AWS re:Inforce 2025 現地レポート Day2｜CISO基調講演からEXPOまで｜ブログ

2025年6月に米国フィラデルフィアで開催された「AWS re:Inforce 2025」に参加しました。

本ブログシリーズでは、できるだけ詳細に筆者の体験をお伝えするため、現地の様子やAWSクラウドセキュリティの最新情報について、会期の3日間（+おまけの1日）の行程を1日ずつ紹介します。

本記事は2日目について記してあり、CISO（最高情報セキュリティ責任者）による基調講演やEXPO（展示会）を中心に紹介します。

▼1日目の様子はこちら

AWS re:Inforce 2025 現地レポート Day1｜会場散策からビルダーセッションまで

CISO基調講演：Simplifying security at scale

2日目は基調講演からスタートします。

朝早くに向かったため、最前列に着席することができました。

基調講演をつとめるのは、先日AWSのCISOに就任したばかりのAmy Herzog氏です。基調講演は、クラウドセキュリティの未来と、AI時代における安全なイノベーションの在り方を力強く示すものでした。

セキュリティはすべての出発点

Amy氏は冒頭で、「AWSではセキュリティがすべての基盤であり、イノベーションの実現要因である」と強調しました。そして、AWSの信頼性、スケーラビリティ、そしてコンプライアンス対応力が、航空、医療、交通などの重要分野での変革を支えていることを語りました。

強力なセキュリティ基盤を実現するための具体的な方法として、以下の4つの視点で紹介しました。

IDとアクセス管理
データとネットワークのセキュリティ
監視とインシデント対応
マイグレーションとモダナイゼーション

IDとアクセス管理
~IAMの進化と最小権限の実現~

AWS Identity and Access Management（IAM）は、12億回/秒のAPIコールを処理するスケーラブルな認証・認可基盤です。日常的に利用されているIAMサービスだからこそ「最小権限の原則」に従うことが重要であり、最小権限を実現するサービスとしてIAM Access Analyzerがあります。

今回の発表で、「IAM Access Analyzer Internal Access Findings」の一般提供が開始され、社内ユーザーによる重要リソースへのアクセス状況を一元的に可視化し、セキュリティリスクの早期発見と対応が可能になりました。

また、ルートユーザーの不正利用対策として、MFA（多要素認証）の強制を段階的に実施してきましたが、「全てのルートユーザーのMFA強制適用」が完了したことを発表しました。

データとネットワークのセキュリティ
~暗号化の民主化とネットワークの可視化~

AWSは、データの所在とアクセス制御を顧客が完全に管理できる「デジタル主権」を重視しています。暗号化は「無料かつ簡単」であり、ネットワーク層では複数の暗号化レイヤーが自動的に適用され、通信の安全性を確保しています。AWSはACM（AWS Certificate Manager）という証明書管理サービスを提供しており、ユーザーの証明書を管理する負荷を削減してきましたが、AWS環境内での利用に制限されていました。

そこで今回、「ACM発行された公開証明書のエクスポート対応」が発表されました。これにより、オンプレミスや他クラウドでも一貫した証明書管理が可能になります。

そして、ネットワークの脅威として、AWSは長らくDDoS対策のAWS Shieldを提供してきましたが、新しい機能として「AWS Shield Network Security Director」が発表されました。ネットワーク構成を自動的に可視化し、セキュリティ設定のベストプラクティスとのギャップを診断できます。また、推奨設定も提示され、対応の優先順位付けが可能です。

また、「AWS WAFの簡素化されたコンソール」により、初期設定のステップを80%削減できるようになりました。

さらに、「CloudFrontの簡易オンボーディング」も発表され、開発者がネットワークセキュリティの専門的な知識が無くても簡単に設定を行えるようになりました。

監視とインシデント対応
~インテリジェンスによるインテリジェンス対応の高度化~

AWSは、内部では、BlackfootとMadPodという独自のセキュリティシステムが稼働しており、1時間につき数兆単位の通信をリアルタイムで監視・遮断しています。これらの仕組みはすべてのAWSユーザーに無償で提供されています。

その一環として、「Network Firewall Active Threat Defense」を発表しました。この機能により、AWSの脅威インテリジェンスを活用してC2通信や悪意あるURLを自動ブロックし、運用負荷を増やさずに防御力を強化できます。

また、「AWS GuardDuty Extended Threat Detection」が強化され、EKSクラスターの異常検知に対応して信頼性の高い攻撃シーケンスが提示されるようになりました。

そして、「Security Hubの強化」も発表され、脆弱性・攻撃経路・リソース情報を統合的に分析し、JIRAとServiceNow連携によるチケット発行が可能になりました。

マイグレーションとモダナイゼーション
~クラウド移行とモダナイゼーションがもたらすセキュリティ強化~

Comcast、RedShield、BMWなどの事例を通じて、クラウド移行によるセキュリティの向上と運用効率化が紹介されました。AWSのマネージドサービスを活用することで、パッチ適用や脆弱性管理が自動化され、セキュリティが日常業務に自然に組み込まれる様子を伝えました。パートナーとクラウド活用とセキュリティ向上を目指すには、AWSセキュリティコミュニティが必要不可欠であることが強調されました。

そこで、「AWS MSSP Specializationの強化」が発表され、AWSまたはサードパーティサービスのいずれを使用するかに関わらず、認証されたセキュリティサービスの専門知識を持つパートナーを、簡単に特定できるようになりました。

セキュリティはイノベーションの実現要因

Amy氏は、「セキュリティはイノベーションの障壁ではなく、実現要因である」というメッセージを強調しました。今後もAWSは、セキュリティをサービスに組み込み、顧客が安心してAIやクラウドを活用できる環境を提供することを強く語り、基調講演は締めくくられました。

所感

「セキュリティは制約ではなく、イノベーションを加速するもの」だと何度も強調され、それを実感できる講演でした。クラウドを活用するうえでのセキュリティの在り方を前向きに捉え直すきっかけになり、セキュリティ担当者だけでなく、開発者や経営層にも響く内容だったと思います。

基調講演で発表されたアップデートを以下にまとめます。

基調講演で発表されたアップデート

新サービス・機能	ステータス
IAM Access Analyzer Internal Access Findingsによる内部アクセス検証	一般提供開始
すべてのルートユーザーのMFA強制適用	一般提供開始
ACM発行された公開証明書のエクスポート対応	一般提供開始
AWS Shield Network Security Directorによるネットワーク管理	プレビュー
AWS WAFの簡素化されたコンソール	一般提供開始
CloudFrontの簡易オンボーディング	一般提供開始
Network Firewall Active Threat Defenseによる自動遮断	一般提供開始
AWS GuardDuty Extended Threat DetectionのEKS対応	一般提供開始
Security Hubの強化	プレビュー
AWS MSSP Specializationの強化	一般提供開始

ほかにも、会期中に以下のアップデートが発表されました。

会期中に公開されたその他のアップデート

新サービス・機能	ステータス
Amazon Verified PermissionsのExpress.js統合ライブラリを公開	一般提供開始
Amazon Inspectorのコードセキュリティ機能	一般提供開始
AWS Backupのマルチパーティー承認機能	一般提供開始

EXPOを歩く

EXPO会場では、AWSのパートナー企業やセキュリティ関連ベンダーが多数出展しており、各社の最新ソリューションや事例紹介を直接聞くことができました。企業ブースを見て回るだけでも、今後のセキュリティ戦略やサービス企画のヒントがたくさん得られました。

EXPOでは各社が配布するノベルティ（SWAG）も人気で、Tシャツ、ステッカー、バッグなどを集めるのも楽しみのひとつです。中にはスタンプラリー形式の催しもあり、各ブースで話を聞くことでスタンプを押してもらうことができ、すべて集めると限定SWAGがもらえました。

最終的にはこれだけのSWAGを入手することができました。私はキャリーバッグの半分を空けた状態だったので、全て収納できました。海外カンファレンスではこのようにたくさんのSWAGがもらえることがあるので、キャリーバッグは十分に空けておくことをお勧めします。

夜のパーティーも海外カンファレンスの醍醐味

海外カンファレンスは夜も楽しみがあります。それは、ベンダー企業やコミュニティが開催するパーティーです。地元の人気店を貸し切って開催するパーティーが複数あり、招待制のものが多いため事前に調べておく必要があります。単なる懇親会ではなく、CxOやセキュリティエンジニア同士の情報交換の場としても機能しており、実際の課題や導入事例についてざっくばらんに話せる貴重な機会でした。