The Doppler Quarterly (日本語) 夏 2016 | Page 22

す。クラウドベースのデータベースに関しては、必ずこのよ
うなセキュリティ機能を搭載しているものを選択してくださ
い。
アプリケーションレベル。 多くのアプリケーションは、
データベースの読み取りとデータベースへの書き込みが行
えるようになっているため、そのセキュリティにも重点を置
く必要があります。つまり、アプリケーション自体への ID
ベースのアクセスをセットアップしてアクティビティを監視
し、
ユーザーが不明なIPアドレスを使用していたり、
ログイン
していなかったりといった、ハッカーのパターンを示してい
ないことを確認しなければなりません。
2. ID が最も重要。
ユーザーID や関連するアクセスパーミッションを作成、
キャ
プチャー、記録、管理する ID およびアクセス管理 (IAM)
テクノロジーを使用します。IAM を使用すれば、開発者と
セキュリティ管理者の両方が設定したポリシーに従ってア
クセス権限が正確に付与されるうえ、すべての個人とサー
ビスの認証、許可、および監査が適切に行われていること
が検証されます。
クラウドアプリケーションの開発者は、IAM を理解したう
えで、単にデータなどのリソースに適用するのではく、アプ
リケーションに適切に組み込まなければなりません。IAM
システムには、ユーザーにアプリケーション、プラットフォー
ム、サービス、データへのアクセス権が付与されているこ
とを再確認するといった作業に使用できる API が含まれて
おり、それらの API はいつでも無効にできるため、オール
オアナッシングのアプローチになることはありません。
IAM システムは、中央のディレクトリサービスを使用する
ユーザー ID の作成、キャプチャー、記録、および管理を
自動化します。この中央のディレクトリは、ユーザーが非常
に煩わしく複雑なセキュリティシステムを使用するときにして
しまいがちな、ファイルや付箋に場当たり的に認証情報を
記録する行為を防ぐ役割を果たしますが、クラウドアプリ
ケーションを使用しやすく安全な状態に維持するのは、開
発者の役目です。
3. DevOps から DevSecOps に移行する。
DevOps が普及し、アプリケーションのターゲットプラット
フォームとしてパブリッククラウドが使用されるようになるの
に伴って、セキュリティ侵害が起きることがさらに多くなっ
ていますが、それとともにセキュリティを強化できる機会も
もたらされています。そしてこのような状況の中、DevOps
のプロセス内でセキュリティのテストを行う DevSecOps
( 開発、セキュリティ、運用 ) に重点を置くことが求められ
ています。DevSecOps とは、継続的なテストを行う際に
20 | THE DOPPLER | 2016年夏号