セキュリティとコンプライアンスのための効果的な戦略について

設計戦略の作成

セキュリティを念頭に置いて一から設計することで、クラウド・デプロイメントにセキュリティとコンプライアンスを構築します。

包括的なセキュリティ設計戦略は、アイデンティティ管理(セキュリティ・プリンシパルを認証および認可するプロセス)を通じてセキュリティ保証を提供します。アイデンティティ管理サービスを使用して、ユーザー、パートナ、顧客、アプリケーション、サービス、その他のエンティティを認証し、権限を付与します。

また、Oracle Cloud Infrastructureに由来するネットワーク・トラフィック、オンプレミス・リソースとOracle Cloud Infrastructureにホストされるリソース間のネットワーク・トラフィック、およびOracle Cloud Infrastructureとのトラフィックを制御することで、アセットの保護を促進します。セキュリティ対策が整っていない場合、攻撃者は、たとえば、パブリックIP範囲をスキャンすることでアクセスできます。適切なネットワーク・セキュリティ制御は、クラウド・デプロイメントへの参入を試みる攻撃者を検出、封じ込め、停止するのに役立つ多層防御要素を提供できます。

また、設計戦略の成功は、アクセス制御、暗号化、およびOracle Cloud Infrastructureへのログインを使用して、機密データ・アセットの分類、保護および監視にも努めます。また、保存中および転送中のデータに対するコントロールも配置されます。

アプリケーションとそれに関連付けられたデータは、クラウド・プラットフォームでのビジネス価値の主要なストアとして機能します。アプリケーションは、利用可能なビジネス・プロセスをカプセル化して実行し、高い整合性を備えて提供する必要があるため、ビジネスにとってリスクの役割を果たすことができます。アプリケーションは、機密性、整合性および可用性の高い保証を必要とするビジネス・データを格納および処理します。したがって、成功する戦略は、アプリケーションとデータのセキュリティに重点を置き、有効にする必要があります。

コストに関する考慮事項をセキュリティ・プラクティスに統合することで、セキュリティ設計戦略を作成する際には、FinOpsの原則に留意してください。セキュリティ対策とコスト効率のバランスをとることは、価値を最適化するFinOps原則と一致します。

OCIランディング・ゾーンは、これらのセキュリティおよびコンプライアンス設計機能が組み込まれたアーキテクチャをデプロイするためのオプションです。ランディング・ゾーンにより、Center for Internet Security (CIS)が強化したテナンシおよびワークロード・インフラストラクチャ(アイデンティティ、セキュリティ、ネットワーキング、可観測性、ガバナンスなどの重要なクラウド・サービスを含む)を繰り返し1クリックでプロビジョニングできます。OCIランディング・ゾーンを使用して、Oracle Cloud Guard、OCI Vault、OCI Vulnerability Scanning ServiceなどのOCIセキュリティ・サービスを有効にし、強力なセキュリティ・ポスチャを実現します。

監視および監査戦略の作成

モニタリング戦略の成功は、ヘルス・モデリングに焦点を当てます。

ヘルス・モデリングとは、監視によってワークロードのセキュリティ状態を維持するアクティビティを指します。これらのアクティビティは、現在のセキュリティ・プラクティスが有効かどうか、または新しい要件があるかどうかを示すことができます。ヘルス・モデリングには、次のカテゴリを含めることができます。

ワークロードおよびワークロードが実行されるインフラストラクチャを監視します。
アラートおよび通知を設定および使用します。
セキュリティ情報およびイベント管理(SIEM)プラットフォームを使用してサービス・ログを集計します。
監査の実施。
監査ログを有効化、取得および格納します。
更新およびパッチのセキュリティ修正。
インシデントへの対応
実際のインシデントに基づいた攻撃のシミュレート

最適化戦略の作成

クラウドでのセキュリティ操作に対するセキュアなベースラインが確立されると、セキュリティ・チームは、既存のセキュリティ・プラクティスに対する進歩と最適化につながる可能性のあるクラウド固有のセキュリティ・プロセスと制御を継続的に調査する必要があります。

数千の企業が、俊敏性を高め、ITサービスのコストを削減するためのビジネス目標を達成するために、クラウド・サービスを迅速かつ安全に利用しています。このベスト・プラクティス・フレームワークは、クラウド・サービスの安全なビジネス使用を可能にする、必要なセキュリティ・アーキテクチャ、プロセスおよびコントロールを提供するセキュリティ運用組織全体のパターンに関する推奨事項を提供します。セキュアなデプロイメントの開始に加えて、継続的な改善戦略を実装する必要があります。

セキュリティ設計の原則に従う

このピラーの記事では、Oracle Cloud Infrastructureでの実装方法に関する設計、監視、最適化の3つの戦略の実装方法、および推奨事項の提供方法について説明します。これらの各推奨事項は、次のセキュリティ設計原則の1つ以上を実装します。

これらの原則は、これらの3つの主要な戦略をサポートし、クラウドまたはオンプレミスのデータ・センター(または両方のハイブリッド組合せ)でホストされる、安全に設計されたシステムについて説明します。これらの原則を適用すると、セキュリティ・アーキテクチャによって機密性、整合性、可用性の保証が維持される可能性が劇的に高まります。

セキュリティおよびコンプライアンスのベスト・プラクティスでは、次の設計原則を実装します。

レジリエンスのための設計:セキュリティ戦略では、コントロールが失敗し、それに応じて設計されると想定する必要があります。セキュリティ体制の回復力を高めるには、複数のアプローチが連携する必要があります。
- 継続的な警戒:組織にリスクをもたらす可能性のある異常や潜在的な脅威がタイムリーに対処されるようにします。
- 多層防御:プライマリ・セキュリティ制御が失敗した場合に組織のリスクを軽減するために、設計における追加のコントロールを検討します。この設計では、プライマリ・コントロールが失敗する可能性、失敗した場合の潜在的な組織リスク、および追加コントロールの有効性(特にプライマリ・コントロールが失敗する可能性のあるケース)を考慮する必要があります。
- エッジでの防御:効果的な統合エッジ・セキュリティを考慮して、脅威がアプリケーションに影響を与える前に制御します。これは、情報セキュリティ・ポリシーのコンプライアンスにとって重要です。
攻撃者のための設計:セキュリティの設計と優先順位付けは、攻撃者が環境をどのように見ているかに重点を置く必要があります。これは、多くの場合、ITチームやアプリケーション・チームが環境を見る方法ではありません。セキュリティ設計を通知し、侵入テストでテストしてワンタイム攻撃をシミュレートします。赤色のチームを使用して、長期にわたる永続的な攻撃グループをシミュレートします。エンタープライズ・セグメンテーション戦略およびその他のセキュリティ制御を設計して、環境内での攻撃者の横移動を含めます。攻撃者が環境内のリソースを利用するためにターゲットとする潜在的な攻撃対象領域を積極的に測定および削減します。
- 要件に基づいて権限を制限ターゲット・リソースおよび必要なアクセス権限に関して、できるだけ細かいポリシーを記述します。
- ネットワーク・セグメントを強制トラフィックを制限してアプリケーション・デプロイメントをネットワーク・レベルで分離し、必要なすべてのネットワーク・フローに許可リストを使用します。過度に許容されるトラフィックを最小限に抑えます。
- 最小権限:これは、組織の資産を保護するために複数の防御レイヤーが実装されるセキュリティに対する戦略的アプローチです。アカウントには、割り当てられたタスクを実行するために必要な最小限の権限が付与されている必要があります。アクセスを権限レベルおよび時間別に制限します。これは、アカウントにアクセスする外部攻撃者、または不注意に(または意図的に、内部攻撃と同様に)セキュリティ保証を損なう内部従業員の損害を軽減するのに役立ちます。
- デフォルトで拒否します。攻撃者が利用できるデフォルトの許可ポリシーが設定されていないことを確認します。要件および最小権限の原則に基づいて、制限権限に従って必要なポリシーのみを作成します。
ネイティブ・コントロールの活用:必要に応じてネイティブ・セキュリティ・コントロールを使用し、ツール戦略全体と一致するようにします。ネイティブ・セキュリティ制御は、サービス・プロバイダによって維持およびサポートされ、外部セキュリティ・ツールの統合とそれらの統合の更新にかかる労力を排除または削減します。
セキュリティ・ツールの活用: 運用するクラウド用に設計されたツールを使用します。ネイティブ・セキュリティ制御は、サービス・プロバイダによって保守およびサポートされます。ただし、この点でのクラウドネイティブ・ツールの制限は、他のクラウドやオンプレミス環境をサポートしていない可能性があることです。たとえば、マルチクラウド・デプロイメントでOCIとAzureの両方でデータを保護する必要がある場合は、両方のクラウドをサポートできるサードパーティのセキュリティ・ツールをお薦めします。
アイデンティティをプライマリ・アクセス制御として使用:クラウド・アーキテクチャのリソースへのアクセスは、主にアクセス制御のためのアイデンティティベースの認証および認可によって制御されます。アカウント制御戦略は、ネットワーク制御や暗号化キーの直接使用に依存するのではなく、アクセスを制御するためにアイデンティティ・システムに依存する必要があります。
説明責任:資産とセキュリティ責任の明確な所有権を指定し、否認防止のためにアクションをトレースできるようにします。また、エンティティに必要な最小権限が(管理可能な粒度レベルに)付与されていることも確認する必要があります。
自動化の導入:タスクの自動化により、リスクを生み出す可能性のある人的ミスの可能性が低下するため、IT運用とセキュリティのベストプラクティスの両方を可能なかぎり自動化して、人的エラーを削減する必要があります(熟練した人間が自動化を管理および監査できるようにします)。
情報保護に焦点を当てる:知的財産は、多くの場合、組織価値の最大のリポジトリの1つです。このデータは、クラウド・サービス、モバイル・デバイス、ワークステーション、コラボレーション・プラットフォームなど、どこでも保護する必要があります(ビジネス価値創造を可能にするコラボレーションを妨げることはありません)。セキュリティ戦略は、情報とアセットの分類とタグ付けを中心に構築され、セキュリティの優先順位付け、強力なアクセス制御と暗号化テクノロジの活用、および生産性、ユーザビリティ、柔軟性などのビジネス・ニーズへの対応を可能にする必要があります。
ゼロ・トラストを想定:アクセス・リクエストを評価する場合、リクエストしているすべてのユーザー、デバイスおよびアプリケーションは、その整合性が十分に検証されるまで信頼できないとみなされます。アクセス・リクエストは、リクエスタの信頼レベルおよびターゲット・リソースの機密性に基づいて条件付きで付与する必要があります。信頼の検証(たとえば、多要素認証のリクエスト)を高め、既知のリスク(既知のリークされたパスワードの変更、マルウェア感染の修正)を修正して生産性の目標をサポートするための手段を提供する合理的な試みを行う必要があります。