Google Cloud Well-Architected Framework セキュリティ柱用スキル

概要

Google Cloud Well-Architected Framework のセキュリティ柱は、クラウドワークロード向けに堅牢なセキュリティ態勢を構築するための設計原則とベストプラクティスを提供します。これはアーキテクチャのあらゆるレイヤーにセキュリティを統合することに焦点を当てています。データとシステムの機密性と完全性を維持しながら、コンプライアンスとプライバシーを確保します。リスク管理、脅威対策、アイデンティティ制御への体系的なアプローチを提供し、クラウドワークロードを安全かつ大規模に運用できるようにします。

中核原則

Well-Architected Framework のセキュリティ柱の推奨事項は、以下の中核原則に整合しています：

• 設計段階からセキュリティを実装する: アプリケーションとインフラストラクチャの初期設計段階からクラウドセキュリティとネットワークセキュリティの考慮を統合します。Google Cloud はこの原則を適用するのに役立つアーキテクチャブループリントと推奨事項を提供しています。根拠文書： https://docs.cloud.google.com/architecture/framework/security/implement-security-by-design

• ゼロトラストを実装する: リソースへのアクセスが信頼の継続的な検証に基づいて許可される「決して信頼せず、常に検証する」アプローチを使用します。Google Cloud は Chrome Enterprise Premium と Identity-Aware Proxy (IAP) などのプロダクトを通じてこの原則をサポートしています。根拠文書： https://docs.cloud.google.com/architecture/framework/security/implement-zero-trust

• シフトレフトセキュリティを実装する: ソフトウェア開発ライフサイクルの早い段階でセキュリティコントロールを実装します。システム変更が行われる前にセキュリティ欠陥を回避します。システム変更がコミットされた後、セキュリティバグを早く、速く、確実に検出して修正します。Google Cloud は Cloud Build、Binary Authorization、Artifact Registry などのプロダクトを通じてこの原則をサポートしています。根拠文書： https://docs.cloud.google.com/architecture/framework/security/implement-shift-left-security

• 先制的サイバー防御を実装する: 脅威インテリジェンスなど堅牢な基本的対策を実装することで、セキュリティへの積極的なアプローチを採用します。このアプローチにより、より効果的な脅威検出と対応のための基盤を構築できます。Google Cloud の層状セキュリティコントロールへのアプローチはこの原則に整合しています。Google Cloud は Security Command Center、Google Threat Intelligence、Google SecOps などのプロダクトを通じてこの原則をサポートしています。根拠文書： https://docs.cloud.google.com/architecture/framework/security/implement-preemptive-cyber-defense

• AI を安全かつ責任を持って使用する: 責任ある安全な方法で AI システムを開発およびデプロイします。この原則の推奨事項は、Well-Architected Framework の AI と ML パースペクティブおよび Google の Secure AI Framework (SAIF) のガイダンスに整合しています。根拠文書： https://docs.cloud.google.com/architecture/framework/security/use-ai-securely-and-responsibly

• セキュリティに AI を使用する: Gemini in Security と全体的なプラットフォームセキュリティ機能を通じて、AI 機能を使用して既存のセキュリティシステムとプロセスを改善します。AI を補助作業の自動化を増やし、セキュリティ衛生を確保して他のシステムをより安全にするツールとして使用します。Google Cloud は Google Threat Intelligence と Google SecOps などのプロダクトを通じてこの原則をサポートしています。根拠文書： https://docs.cloud.google.com/architecture/framework/security/use-ai-for-security

• 規制、コンプライアンス、プライバシー要件を満たす: 業界固有の規制、コンプライアンス基準、プライバシー要件に準拠します。Google Cloud は Assured Workloads、Organization Policy Service、コンプライアンスリソースセンターなどのプロダクトを通じてこれらの義務を満たすのに役立ちます。根拠文書： https://docs.cloud.google.com/architecture/framework/security/meet-regulatory-compliance-and-privacy-needs

関連する Google Cloud プロダクト

以下は、セキュリティに関連する Google Cloud プロダクトと機能の例です：

• アイデンティティとアクセス管理

  • Identity and Access Management (IAM): Google Cloud リソースへの細粒度アクセス制御。
  • Identity-Aware Proxy (IAP): VPN なしでアプリケーションへのセキュアなアクセス。
  • Chrome Enterprise Premium: エンドポイントセキュリティとコンテキスト認識アクセス。

• ネットワークセキュリティ

  • Google Cloud Armor: DDoS 保護と Web Application Firewall (WAF)。
  • VPC Service Controls: データ流出を防ぐセキュリティ境界を定義。
  • Cloud Next-Generation Firewall (NGFW): ネットワークトラフィックの高度な脅威保護。
  • Shared VPC: プロジェクト全体のネットワーク管理の一元化。
  • Cloud Interconnect と IPsec VPN: セキュアでプライベートな接続。

• データセキュリティ

  • Cloud Key Management Service (KMS): 暗号化キーの管理。
  • Sensitive Data Protection (旧 Cloud DLP): 機密データの検出と難読化。
  • Confidential Computing: 使用中のデータ（メモリ）の暗号化。

• セキュリティオペレーション (SecOps)

  • Google SecOps (Chronicle): 脅威検出とセキュリティアナリティクス。
  • Security Command Center (SCC): 脆弱性と脅威管理の一元化。
  • Cloud Logging と Cloud Monitoring: システムアクティビティへのビジビリティ。

• 自動化とサプライチェーン

  • Cloud Build: セキュアな CI/CD パイプライン。
  • Artifact Analysis: コンテナイメージの脆弱性スキャン。
  • Binary Authorization: デプロイ時のポリシー適用。
  • Assured open source software: セキュアされた OSS パッケージの使用。

ワークロード評価質問

ワークロードおよびユーザーの組織のセキュリティ関連要件と制約を理解するための適切な質問をします。以下のリストから質問を選択します：

• 設計段階からのセキュリティ：

  • セキュリティの考慮をプロジェクトの初期計画および設計段階にどのように組み込みますか？
  • 新しいアプリケーションおよびサービス向けのセキュリティ要件をどのように定義および文書化しますか？
  • 開発ライフサイクル全体にセキュリティが統合されていることをどのように確保しますか？
  • 設計段階で脅威モデリングを実行するために使用するツールと技術は何ですか？
  • 設計および開発プロセスで発見されたセキュリティ脆弱性をどのように管理および優先順位付けしますか？
  • アプリケーションとインフラストラクチャのセキュリティ更新とパッチをどのように処理しますか？
  • セキュリティ設計決定をどのようにドキュメント化して、チームとステークホルダーに伝達しますか？
  • セキュリティ設定が環境全体に一貫して適用されていることをどのように確保しますか？
  • セキュリティコントロールと対策の有効性をどのように検証しますか？
  • セキュリティ例外とセキュリティ設計からの逸脱をどのように処理しますか？

• ゼロトラスト：

  • Google Cloud リソースにアクセスするユーザーとデバイスをどのように検証および認証しますか？
  • アクセス制御の最小権限の原則をどのように実装しますか？
  • Google Cloud 環境内のネットワークトラフィックをどのように監視および制御しますか？
  • Google Cloud 環境でのデータの転送中および保存時をどのようにセキュアにしますか？
  • ユーザーおよびデバイスアクティビティの継続的な監視とロギングをどのように実装しますか？
  • ゼロトラスト環境でセキュリティインシデントと侵害にどのように対応しますか？
  • ゼロトラスト環境でセキュリティポリシーとコントロールをどのように管理および更新しますか？
  • サードパーティアプリケーションおよびサービスがゼロトラスト原則に準拠していることをどのように確保しますか？
  • ゼロトラスト環境でリモートアクセスと BYOD デバイスをどのように処理しますか？
  • ゼロトラスト原則とプラクティスについて、従業員をどのように教育およびトレーニングしますか？

• シフトレフトセキュリティ：

  • セキュリティテストをプロセスの早い段階で開発パイプラインにどのように統合しますか？
  • 開発段階で実行するセキュリティテストの種類は何ですか？
  • セキュリティ脆弱性とベストプラクティスに関するフィードバックを開発者にどのように提供しますか？
  • 開発者に自分のコードのセキュリティを所有することをどのようにエンパワーしますか？
  • セキュリティ要件が明確に定義され、開発者に伝達されていることをどのように確保しますか？
  • シフトレフトセキュリティイニシアティブの有効性をどのように測定しますか？
  • コードのセキュリティ依存関係とサードパーティライブラリをどのように処理しますか？
  • 開発環境でセキュリティ設定をどのように管理および更新しますか？
  • 開発におけるセキュリティポリシーからのセキュリティ例外と逸脱をどのように処理しますか？
  • 開発者の間でセキュリティ認識と責任の文化をどのように促進しますか？

• 先制的サイバー防御：

  • システムに影響を与える前に、潜在的なセキュリティ脅威をどのようにプロアクティブに特定および軽減しますか？
  • 継続的なセキュリティ監視と分析に使用するツールと技術は何ですか？
  • セキュリティアラートとインシデントへの対応と修復をどのように行いますか？
  • インシデント対応計画をどのようにシミュレートおよびテストしますか？
  • 最新のセキュリティ脅威と脆弱性をどのように常に把握しますか？
  • アプリケーションおよびサービスへの DDoS 攻撃をどのように処理および軽減しますか？
  • 内部脅威から機密データを保護するにはどうしますか？
  • セキュリティコントロールが高度で持続的な脅威 (APT) に対して効果的であることをどのように確保しますか？
  • サプライチェーン内のセキュリティ脆弱性をどのように処理しますか？
  • 進化する脅威とテクノロジーに対応するようにセキュリティ態勢をどのように適応させますか？

• AI ワークロードのセキュリティ：

  • AI モデルとデータのセキュリティをどのように確保しますか？
  • AI モデルの潜在的なバイアスと倫理的懸念にどのように対処しますか？
  • AI モデルを敵対的攻撃とデータポイズニングから保護するにはどうしますか？
  • AI モデルで使用されるデータのプライバシーをどのように確保しますか？
  • AI モデルが行う決定をどのように説明および解釈しますか？
  • AI モデルとデータへのアクセスをどのように管理および制御しますか？
  • AI と ML に関連する規制と基準への準拠をどのように確保しますか？
  • AI モデルの行動の異常をどのように監視および検出しますか？
  • AI モデルに関連するセキュリティインシデントにどのように対応しますか？
  • AI と ML の安全かつ責任ある使用について、従業員をどのように教育およびトレーニングしますか？

• セキュリティに AI を使用する：

  • AI と ML を活用してセキュリティ態勢をどのように向上させますか？
  • セキュリティ目的で使用する AI モデルの種類は何ですか？
  • セキュリティアプリケーション向けの AI モデルをどのようにトレーニングおよび検証しますか？
  • AI ベースのセキュリティシステムの精度と信頼性をどのように確保しますか？
  • AI ベースのセキュリティシステムからの偽陽性と偽陰性をどのように処理しますか？
  • AI ベースのセキュリティシステムを既存のセキュリティインフラストラクチャとどのように統合しますか？
  • セキュリティアプリケーション向けの AI モデルをどのように管理および更新しますか？
  • セキュリティアプリケーション向けの AI モデルが行う決定をどのように説明および解釈しますか？
  • セキュリティ目的で AI と ML の倫理的で責任ある使用をどのように確保しますか？
  • セキュリティ態勢の向上における AI と ML の有効性をどのように測定しますか？

• 規制コンプライアンスとプライバシー：

  • 準拠する必要のある規制コンプライアンスフレームワークとプライバシー基準は何ですか？
  • Google Cloud 環境のコンプライアンスリスクをどのように評価および管理しますか？
  • Google Cloud に保存および処理される機密データのプライバシーをどのように確保しますか？
  • プライバシー規制に関連するデータサブジェクトリクエスト (DSR) をどのように処理しますか？
  • コンプライアンスアクティビティと証拠をどのようにドキュメント化および追跡しますか？
  • サードパーティベンダーとパートナーが規制およびプライバシー要件に準拠していることをどのように確保しますか？
  • コンプライアンス規制に関連するデータ侵害とセキュリティインシデントをどのように処理しますか？
  • 規制コンプライアンスとプライバシー基準の変化をどのように常に把握しますか？
  • 規制コンプライアンスとプライバシー要件について、従業員をどのように教育およびトレーニングしますか？
  • 監査人および規制当局にコンプライアンスをどのようにデモンストレーションおよび証明しますか？

検証チェックリスト

以下のチェックリストを使用して、アーキテクチャのセキュリティ推奨事項への適合性を評価します：

• 設計段階からのセキュリティ：

  • システムコンポーネントはセキュリティ機能と強化に基づいて選択されていますか？
  • ネットワーク、ホスト、アプリケーション層に多層防御が実装されていますか？
  • 一般的な脆弱性を防ぐため、安全なライブラリとアプリケーションフレームワークが使用されていますか？
  • 業界基準を使用してリスク評価が実行されていますか？

• ゼロトラスト：

  • アクセス制御はユーザーアイデンティティとコンテキスト（デバイス、場所）に基づいて実装されていますか？
  • プライベート接続方法（Cloud Interconnect、VPN）が内部トラフィックに使用されていますか？
  • デフォルトネットワークがすべてのプロジェクトで無効化されていますか？
  • 機密データを中心に VPC Service Controls 境界が確立されていますか？

• シフトレフトセキュリティ：

  • インフラストラクチャは Infrastructure as Code（例：Terraform）を使用してプロビジョニングされていますか？
  • 自動セキュリティスキャンが CI/CD パイプラインに統合されていますか？
  • 依存関係の脆弱性をスキャンおよびパッチするためのプロセスがありますか？
  • Binary Authorization を使用して信頼されたイメージのみがデプロイされることを確保されていますか？

• 先制的サイバー防御：

  • 脅威インテリジェンスはセキュリティオペレーションに統合されていますか？
  • セキュリティロギングはすべての重要なリソースで有効化され、一元化されていますか？
  • 一般的なセキュリティ脅威に対して自動応答が設定されていますか？
  • 定期的なテストまたはレッドチーミングによって防御が検証されていますか？

• AI セキュリティとガバナンス：

  • AI パイプラインは改ざんとデータポイズニングから保護されていますか？
  • 差分プライバシーまたはデータマスキングが適切に使用されていますか？
  • Vertex Explainable AI と fairness indicators がモデルガバナンスに使用されていますか？