はじめに
この資料は、AWSで安全にシステムを運用するための基本的なポイントをやさしくまとめた入門です。責任共有モデル（クラウド事業者と利用者の役割分担）を理解し、ID・権限管理、監視、ネットワーク防御、暗号化を基本セットとして設計する大切さを伝えます。
目的と対象
開発者、運用担当、マネージャーなど、クラウドのセキュリティ基礎を知りたい方を想定しています。専門家向けの詳細手順ではなく、設計の考え方と優先順位を学べます。
本書で得られること
- 何を自分たちで守るべきかを明確にします
- 初めに取り組むべき具体的な対策を示します
- 代表的なAWSサービスの使いどころを紹介します
読み方のコツ
各章は独立して読めますが、まず責任共有モデルとID管理の章を優先してください。用語は最小限にし、具体例で理解しやすく説明します。安心して読み進めてください。
基本の考え方
責任共有モデルとは
クラウドは運用者と利用者で役割を分けます。AWS側はデータセンターやハードウェア、クラウド基盤の安全性を確保します。利用者はクラウド上に作ったシステムや設定、そこで扱うデータの安全性を守ります。具体例として、AWSはサーバーを安全に保ちますが、S3バケットを公開したかどうかは利用者の責任です。
誤設定が最大のリスク
実際の事故の多くは設定ミスが原因です。よくある例は次の通りです。
– S3を誤って公開して機密ファイルが外部から見える
– セキュリティグループで全開放（0.0.0.0/0）してしまう
– IAMポリシーで過剰な権限を付与する
これらは設定を一箇所直せば防げますが、気づかないと被害が広がります。
設計段階からのセキュリティ組み込み
設計の初期段階で次を決めます。
– 最小権限の原則：必要最小限の権限だけ与える
– ネットワーク分離：内部用と公開用を分ける
– デフォルト拒否：明示的に許可したものだけ通す
– ログと監査：操作ログを必ず残す（例：CloudTrailやアクセスログ）
– 自動化：IaC（Infrastructure as Code）で設定をコード化しレビュー可能にする
日常運用のポイント
- 定期的な設定チェックとアクセスレビューを行います
- 自動アラートや脆弱性スキャンを導入します
- パスワードやアクセスキーは定期的に更新します
これらを設計と運用の両面で続けることで、クラウド利用のリスクを大きく減らせます。
まずやるべき対策
はじめに
クラウドやシステムを安全に保つために、まず優先して行うべき対策を分かりやすくまとめます。日常運用でできる具体的な手順を中心に説明します。
ルート／管理者権限の扱いとMFA必須化
ルートユーザーや最上位の管理者権限は日常利用しないでください。まず管理者用の個別アカウントを作り、ルートにはアクセスキーを残さないか無効化します。全アカウントで多要素認証（MFA）を必須に設定します。スマホの認証アプリやハードウェアトークンを使うと安全性が高まります。
最小権限の設計
利用者やサービスには必要最小限の権限だけ付与してください。例えば開発者にはデプロイ用の役割、運用には監視用の読み取り権限というように分けます。権限をまとめて与えず、ロールやグループで管理して定期的に見直します。
ログと監査の有効化
操作履歴は必ず記録します。CloudTrailや監査ログを有効にして、ログを中央の安全な場所に集めて保存と保護を行います。重要な操作の不正検知や調査に役立ちます。
常時監視と検知サービス
不審な振る舞いを早期に検知するため、GuardDutyのような検知サービスを有効化し、アラートを受け取る仕組み（メールやチャット）を整えます。検知内容に応じた対応手順を用意しておくと迅速に対処できます。
パッチ適用と設定レビューを運用に組み込む
OSやミドルウェアのパッチ適用、セキュリティ設定の定期レビューをスケジュール化します。チェックリストや自動スキャンを取り入れて、運用プロセスの一部として継続的に行ってください。
代表的なセキュリティサービス
認証・認可（IAM）
IAMは誰が何にアクセスできるかを細かく決める仕組みです。ユーザーや役割（ロール）、ポリシーで権限を割り当てます。例えば「経理担当は請求書バケットだけ読み書き可」といった設定ができます。多要素認証（MFA）を有効にし、不要な権限は削除することをおすすめします。
監視・検知（GuardDuty / CloudTrail）
CloudTrailは操作ログを記録し、誰が何をしたかを追えます。GuardDutyはそのログやネットワーク情報を分析して不審な振る舞いを検出します。例として普段使わないリージョンからのログインを検知して通知できます。ログ保存と通知設定を必ず有効にしてください。
ネットワーク防御（Security Group / WAF / Shield）
Security Groupはインスタンスごとの仮想ファイアウォールで、ポートとアクセス元IPを制限します。WAFはWebアプリへの攻撃（SQLインジェクションやXSSなど）を遮断します。Shieldは大規模なDDoS攻撃からの保護を提供します。まずは最小限のポートだけ開ける方針で運用してください。
データ保護（KMS / Macie / S3暗号化）
KMSは暗号鍵を安全に管理し、データ暗号化を容易にします。S3のサーバー側暗号化を有効にし、重要なデータはキー管理を厳格にします。MacieはS3内の個人情報など機密データを自動で検出します。暗号化と検出を組み合わせてデータ漏えいリスクを下げましょう。
ネットワーク・アプリ防御の要点
ネットワークは最小許可で設計
VPCとサブネットは役割ごとに分けます。例：公開向けはパブリックサブネット、DBや内部APIはプライベートサブネットに配置します。通信は必要最小限だけ許可するとリスクが下がります。
セキュリティグループとネットワークACL
セキュリティグループで「インバウンドは特定ポートと送信元だけ許可」、アウトバウンドは必要な宛先に限定します。例：ALBは80/443を許可、DBはアプリサーバーのIPだけ受け付けます。ネットワークACLは補助的に使い、より粗い制御を行います。
WebアプリにはWAFを配置
AWS WAFなどでSQLインジェクションやXSSの一般的攻撃をブロックします。まず管理ルールセットを導入して様子を見てから、誤検知を減らすためにルールをチューニングします。レート制限ルールでブルートフォースやスクレイピングも抑制できます。
DDoS対策
軽度のDDoS対策は標準的なネットワーク設計で防げます。大規模攻撃にはShield（有償）を検討します。重要なサービスはCDNやロードバランサを使い、負荷分散で可用性を高めます。
ログ・監視と自動対応
VPCフローログ、ALBアクセスログ、WAFログを収集し、異常を早めに検知します。CloudWatchやSIEMでアラートを作り、Lambdaで自動隔離や一時的ブロックを行うと対応時間が短くなります。
運用上のポイント
ルール変更はテスト環境で検証します。定期的にルールとログを見直し、アクセスパターンの変化に合わせて最小許可を維持してください。
アカウント・データ保護の要点
管理者・運用者アカウントにMFAを必須化
すべての重要アカウントに多要素認証（MFA）を設定します。具体例：スマートフォンの認証アプリ（TOTP）や物理セキュリティキーを使います。MFAはパスワードだけの侵害を防ぎます。
パスワードとシークレットの管理
長くランダムなパスワードを使い、使い回しを避けます。パスワード管理ツールを導入して、チームで安全に共有します。サービスアカウントのキーは短期間でローテーション（更新）します。
データの暗号化を標準化
保存データ（バックアップ含む）は暗号化を標準とします。アプリ組み込みの暗号化機能やクラウドの暗号化オプションを利用し、平文で保存しない運用を徹底します。
鍵管理（KMS／中央集約）
鍵は鍵管理サービス（KMS）や専用の管理ツールで一元管理します。鍵のアクセス制御とログ記録を設定し、必要なときだけ鍵を使えるようにします。ハードウェアセキュリティモジュール（HSM）を採用すると更に安全です。
運用と監査のポイント
アクセス権は最小権限に絞り、定期的にレビューします。認証失敗や鍵の使用はログに残し、異常を検知したら迅速に対応します。バックアップも暗号化し、復旧手順を検証しておきます。
実践チェックリスト（簡易）
- 重要アカウントにMFAを有効化
- パスワード管理ツールを導入
- 保存データを常時暗号化
- 鍵をKMSで集中管理しローテーション
- アクセスレビューとログ監視を定期実施
これらを継続して行うことで、アカウントとデータの安全性を高められます。
