Snapshot 37490
Normalized text
Scripts and page chrome removed; this is what change detection compares.
AWSに最適化されたセキュリティアセスメントで答え合わせ DevSecOpsの体制づくりにAWSセキュリティ強化プログラムが貢献 Trust Base株式会社 DXプラットフォームセンター センター長 中川哲 様 DXプラットフォームセンター CCoEリーダー 小林正拡 様 AWS AWSセキュリティ強化プログラム セキュリティ対策 金融 公開日：2025年4月14日 金融DXを実現するDevSecOps体制をより強化したい 業界標準をベースにした独自ガイドラインの有効性を確認したい AWSとDevSecOpsを評価するノウハウの不足 AWSとDevSecOpsに特化したフレームワークによる答え合わせ 発覚したヌケモレに対して迅速かつ最適な打ち手を講じる 脅威モデリングとセキュリティチャンピオンの育成で体制を強化 2021年4月、三井住友トラストグループのデジタル戦略子会社として設立されたTrust Base株式会社。同社では金融ＤＸを実現するDevSecOps体制をより強化するために、クラスメソッドの「AWSセキュリティ強化プログラム」によるセキュリティアセスメントを実施しました。その内容と評価について、DXプラットフォームセンターの中川さん、小林さんにお話をうかがいました。 AWSとDevSecOpsに特化したセキュリティ評価が必要 近年、金融業界にもDXの波が押し寄せ、柔軟かつスピード感のあるデジタルトランスフォーメーションが求められています。こうした時代の要請を受け、Trust Baseは誕生しました。設立から4年の若い会社ですが、その大半がITエンジニアやデータサイエンティスト、UXデザイナー等のDX人材。現在は約90名の社員を抱え、三井住友トラストグループのDX推進を担っています。 具体的にはAWS上で金融業務に特化したSaaSを開発して、旧来の煩雑なオペレーションをデジタル化。最近では生成AIを組み合わせたアプリ開発を手がけるなど、オペレーショナルエクセレンスに取り組んでいます。 DXプラットフォームセンターはTrust Baseの中でコーポレートITに該当する部署で、ITインフラとセキュリティの運用管理を一手に引き受けています。自社開発したSaaSを三井住友信託銀行をはじめとした金融機関に提供するにあたって、堅牢なセキュリティ対策が求められることから、同社では、開発環境の根幹を成すAWSのセキュリティアセスメントを独自のガイドラインに従って実施していました。しかし、中川さんはその方法に課題感を抱えていたと話します。 「我々のガイドラインはFISC（金融情報システムセンター）の安全対策基準をベースにした内容でしたが、疑問がありました。なぜなら汎用的なクラウドセキュリティ対策であり、AWSやDevSecOpsを意識した内容ではないからです。 また、従来のアセスメントではFISCの安全対策基準やISO/IEC27017、27018をベースとしたチェックシートによる評価、いわゆるベースラインアプローチでした。加えて、開発者によるセルフチェックのため100％正しいとは言い切れないという不安がありました。だからこそ早急にAWSに特化したフレームワークと有識者による答え合わせをしなくてはならないと考えていました」（中川さん） 経験に裏打ちされた「AWSセキュリティ強化プログラム」 2023年2月のクラスメソッドメンバーズ加入以降、Trust BaseとクラスメソッドはAWS活用で関係を深めてきました。そうした背景もあり、AWSとDevSecOpsに特化したアセスメントとして紹介を受けたのが「AWSセキュリティ強化プログラム」です。AWSが提供しているフレームワーク「AWSセキュリティ成熟度モデル」をベースに独自のノウハウと判断基準を加えてアセスメントを実施し、改善点にはセキュリティ強化メニューを用いて対策支援を行うサービスです。 「答え合わせには2つのことが必要と考えていました。1つ目はAWSセキュリティに最適化された指標を使用すること。2つ目はAWSとDevSecOpsの両方に精通した技術者と一緒に進められること。これらの条件を満たすのがAWSセキュリティ強化プログラムでした」（中川さん） ほかの依頼先候補も比較検討しましたが、最終的にクラスメソッドのAWSセキュリティ強化プログラムを採用した理由について、中川さんはこう語ります。 「コンサルティングファームやSIerのアセスメントは費用が高く、それでいてアセスメントで使用する指標は汎用的なものでしたし、AWSとDevSecOpsの両方に精通した技術者をアサインいただくのはほぼ不可能でした。ところが、クラスメソッドは費用が数分の1で、しかもAWSセキュリティ成熟度モデルをベースにしたフレームワークを使用し、なおかつAWSとDevSecOpsの両方に精通した技術者による支援が決め手になりました」（中川さん） 想定以上に優等生だったがヌケモレも発見 こうして2024年7月から約2カ月にわたってAWSセキュリティ強化プログラムを実施。週一のペースでクラスメソッドのコンサルタントとともにディスカッションを行い、課題解決の道を徹底的に探っていきました。 「コンサルタントの質問に対してアセスメント対象のプロダクト開発チームは答えをまとめなくてはいけません。その過程において開発チーム内で開発プロセスやセキュリティ対策について認識合わせを行い、言語化することで、プロダクトの課題を明確に認識できるメリットがある。開発チームにとって非常に良い体験になったと感じています」（中川さん） 幸いなことに、答え合わせをしてみると、これまで我々が運用してきた独自のガイドラインでもほとんどのセキュリティ対策をカバーできていたことがわかりました。AWSセキュリティ強化プログラムは、フェーズ1からフェーズ4に至るまで強化すべきポイントを項目ごとに見える化しますが、ヌケモレはごくわずか。「我々のセキュリティ対策が適切であることが裏付けられてホッとしました」と中川さんは振り返ります。 一方、アセスメントの担当窓口として携わった小林さんはまた違った考えを持っていたようです。 「正直、開発チームは肌感覚でセキュリティを担保できているとの手応えがありました。そもそもTrust Baseは様々な企業から転職してきた経験豊富なエンジニアが在籍しているのですが、その誰もが弊社独自のガイドラインがしっかり整備されていることを口にしていましたから。 とはいえ改めて第三者評価を受けてみると結果は完璧ではありませんでした。例えばアクセス権限の強いアカウントを定期的に棚卸しする項目については、AWSが推奨する棚卸の機能は有効化していたものの、その機能を活用する運用まではきちんと落とし込めていませんでした。そうしたヌケモレをきちんとチェックでき、プロダクトの非機能部分も含めてよりブラッシュアップされたと感じています」（小林さん） 脅威モデリングの整備、セキュリティチャンピオンの育成を目指す 現在は、AWSセキュリティ強化プログラムの評価で未対応になっていた箇所についてガイドラインをブラッシュアップしたうえで運用しています。その上で、今後は組織力の強化を図っていきたいと小林さんは話します。 「これまではDXプラットフォームセンターのセキュリティチームが横断的にセキュリティをマネジメントしていましたが、開発現場の最前線までは目配せができていませんでした。この課題を解消するため、脅威モデリングのようなセキュリティ・バイ・デザインを各開発チーム内でできるようにするのと、各開発チーム内に配置するセキュリティチャンピオンの育成に取り組んでいきます。DevSecOpsを行うにあたって開発チームのセキュリティリーダーとなるセキュリティチャンピオンの存在は欠かせないものですので、今後もクラスメソッドと相談しながら人材の育成に努めていきたいです」（中川さん） 中川さんは「AWSの活用方法にとどまらず、組織の課題についても気づかせてくれたことがAWSセキュリティ強化プログラムの大きな収穫」と話します。これからもクラスメソッドはTrust Baseのパートナーとして継続的にAWS活用・セキュリティ支援を行っていきます。 この事例はAWSセキュリティ強化プログラムをご利用いただいています お客様の組織やプロジェクトのセキュリティをアセスメントし、結果をもとに最適なセキュリティ対策を提案・実施するサービスです。これによりお客様のAWS環境のセキュリティレベルを総合的に上げることを支援します。 AWSセキュリティ強化プログラムを詳しく見る この事例で利用しているサービス AWSセキュリティ強化プログラムを詳しく見る お客様の業界・課題に合った事例や支援内容も個別にご提案可能です。 まずはお気軽にご連絡ください。 事例集をダウンロード 相談する 似ている事例 すべての事例へ シフトプラス株式会社 自治体向けビジネスチャットをAWSに移行 Terraformでのコード化でインフラ構築の再現性を確保 AWSAWSインフラ構築AWSコンサルティングAWS移行クラスメソッドメンバーズIT・インターネット bravesoft株式会社 AWS Well-Architectedを用いたアセスメントを実施 マルチテナントSaaSを安定稼働に向けた改善へ AWSAWSコンサルティングクラスメソッドメンバーズコスト削減IT・インターネット フジテック株式会社 エレベーター・エスカレーターの安全と安心を支える技術 デジタルツイン実現のためのクラウド利用を支援 AWSAWS請求代行クラスメソッドメンバーズ電機・精密 旭化成株式会社 治療薬の継続支援システムをAWS上に構築、患者のQOL改善に期待 AWSAmazon Connectモダンアプリケーション開発支援医療・ヘルスケア セガサミーホールディングス株式会社 セガサミーグループ全体のセキュリティガイドライン作成、クラウドネイティブ時代の仕組みづくりを支援 AWSAzureGoogle Cloudガイドライン策定支援クラスメソッドメンバーズセキュリティ対策マルチクラウド活用支援ゲーム・エンタメ シーデーシー情報システム株式会社 ガバメントクラウドビジネス拡大に向けてアライアンス契約を締結。実務体験型トレーニングでAWS技術者を育成 AWSAWSトレーニングDevelopersIO BASECAMP for Bizプロパゲート公共機関・公共サービス サービス クラスメソッドのAWS総合支援 コスト最適化からセキュリティ、構築支援、運用保守まで、AWS活用を支援します。 AWS請求代行 初期費用および月額手数料無料で、円建て請求書払いやセキュリティ設定などのサービスを提供します。 Claude 法人導入・活用支援 Enterprise / Cowork / Code / API（Bedrock）。製品選定から定着まで、ワンストップで支援します。 AI駆動レガシーマイグレーション 老朽化したシステムをAIで分析・設計し、移行リスクを抑えながらモダナイゼーションを一貫してサポートします。 生成AI総合支援サービス コンサルティングからシステム構築後の運用保守代行まで、生成AI活用を総合的に支援します。 LINEサービス総合支援 LINEを活用したサービス・開発・保守運用・コンサルティング データ活用基盤 オーダーメイドでのシステム開発からデータ活用支援、ソリューション導入 アプリ開発 iOS / Androidアプリ制作・運用・コンサル・改善サポート クラウド AWSコンサルティング AWS導入・構築支援 AWSセキュリティ設計 AWSコスト最適化 データ・AI AI駆動開発支援サービス 生成AIにガードレールを「AI-Starter」 機械学習モデル活用 データ活用コンサルティング デジタル化 Classmethod SmartFactory AI Base DevOps支援 IoTアプリ開発 オフショア・アジャイル開発 組織開発・人材育成 内製化支援サービス 伴走型開発支援サービス トレーニング・研修 ITエンジニア採用・活用支援 すべてのサービスへ 業界・規模問わず 実績5,600社以上、 まずはお気軽にご相談ください 技術活用に役立つ 情報や サービス資料を 公開しています 資料請求 相談しやすい スペシャリストが お悩みに対応します お問い合わせ お電話でも お問い合わせできます （平日9:00〜18:00） 0120-991-668 お問い合わせ AWSに最適化されたセキュリティアセスメントで答え合わせ。DevSecOpsの体制づくりにAWSセキュリティ強化プログラムが貢献のご相談はこちら 0120-991-668 平日9:00〜18:00 お問い合わせ