AWS のセキュリティ
AWS のアカウントと権限、操作の記録と脅威の検知、ネットワークとデータの保護を、AWS の推奨に沿って整えられます。
不審な操作が見つかったときの対応と、設定の定期的な見直しまで、KEY SELECT がお引き受けできます。
すべての作業を、セキュリティを意識して進めます。
アカウントと権限
AWS の
ルートユーザーの保護
ルートユーザーに
IAM Identity Center でのログイン
Entra ID や Google Workspace のアカウントで AWS にログインでき、担当者ごとの IAM ユーザーとアクセスキーをなくせます。
必要な権限だけを付ける
担当者と
用途ごとにアカウントを分ける
AWS Organizations で、
記録と検知
操作を
操作の
AWS CloudTrail
誰が、
脅威の
Amazon GuardDuty
不審な
設定の
AWS Security Hub
AWS の
設定の
AWS Config
リソースの
脆弱性の
Amazon Inspector
EC2 や
AWS Security Hub で行うこと
AWS Security Hub は、AWS の設定が、セキュリティの基準に合っているかを自動で点検し、GuardDuty や Inspector の検知の結果とまとめて、対応の優先順位を付けるサービスです。設定は一度整えても、変更のたびに崩れることがあるため、点検を続けることが大切です。
基準に沿った自動の点検
AWS の基礎的なセキュリティのベストプラクティス (FSBP) と、CIS AWS Foundations Benchmark (AWS は v5.0.0 を推奨) に沿って、設定を常に自動で点検します。
検知の結果をまとめる
GuardDuty の脅威の検知、Inspector の脆弱性、設定の不備を 1 か所に集め、関連する問題を結び付けて、危険の大きいものから示します。
すべてのアカウントとリージョン
本番、
点検する項目の例
| 対象 | 点検の |
|---|---|
| アカウント | ルートユーザーに |
| 記録 | CloudTrail が |
| データ | S3 の |
| ネットワーク | SSH などの |
| Web の | CloudFront に |
| バックアップ | データベースなどが、 |
KEY SELECT がお引き受けできること
有効化と
基準の 選定 すべての
アカウントと リージョンで 有効にし、 事業と 取引先の 要求に 合わせて、 使う 基準を 決めます。 指摘の
整理と 優先順位 最初に
出る 多くの 指摘を、 危険の 大きさと 直す 手間で 整理し、 直す 順番を ご報告します。 設定の
修正 指摘に
沿って 設定を 直します。 構成を コードで 管理している 場合は、 コードの 側で 直し、 同じ 不備が 戻らないようにします。 例外の
判断と 記録 事業の
都合で 基準と 違う 設定に する 場合は、 理由を 記録したうえで、 指摘を 対象外に します。 新しい
指摘の 通知 新しく
危険な 指摘が 出たら、 メールや チャットに 知らせ、 すぐに 対応できるようにします。 定期の
ご報告 点検の
結果と、 直した 内容を 定期的に ご報告します。 取引先の セキュリティチェックや、 ISMS の 対応の 根拠にも 使えます。
- 従来の Security Hub は「Security Hub CSPM」に名前が変わり、2025 年 12 月から、検知の結果を結び付けて優先順位を付ける新しい Security Hub が使えるようになりました。点検の多くは AWS Config の記録を使います。初めて使う場合は、30 日間の無料の試用があります。
- 出典: AWS Security Hub、AWS Foundational Security Best Practices、CIS AWS Foundations Benchmark、AWS News Blog(2026 年 10 月 25 日に確認)
ネットワークとデータの保護
アカウントと
プライベートなネットワーク
データベースや
Session Manager での接続
サーバーへの接続を Systems Manager の Session Manager にし、SSH の鍵とポートを使わずに済みます。接続の記録も残せます。
AWS WAF
Web サイトへの
暗号化とバックアップ
保存する
パスワードと API キーの管理
データベースのパスワードや API キーを設定ファイルに書いていると、ファイルと一緒に漏れるおそれがあります。Parameter Store と Secrets Manager に移すと、暗号化して管理でき、誰が読んだかも記録できます。
取引先のセキュリティ要求への対応
取引先のセキュリティチェックシートや、情報セキュリティの国際規格である ISMS (ISO/IEC 27001) の認証では、AWS のようなクラウドサービスの利用についても、アクセスの管理と記録が求められます。AWS の設定で、次の管理策に対応できます。
8.2 特権アクセス権
管理者の権限の限定
管理者の権限を持つ人を限り、定期的に見直すことが求められます。IAM Identity Center で、担当者ごとの権限を一覧にして管理できます。
8.5 セキュリティを
多要素認証と SSO
パスワードだけに
8.15 ログ取得 / 8.16 監視活動
操作の記録と検知
記録を
8.22 ネットワークの
ネットワークの分離
用途ごとに
8.13 情報の
バックアップと復元の確認
バックアップを
- 番号は ISO/IEC 27001:2022 の附属書 A の管理策です。管理策の名前は日本語の訳の一例で、JIS Q 27001:2023 の表記と異なる場合があります。
費用
費用は、
AWS のセキュリティのサービス
従量制
GuardDuty、Security Hub などの料金は、記録の量や対象のリソースの数に応じてかかります。導入の前に、月額の目安をお出しします。
IAM Identity Center
無料
AWS への
KEY SELECT の設定代行と見直し
お見積もり
アカウントの
ご相談・
内容が