The Doppler Quarterly (日本語) 夏 2016

CTP では、この CSA の Cloud Controls Matrix を AWS、Azure、および Google の反復可能なアーキテクチャーに対応付けました。セキュリティとガバナンスのギャップアセスメントでは、CSA のマトリックスのような既知の標準に基づいて制御の目標を確認し、一般に認められているベストプラクティスに照らして制御とテクノロジーのギャップをドキュメントで示します。その結果として生まれたのが、CSA のマトリックスに対応付けられた規範的なセキュリティおよびガバナンスプラットフォームを含む MVC です。これを使用すれば大幅に時間が節約され、セキュリティリファレンスアーキテクチャーを基礎から構築するのではなく、ベースラインを受け入れてわずかな変更を加えるだけで、組織固有のニーズに対応できます。新たな制御機能とツール大部分の組織は最初、クラウドプログラムをデータセンターであるかのように考えますが、すぐに既存の制御の目標と新たなクラウドモデルを対応付ける方法がわかっていないことに気付きます。しかしここで既存のツールセットをクラウドに適用しても意味はありません。データセンター向けのツールは、パブリッククラウドプラットフォームを念頭に置いた設計にはなっておらず、私たちの経験では、新しいツールとプロセスを導入してこうした問題を解決する必要があります。また、新しいツールを活用することにはもう1つ大きなメリットがあり、データセンターツールと比較して、はるかにコストが少なくて済みます。 #8 - Continuous Complianceのための計画を立てる企業は、多くの制御機能を使用して IT 環境を管理しています。大部分のリソースはハードウェアベースのため、こうした機能は変更管理サービスや運用サービスの形を取っていますが、ソフトウェアをベースとする新しいクラウドモデルは、その性質から野放しの状態になっています。ここで、パーミッションベースの購買プロセス ( 新しいハードウェアの署名済みの発注書を取得するプロセス ) から、承認を得ることなく新しいサービスを購入できるオープンなクレジットカードアカウントに移行することを想像してみてください。新しい消費ベースのモデルでは、新たなレベルのガバナンスが必要とされるため、標準的な変更管理と制御のアプローチを使用してもうまくはいきません。従来の変更管理ではプロセスが長期化し、避けようとしていた状況に逆戻りすることになります。ここで必要となるのが、Continuous Compliance です。この文脈においては、 Continuous Compliance とは、常に環境を監視してクラウドにおけるサービスの使用状況と使用量を制御するソフトウェアを指し、制御は、特定のガバナンスおよびコンプライアンス要件をチェックする「ソフトウェアシグネチャー」を使用して行われます。たとえば、AWS 社は、サーバー (EC2) と接続ストレージ (EBS) で基本的なサーバー / ストレージ構成を提供していますが、サーバーを削除してから、特に AWS 社にストレージの削除を依頼しなければ、ストレージは孤立したままとなります。このようにして孤立化したブロックストレージは、次第に企業にとってのリスクとなり、適切に管理しなければ、不明なストレージボリュームによってコストが増加し、機密データが漏洩してしまう可能性があります。そしておわかりの通り、コンプライアンスチームはストレージディスクが野放しになっている状況を良しとしません。 2016年夏号 | THE DOPPLER | 65

The Doppler Quarterly (日本語) 夏 2016 | Page 67