Contenu connexe
Similaire à クラウドファースト時代における重要インフラを守るセキュリティ・ゲートウェイ (20)
Plus de Eiji Sasahara, Ph.D., MBA 笹原英司 (20)
クラウドファースト時代における重要インフラを守るセキュリティ・ゲートウェイ
- 5. 1-2.SecaaS(Security as a Service)導入ガイダンス
カテゴリー4:電子メールセキュリティ(1)
ガイダンスのスコープ(2012年9月)
(https://cloudsecurityalliance.org/download/secaas-category-4-email-security-
implementation-guidance/)
共通の電子メール構成要素
電子メール・アーキテクチャの保護
共通の電子メール脅威
peer認証
電子メール・メッセージ標準規格
電子メール暗号化と電子署名
電子メール・コンテンツ検査とフィルタリング
メールクライアントのセキュア化
電子メール・データの保護と可用性保証技術
5
- 6. 1-2.SecaaS(Security as a Service)導入ガイダンス
カテゴリー4:電子メールセキュリティ(2)
エンタープライズ導入を補完する
クラウド型電子メールサービス
<機能の例>
ウイルス予防対策
アイデンティティ管理
ログイン・セキュリティ
スパム・フィルタリング
コンテンツ・フィルタリング
レポーティング
暗号化
アーカイブ化・保存
事業継続・災害対策 など
6
出典:Cloud Security Alliance
「SecaaS Category 4 // Email Security Implementation Guidance」
(2012年9月)
- 10. 2-1.重要インフラを支えるクラウドファースト戦略
~米国の「FedRAMP」事例~(2)
「FedRAMP」(Federal Risk and Authorization Management
Program)(2011年12月)
(https://www.gov.uk/government/publications/government-cloud-strategy)
連邦政府共通のクラウドサービス調達のためのセキュリティ基準
「連邦政府一般調達局」(GSA:General Services Administration)の
FedRAMP PMOが、標準的な契約用語やサービス・レベル・アグ
リーメント(SLA)のテンプレート開発などを含むプロジェクト全体の
運営を担う
「合同認定委員会」(JAB:Joint Authorization Board)が、調達対象
のクラウドサービスを承認する
評価基準や技術要件については、NISTが所管する
「FedRAMPセキュリティ評価フレームワーク」:具体的なリスク評価
基準や要求事項をとりまとめたもの
10
- 23. 2-2.重要インフラを支えるクラウドファースト戦略
~英国の「G-Cloud」事例~(6)
「G-Cloud」フレームワークのセキュリティに関する要求事項14原則(1)
23
原則 表題 内容
原則1 転送中のデータ
の保護
ネットワーク転送中のユーザーデータは、改ざんや傍受に対
し、適切に保護されるべきである。
原則2 資産の保護とレ
ジリエンス
ユーザーデータと保存または処理する資産は、物理的な改
ざん、損失、損害または占拠に対して保護されるべきである。
原則3 ユーザー間の分
離
悪意のあるまたは感染したサービス・ユーザーは、他のサー
ビスまたはデータに影響が及ばないようにすべきである。
原則4 ガ バ ナ ン ス ・ フ
レームワーク
サービスプロバイダーは、そのサービスと情報の管理を調整
して方向づける、セキュリティガバナンス・フレームワークを
有するべきである。このフレームワーク外に導入された、い
かなる技術的コントロールも、根底から覆されるであろう。
原則5 運 用 セ キ ュ リ
ティ
攻撃を妨害・検知・予防するために、サービスを、セキュアに
運用・管理する必要がある。優れた運用セキュリティは、複
雑、官僚的、時間の浪費、高額のプロセスを必要とすべきで
はない。
- 25. 2-2.重要インフラを支えるクラウドファースト戦略
~英国の「G-Cloud」事例~(8)
「G-Cloud」フレームワークのセキュリティに関する要求事項14原則(3)
25
原則 表題 内容
原則9 セキュアなユー
ザー管理
サービスプロバイダーは、ユーザーがサービス利用をセ
キュアに管理するためのツールを提供すべきである。管
理インタフェースと手順は、権限のないアクセスやユー
ザーのリソース、アプリケーション、データの変更を予防す
る、セキュリティの壁の重要な部分である。
原則10 アイデンティティ
と認証
サービス・インタフェースへのアクセスはすべて、認証され
て権限が付与された個人に制限すべきである。
原則11 外 部 イ ン タ
フェースの保護
サービスの外部または信頼できないインタフェースをすべ
て特定して、適切に防御すべきである。
原則12 セキュアなサー
ビス運営
クラウドサービスの運営に使用するシステムは、高い特権
が付与されたサービスにアクセスする。これらの漏えいは、
セキュリティコントロールを回避して大容量のデータを盗
むまたは操作する手段となるなど、重大なインパクトを及
ぼすことがある。