選択できる。Amazon Bedrockが提供する基盤モデルはシングルAPIでアクセス、アイデンティティーおよびアクセス管理(IAM)や仮想プライベートクラウド(VPC)、暗号化、トラフィックなど、顧客のデータを保護する。また、有害コンテンツをフィルタリングする「Guardrails for Amazon Bedrock」も提供しており、安全な活用をサポートしている。

 AWSが提供する生成AIアプリケーション「Amazon Q」のレイヤーでは、同社が設定するガードレールに基づいてセキュリティを提供する。「Amazon Q Developer」では、セキュリティスキャンを提供し、安全なアプリケーション開発を支援するとしている。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. セキュリティ

    ChatGPTに関連する詐欺が大幅に増加、パロアルトの調査結果に見るマルウェアの現状

  2. セキュリティ

    迫るISMS新規格への移行期限--ISO/IEC27001改訂の意味と求められる対応策とは

  3. セキュリティ

    警察把握分だけで年間4000件発生、IPA10大脅威の常連「標的型攻撃」を正しく知る用語集

  4. セキュリティ

    いま製造業がランサムウェアに狙われている!その被害の実態と実施すべき対策について知る

  5. セキュリティ

    ランサムウェア攻撃に狙われる医療機関、今すぐ実践すべきセキュリティ対策とは?

ZDNET Japan クイックポール

所属する組織のデータ活用状況はどの段階にありますか?

NEWSLETTERS

エンタープライズコンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]