クラウド時代ならではのセキュリティのあり方を模索するジオテクノロジーズ

稲吉：導入の結果、アタックを受けていたという実情がきちっと残りました。我々としては、アタックされたこと自体を隠してはいけないと思っています。WAFに限らず、起こっていることは起こっていることとして明らかにした上で、それらをどう止めていくのかを全体で考えていかなければなりません。その最初の一歩として、良い結果を出せたと思っています。

稲吉：隠したくなるのは当然です。しかし、現実として、どれだけ対策をしていても必ずアタックはされてしまいます。そういう世の中だからこそ、「これだけアタックを受けていますが、これだけしっかり止めています」ときちんと可視化していくことが大事だと思います。

稲吉：AWSが公開しているガイドラインはとてもよく出来ており、このガイドラインに沿って対策するのが第一だと思います。僕はこの会社に来て初めてきちんと読んだのですが、かなり広範囲に、しかもディティールまで突っ込んだ形で体系立って書かれていることにとても驚きました。

稲吉：いかに開発の速度を落とさずに、脆弱性を作り込むことなく、攻撃を止めるのかを整備していくことが鍵だと考えています。我々としてもガチガチにすることは望んでいませんし、そうするつもりもありません。ただし、守るべきところは守っていきたいと考えています。また、インシデントが起こってから対応するのは大変ですから、できる限り起こる前に止める方法、たとえば最近の流行りで言うとシフトレフト的な取り組みも模索していきたいと思っています。
あくまで今回のCloudscortの導入は第一弾で、この先、内部統制的な観点からの監査やチェックも入れていかなければなりません。それらとスピードの兼ね合いをどう保つかというバランスは考えどころです。

稲吉：先ほども触れましたが、まず直近では内部統制を考えています。また、お客様からはセキュアコーディングやISMS対応といった要望も頂いており、それらの整備も重要と捉えています。ただし、アジャイル開発で回しているため、どのようなプロセスでセキュアコーディングを入れていくかはうまく考えていく必要があります。

稲吉：気が付くといろいろなものが開発されているのですが、セキュリティ面で見ると「対策が不十分じゃないかな」という部分がないわけではありません。また、それぞれがどんどん作ってしまうため、共通化という概念もあまりありませんね。クラウドなのにサイロ化している部分もあるため、共通化できるところは共通化し、横串的に支えるものを導入していかなければいけないと感じています。
一方で、弊社の場合はEC2が少なく、サーバレス化が進んでいるのは、セキュリティ面では助かっていると感じています。

稲吉：この先マルチクラウド環境になってくると、新たな課題も生じるだろうと感じています。今はまだAWSだけですが、DR（ディザスタリカバリ）やサービスレベル、コストの観点から、今後利用するクラウドが増えていく可能性はあります。すると、AWSで習得したことをまた別のクラウドで習得し直さなければならないため、倍とまではいかないまでも、やはり相応の負荷がかかるでしょう。その負荷をできるだけ抑えつつ、構造が違えば考え方も違う環境で、同じことを同じ物差しでどう推進するかも課題ですね。

稲吉：アメリカではNIST SP800-171のように政府がきちんと規定を定めており、政府の仕事に関わる場合それに合わせて運用して行く必要があります。日本でも防衛省は参考に取り組んでいますが、企業でもセキュリティを考える場合に非常に参考になるものです。セキュリティはどうしても「インシデントによる損害を防ぐため」という考え方だけが先行しがちですが、「セキュリティを守ることが利益になる」というストーリーで進めていくべきだと考えています。デベロッパーも、運用をしている我々も、経営層も、リスクマネジメントを踏まえてそうしたアプローチを取っていかないと、このままではつらい状況が続いてしまうでしょうね。

稲吉：もはや「全部が全部、丸ごとセキュリティをやってくれ」という時代でもありません。ユーザーもセキュリティを推進していく必要性を認識しないといけないと思いますし、責任共有はそれをうまく表現した言葉だと思います。