architecting-security

セキュリティアーキテクチャ

多層防御戦略、ゼロトラストの原則、リスクベースのセキュリティ制御を通じて、システム、データ、ユーザーを保護する包括的なセキュリティアーキテクチャを設計、実装します。

目的

セキュリティアーキテクチャは、レジリエントでコンプライアンスに準拠し、信頼できるシステムを構築するための戦略的な基盤となります。このスキルでは、多層防御、ゼロトラストの実装、脅威モデリング手法、および管理フレームワーク（NIST CSF、CIS Controls、ISO 27001）へのマッピングの設計を支援します。

ファイアウォールの設定、認証の実装、脆弱性のスキャンといった戦術的なセキュリティスキルとは異なり、セキュリティアーキテクチャは戦略的な計画、包括的な防御戦略、ガバナンスフレームワークに焦点を当てます。

このスキルを使用する場面

次のような場合に、セキュリティアーキテクチャを使用します。

• グリーンフィールドシステム（新規アプリケーション、クラウド移行）のセキュリティを設計する
• 既存システムのセキュリティ監査やリスク評価を実施する
• エンタープライズ環境全体にゼロトラストアーキテクチャを導入する
• セキュリティガバナンスプログラムやコンプライアンスフレームワークを確立する
• アプリケーション、API、マイクロサービスアーキテクチャの脅威モデリングを行う
• セキュリティ制御を選定し、規制要件（SOC 2、HIPAA、PCI DSS）にマッピングする
• クラウドセキュリティアーキテクチャ（AWS、GCP、Azure のマルチアカウント戦略）を設計する
• サプライチェーンセキュリティに対処する（SLSA フレームワーク、SBOM の導入）

セキュリティアーキテクチャの基本原則

1. 多層防御

独立した複数のセキュリティ制御レイヤーを実装し、あるレイヤーが機能しなくなっても、他のレイヤーが重要な資産を引き続き保護できるようにします。

9 つの防御レイヤー（2025 年モデル）：

1. 物理セキュリティ： データセンターへのアクセス、環境制御、ハードウェアセキュリティモジュール（HSM）
2. ネットワーク境界： 次世代ファイアウォール（NGFW）、DDoS 防御、Web アプリケーションファイアウォール（WAF）
3. ネットワークのセグメンテーション： VLAN、VPC、セキュリティグループ、マイクロセグメンテーション
4. エンドポイント保護： EDR、ウイルス対策、デバイスの暗号化、パッチ管理
5. アプリケーション層： セキュアコーディング、WAF、API セキュリティ、SAST/DAST スキャン
6. データ層： 暗号化（保存時、転送時、使用時）、DLP、バックアップ／復旧
7. ID とアクセス管理： MFA、SSO、RBAC/ABAC、特権アクセス管理（PAM）
8. 行動分析： UEBA、ML ベースの異常検知、脅威インテリジェンス
9. セキュリティ運用： SIEM、SOAR、インシデント対応、継続的な監視

重要な原則： 各レイヤーが独立した保護を提供します。1 つのレイヤーが機能しなくなっても、システム全体が危険にさらされることはありません。

各レイヤーの詳細な実装パターンについては、references/defense-in-depth.md を参照してください。

2. ゼロトラストアーキテクチャ

すべてのアクセス要求を認証、認可し、継続的に検証する「決して信頼せず、常に検証する」という原則を実装します。

ゼロトラストの基本原則：

1. 継続的な検証： すべてのアクセス要求を認証、認可する（暗黙の信頼を置かない）
2. 最小権限アクセス： 必要最低限の権限を付与し、ジャストインタイム（JIT）アクセスを使用する
3. 侵害を前提とする： システムが侵害されることを想定して設計し、被害範囲を限定する
4. 明示的な検証： ユーザーID（MFA）、デバイスの健全性、アプリケーションの完全性、コンテキスト（場所、時間、行動）を検証する
5. マイクロセグメンテーション： ネットワークを小規模な隔離ゾーンに分割し、東西方向のトラフィックを制御する

ゼロトラストアーキテクチャのコンポーネント：

• ポリシーエンジン： 一元化された認可判断ポイント（許可／拒否）
• ID プロバイダー（IdP）： ユーザー／マシンのID検証（Azure AD、Okta）
• デバイスポスチャサービス： デバイスの健全性チェック（MDM、EDR との統合）
• コンテキスト／リスクエンジン： 行動分析、場所、時間、脅威インテリジェンス
• ポリシー適用ポイント： 判断を適用するゲートウェイ（ZTNA、API ゲートウェイ）

ゼロトラストの導入ロードマップとリファレンスアーキテクチャについては、references/zero-trust-architecture.md を参照してください。

3. 脅威モデリング

体系的な手法を通じて、セキュリティ上の脅威を特定し、優先順位を付け、軽減します。

主な手法：

手法	目的	複雑さ	最適な対象
STRIDE	脅威の特定	低	開発チーム、迅速な脅威分析
PASTA	リスク中心の分析	高	エンタープライズのリスク管理
DREAD	リスクのスコアリング	低	既存の脅威の優先順位付け
攻撃ツリー	視覚的な脅威分析	中	セキュリティアーキテクチャのレビュー

STRIDE の脅威カテゴリ：

• Spoofing（なりすまし）：攻撃者が別のユーザー／システムになりすまします（軽減策：MFA、証明書の検証）
• Tampering（改ざん）：許可されていないデータの変更です（軽減策：暗号化、デジタル署名）
• Repudiation（否認）：ユーザーが証拠なしに行為を否定します（軽減策：監査ログ、否認防止）
• Information Disclosure（情報漏えい）：機密データが露出します（軽減策：暗号化、アクセス制御、DLP）
• Denial of Service（サービス拒否）：システムが利用できなくなります（軽減策：レート制限、DDoS 対策、冗長化）
• Elevation of Privilege（権限昇格）：より高い権限を取得します（軽減策：最小権限、入力検証、パッチ適用）

STRIDE の適用プロセス：

1. データフロー図（DFD）を使用してシステムをモデル化します
2. 各コンポーネント／データフローに STRIDE を適用して脅威を特定します
3. STRIDE カテゴリを使用して脅威を記録します
4. DREAD スコアリングまたはビジネスへの影響を使用して脅威に優先順位を付けます
5. 軽減策を設計します

脅威モデリングの手法、PASTA プロセス、DREAD スコアリング、攻撃ツリーの詳細については、references/threat-modeling.md を参照してください。脅威モデリングの例については、examples/threat-models/ を参照してください。

セキュリティ制御フレームワーク

セキュリティ制御を業界フレームワークに対応付け、包括的な適用範囲とコンプライアンスを確保します。

NIST Cybersecurity Framework（CSF）2.0

6 つの中核機能：

1. GOVERN（GV）： リスク管理戦略、ポリシー、サプライチェーンリスク管理
2. IDENTIFY（ID）： 資産インベントリ、リスク評価、継続的改善
3. PROTECT（PR）： アクセス制御、データセキュリティ、プラットフォームセキュリティ、インフラストラクチャのレジリエンス
4. DETECT（DE）： 継続的モニタリング、異常検知、セキュリティイベント分析
5. RESPOND（RS）： インシデント管理、分析、コミュニケーション、軽減
6. RECOVER（RC）： 復旧計画、実行、インシデント後の改善

用途： セキュリティ制御を NIST CSF のカテゴリに対応付け、すべてのセキュリティ機能が網羅されていることを確認します。セキュリティプログラム向けに、リスクベースで柔軟なフレームワークを提供します。

NIST CSF のカテゴリとサブカテゴリの詳細なマッピングについては、references/nist-csf-mapping.md を参照してください。

CIS Critical Security Controls v8

3 つの実装グループに分類された 18 のコントロール：

• IG1（基本）： 小規模組織向けの 56 のセーフガード（資産インベントリ、アクセス制御、ロギング、バックアップ）
• IG2（中級）： IT セキュリティスタッフを擁する中規模組織向けに、さらに 74 のセーフガードを追加
• IG3（高度）： 専任のセキュリティチームを擁する大規模企業向けに、さらに 23 のセーフガードを追加

優先度の高いコントロール（IG1）：

1. エンタープライズ資産のインベントリと制御
2. ソフトウェア資産のインベントリと制御
3. データ保護
4. エンタープライズ資産のセキュアな構成
5. アカウント管理
6. アクセス制御管理
7. 継続的な脆弱性管理
8. 監査ログ管理

用途： CIS Controls は、具体的で測定可能なセキュリティベースラインを提供します。IG1 から始め、セキュリティ成熟度の向上に応じて IG2／IG3 へ進みます。

CIS Controls の実装に関する詳しいガイダンスについては、references/cis-controls.md を参照してください。

OWASP Top 10 のリスク軽減

OWASP Top 10 のアプリケーションセキュリティリスクを、アーキテクチャ上の対策に対応付けます。

OWASP のリスク	主な対策	フレームワークとの対応
インジェクション	パラメーター化クエリ、入力検証	NIST PR.DS、CIS 16
認証の不備	MFA、安全なセッション管理	NIST PR.AC、CIS 5、6
機密データの漏えい	暗号化、鍵管理	NIST PR.DS、CIS 3
XXE	外部エンティティを無効化し、JSON を使用	NIST PR.DS、CIS 16
アクセス制御の不備	認可チェック、RBAC	NIST PR.AC、CIS 6
セキュリティ設定のミス	強化、最小限の設定	NIST PR.IP、CIS 4
XSS	出力エンコーディング、CSP	NIST PR.DS、CIS 16
安全でないデシリアライゼーション	オブジェクトの検証、安全な形式	NIST PR.DS、CIS 16
既知の脆弱性	パッチ管理、SBOM	NIST ID.RA、CIS 7
ログ記録と監視	SIEM、ログの一元管理	NIST DE.CM、CIS 8

OWASP Top 10 のリスク軽減戦略とコード例の詳細については、references/owasp-top10-mitigation.md を参照してください。

アーキテクチャ選定の意思決定フレームワーク

システムの特性に基づいて、適切なセキュリティアーキテクチャのアプローチを選択します。

グリーンフィールド（新規システム）：

• 初日からゼロトラストを導入
• ID を優先するアーキテクチャ（MFA、SSO、RBAC/ABAC）
• デフォルトでマイクロセグメンテーションを実施
• 侵害を前提とする考え方（被害範囲を限定）
• 継続的な検証と監視

ブラウンフィールド（既存システム）：

• ハイブリッド：多層防御を維持し、ゼロトラストを重ねて導入
• 既存の境界制御（ファイアウォール、VPN）を維持
• ゼロトラストの制御を段階的に重ねていく
• 重要な資産（データ、管理者アクセス）からセグメント化
• ID およびアクセス管理を最新化

コンプライアンス主導：

• 要件に基づいて制御フレームワークに対応付けます。
  • 一般的なセキュリティ： リスクベースのアプローチには NIST CSF
  • ベースラインの強化： 具体的な指針には CIS Controls
  • 包括的な ISMS： 認証取得には ISO 27001
  • 業界固有： PCI DSS（決済）、HIPAA Security Rule（医療）、FedRAMP（政府）

クラウドネイティブ：

• クラウドプロバイダーのリファレンスアーキテクチャを使用します。
  • AWS： Well-Architected Framework（Security Pillar）
  • GCP： Security Best Practices、Security Command Center
  • Azure： Security Benchmark、Defender for Cloud
• クラウドネイティブのセキュリティサービス（CSPM、CWPP）を導入

ハイブリッド／マルチクラウド：

• 統一されたポリシー適用には Cloud Security Posture Management（CSPM）
• クラウドをまたいだ可視性と監視
• クラウドに依存しない IAM（Okta、Azure AD）

アーキテクチャ選定の意思決定ツリーの詳細については、references/defense-in-depth.md および references/zero-trust-architecture.md を参照してください。

サプライチェーンセキュリティ

ソフトウェアサプライチェーンを、改ざん、バックドア、侵害された依存関係から保護します。

SLSA フレームワーク

ソフトウェア成果物のサプライチェーンレベル（4 段階）：

1. SLSA レベル 1 - 来歴情報： ビルドプロセスで来歴情報のメタデータを生成します（改ざん防止ではありません）
2. SLSA レベル 2 - ホスト型ビルド： 信頼できるプラットフォーム（GitHub Actions、Cloud Build）上でビルドします
3. SLSA レベル 3 - 強化されたビルド： ビルドプラットフォームで改ざんを防止し、監査ログを記録します
4. SLSA レベル 4 - 完全隔離された再現可能なビルド： 完全に隔離された再現可能なビルドと、2 者によるレビューを実施します

導入方法： まずレベル 1 の来歴情報の生成から始め、レベル 2（GitHub Actions）、次にレベル 3（監査ログを備えた強化済みの CI/CD）へと進めます。

SBOM（ソフトウェア部品表）

ソフトウェアコンポーネントと依存関係のインベントリを生成し、維持します。

SBOM の標準：

• CycloneDX： OWASP 標準（JSON/XML 形式）
• SPDX： Linux Foundation 標準
• SWID： ISO/IEC 19770-2 標準

SBOM のユースケース：

• 脆弱性管理：CVE の公表時に影響を受けるコンポーネントを迅速に特定します
• ライセンスコンプライアンス：法令遵守のためにオープンソースライセンスを追跡します
• サプライチェーンリスク：サードパーティのコードと依存関係を可視化します
• インシデント対応：Log4Shell 型のインシデントを迅速に評価します

依存関係管理のベストプラクティス：

1. CI/CD パイプラインで SBOM を自動生成します
2. ツール（Dependabot、Snyk、Trivy、Grype）で継続的にスキャンします
3. セキュリティパッチの更新を自動化します
4. ライセンスコンプライアンスの追跡と承認ワークフローを導入します
5. ロックファイルを使用して依存関係のバージョンを固定します
6. 依存関係を最小限に抑えて攻撃対象領域を縮小します

SLSA の実装ガイド、SBOM 生成例、依存関係スキャンの自動化については、references/supply-chain-security.md を参照してください。

クラウドセキュリティアーキテクチャのパターン

AWS セキュリティアーキテクチャ

Well-Architected Framework - セキュリティの柱の原則：

1. 強固なアイデンティティ基盤： IAM を一元管理し、最小権限を適用し、IAM Identity Center（SSO）を使用します
2. 追跡可能性を確保： CloudTrail、GuardDuty、Security Hub で包括的にログを記録します
3. すべてのレイヤーにセキュリティを適用： VPC、インスタンス、アプリケーション、データの全体で多層防御を実施します
4. セキュリティのベストプラクティスを自動化： Infrastructure as Code（Terraform、CloudFormation）を使用します
5. 転送中および保存中のデータを保護： TLS 1.3、AWS KMS を使用し、あらゆる場所で暗号化します

主要な AWS セキュリティサービス：

• IAM： AWS IAM、IAM Identity Center（SSO）、Cognito（顧客アイデンティティ）
• 検出： GuardDuty（脅威検出）、Security Hub（検出結果の一元管理）、Detective（調査）
• ネットワーク： AWS WAF、Shield（DDoS）、Network Firewall
• データ： KMS（キー管理）、Secrets Manager、Macie（データ分類）
• コンピューティング： Systems Manager（パッチ管理）、Inspector（脆弱性スキャン）

マルチアカウント戦略： Security OU（Security Account、Logging Account、Audit Account）および Workload OU（Production、Non-Production）を含む AWS Organizations を使用します。ガードレールとして Service Control Policies（SCP）を適用します。

AWS のリファレンスアーキテクチャとマルチアカウントのセキュリティ設定については、references/aws-security-architecture.md および examples/architectures/aws-multi-account-security.md を参照してください。

GCP セキュリティアーキテクチャ

主要な GCP セキュリティサービス：

• IAM： Cloud IAM、Identity Platform（顧客アイデンティティ）、Cloud Identity（従業員）
• 検出： Security Command Center（統合ダッシュボード）、Chronicle（SIEM）、Event Threat Detection
• ネットワーク： Cloud Armor（DDoS/WAF）、VPC Service Controls（データ流出防止）、Cloud Firewall
• データ： Cloud KMS、Secret Manager、Cloud DLP（データ損失防止）
• コンピューティング： Binary Authorization（イメージ署名）、Confidential Computing（使用中の暗号化）

組織階層： 組織 → フォルダ（Production、Non-Production、Security） → プロジェクトの構造にします。継承を適用するため、フォルダレベルで IAM ポリシーを設定します。

GCP のセキュリティアーキテクチャのパターンと組織の設定については、references/gcp-security-architecture.md および examples/architectures/gcp-security-hierarchy.md を参照してください。

Azure セキュリティアーキテクチャ

主要な Azure セキュリティサービス：

• IAM： Azure AD (Entra ID)、Privileged Identity Management（JIT アクセス）、Conditional Access
• 検出： Microsoft Defender for Cloud（CSPM/CWPP）、Sentinel（SIEM/SOAR）、Azure Monitor
• ネットワーク： Azure Firewall、Front Door + WAF、DDoS Protection
• データ： Key Vault（シークレット、キー、証明書）、Information Protection（DLP）、ストレージ暗号化
• コンピューティング： Just-in-Time VM Access、Azure Policy（コンプライアンスの適用）

ハブ＆スポーク型ランディングゾーン： ハブ VNet（ファイアウォール、VPN、Azure Bastion などの共有サービス）と、スポーク VNet（ワークロード）を構成します。ポリシー階層には Management Groups を使用します。

Azure セキュリティアーキテクチャとハブ＆スポーク設計については、references/azure-security-architecture.md と examples/architectures/azure-landing-zone.md を参照してください。

ID とアクセス管理のパターン

認証制御

多要素認証（MFA）：

• 種類： TOTP（時間ベースのワンタイムパスワード）、プッシュ通知、生体認証、ハードウェアトークン（YubiKey、FIDO2）
• 適用： 特権アカウントを中心に、すべてのユーザー（従業員と顧客）に MFA を必須にします
• パスワードレス： WebAuthn、FIDO2、パスキーへ移行し、パスワードベースの攻撃を排除します

シングルサインオン（SSO）：

• プロトコル： SAML 2.0、OAuth 2.0、OpenID Connect（OIDC）
• メリット： 認証の一元化、パスワード疲れの軽減、セキュリティ態勢の向上
• 実装： Azure AD、Okta、Auth0、Ping Identity

認可制御

ロールベースアクセス制御（RBAC）：

• ユーザーをロールに割り当て、ロールに権限を設定します
• 粗粒度で、実装が簡単です
• 最適な用途：安定したロール構造を持つ組織

属性ベースアクセス制御（ABAC）：

• 属性（ユーザーの部門、リソースの分類、時間、場所）に基づいてきめ細かくアクセスを制御します
• RBAC より柔軟です
• 最適な用途：複雑で動的なアクセス要件

ポリシーベースアクセス制御（PBAC）：

• ポリシーエンジンを一元化します（Open Policy Agent - OPA、AWS Cedar）
• ポリシーを宣言的に定義し、バージョン管理します
• 最適な用途：マイクロサービス、API ゲートウェイ、クラウドネイティブアーキテクチャ

特権アクセス管理（PAM）

ジャストインタイム（JIT）アクセス：

• 特定のタスクに対して一時的に昇格した権限を付与します
• 期間を限定してアクセスを許可します（例：4 時間）
• 常時付与される特権アクセスを削減します

認証情報の保管：

• 特権認証情報を一元的に保管します（CyberArk、HashiCorp Vault、Azure Key Vault）
• パスワードを自動的にローテーションします
• セッションを記録し、監査します

IAM の実装パターン、MFA の設定、PAM のセットアップについて詳しくは、references/iam-patterns.md を参照してください。

セキュリティ監視と運用

SIEM（セキュリティ情報およびイベント管理）

セキュリティイベントのログ集約、相関分析、アラートを一元化します。

主要な SIEM プラットフォーム：

• Splunk、Elastic Security、Microsoft Sentinel、Chronicle

SIEM アーキテクチャ：

1. ログ収集： すべてのレイヤー（ネットワーク、エンドポイント、アプリケーション、クラウド）からログを取り込みます
2. 正規化： 相関分析のためにログ形式を標準化します
3. 相関分析： ルールを適用してパターンを検出します（ログイン失敗 → ブルートフォース攻撃）
4. アラート： 優先度の高いイベントを SOC チームに通知します
5. 調査： インシデント分析のための検索と可視化を提供します

SOAR（セキュリティオーケストレーション、自動化および対応）

インシデント対応のワークフローを自動化し、平均対応時間（MTTR）を短縮します。

SOAR の機能：

• プレイブック： 対応ワークフローを自動化します（IP のブロック、エンドポイントの隔離、認証情報の取り消し）
• オーケストレーション： セキュリティツール（SIEM、EDR、ファイアウォール、IAM）と連携します
• ケース管理： インシデントを追跡し、アナリストに割り当て、解決内容を記録します

主要な SOAR プラットフォーム：

• Splunk SOAR、Palo Alto Cortex XSOAR、IBM Resilient

検知戦略

UEBA（ユーザーおよびエンティティの行動分析）：

• 機械学習ベースの異常検知
• 検知対象：アカウント侵害、内部脅威、データ流出
• 通常の行動をベースラインとして設定し、逸脱を検知したらアラートを発します

脅威インテリジェンス：

• 脅威フィード（MISP、ThreatConnect、ISAC）を統合します
• 脅威のコンテキスト（既知の悪意ある IP、IOC）をアラートに付加します
• TTP（MITRE ATT&CK フレームワーク）を使用して、プロアクティブな脅威ハンティングを実施します

SIEM アーキテクチャ、SOAR プレイブックの例、検知戦略については、references/security-operations.md を参照してください。

クイックリファレンス：コントロールフレームワークの対応付け

この表を使用して、リスクを適切なコントロールフレームワークに対応付けます。

リスク／要件	フレームワーク	主なコントロール
一般的なセキュリティプログラム	NIST CSF 2.0	6 つの機能すべて（GV、ID、PR、DE、RS、RC）
コンプライアンスのベースライン	CIS Controls v8	IG1：コントロール 1～18（56 のセーフガード）
ISO 認証	ISO 27001/27002	14 のドメインにわたる 114 のコントロール
アプリケーションセキュリティ	OWASP ASVS	286 のセキュリティ要件（3 つのレベル）
クラウドセキュリティ（AWS）	AWS Well-Architected	セキュリティの柱：10 の設計原則
クラウドセキュリティ（GCP）	GCP Security Best Practices	Security Command Center アーキテクチャ
クラウドセキュリティ（Azure）	Azure Security Benchmark	Defender for Cloud のコントロール
サプライチェーンセキュリティ	SLSA + SBOM	レベル 2 以上の SLSA、CycloneDX SBOM
ゼロトラストアーキテクチャ	NIST SP 800-207	ZTA の基本原則、導入モデル
プライバシー／GDPR	NIST Privacy Framework	プライバシーエンジニアリングの目標

関連スキルとの連携

セキュリティアーキテクチャは、戦術的なセキュリティ実装の戦略的基盤となります。

• infrastructure-as-code： セキュリティアーキテクチャをコードとして実装します（セキュアなデフォルト設定、ハードニング）
• kubernetes-operations： K8s のセキュリティアーキテクチャを適用します（RBAC、Pod Security、Network Policies）
• secret-management： シークレット管理を設計します（KMS、Vault、ローテーション戦略）
• building-ci-pipelines： CI/CD アーキテクチャを保護します（SAST/DAST の統合、アーティファクト署名）
• configuring-firewalls： 多層防御のネットワーク境界層を実装します
• vulnerability-management： 脆弱性スキャンをセキュリティアーキテクチャに統合します
• auth-security： IAM 層の詳細を実装します（MFA、RBAC/ABAC、セッション管理）
• siem-logging： セキュリティ監視アーキテクチャを実装します（SIEM、ログ集約）
• compliance-frameworks： セキュリティアーキテクチャをコンプライアンス要件に対応付けます

一般的なセキュリティアーキテクチャパターン

パターン 1：ゼロトラストネットワークアクセス（ZTNA）

VPN を、ID ベースのアプリケーションアクセスに置き換えます。

アーキテクチャ：

1. ユーザーが ID プロバイダー（Azure AD、Okta）で認証します
2. デバイスの状態チェックによってデバイスの健全性を検証します
3. ポリシーエンジンがアクセス要求（ユーザー、デバイス、コンテキスト）を評価します
4. セキュアコネクター経由でアクセスを許可します（ネットワークアクセスはありません）

メリット： ラテラルムーブメントを排除し、攻撃対象領域を縮小し、ユーザーエクスペリエンスを向上させます

パターン 2：ウェブアプリケーションの多層防御

複数のセキュリティコントロールを重ねて、ウェブアプリケーションを保護します。

レイヤー：

1. DDoS 保護（Cloudflare、AWS Shield）
2. WAF（アプリケーションファイアウォール、OWASP Top 10 ルール）
3. API ゲートウェイ（認証、レート制限）
4. アプリケーションセキュリティ（SAST/DAST、セキュアコーディング）
5. データベースセキュリティ（暗号化、最小権限）
6. ログ記録と監視（SIEM、異常検知）

パターン 3：クラウドセキュリティポスチャ管理（CSPM）

クラウド環境全体のセキュリティ設定を継続的に監視し、適用します。

アーキテクチャ：

1. 資産の検出：すべてのクラウドリソースを一覧化します
2. 設定の評価：セキュリティベースライン（CIS Benchmarks）と比較します
3. コンプライアンスの監視：規制への準拠状況（SOC 2、ISO 27001）を追跡します
4. 修正：自動修正またはガイド付きワークフローを実施します
5. ドリフトの検出：設定変更を通知します

主要な CSPM ツール： Wiz、Orca Security、Prisma Cloud、Microsoft Defender for Cloud

リソースと参考資料

多層防御：

• references/defense-in-depth.md - 9 層の防御モデル、実装パターン、障害影響分析

ゼロトラストアーキテクチャ：

• references/zero-trust-architecture.md - ZTA の原則、リファレンスアーキテクチャ、実装ロードマップ

脅威モデリング：

• references/threat-modeling.md - STRIDE、PASTA、DREAD、攻撃ツリーの手法
• examples/threat-models/web-app-stride.md - Web アプリケーションの STRIDE 分析例
• examples/threat-models/api-threat-model.md - REST API の脅威モデル例
• examples/threat-models/microservices-threat-model.md - マイクロサービスの脅威モデル例

コントロールフレームワーク：

• references/nist-csf-mapping.md - NIST CSF 2.0 の機能、カテゴリー、サブカテゴリー
• references/cis-controls.md - CIS Controls v8、実装グループ、セーフガード
• references/owasp-top10-mitigation.md - OWASP Top 10 のリスクと緩和策

サプライチェーンセキュリティ：

• references/supply-chain-security.md - SLSA フレームワーク、SBOM の生成、依存関係のスキャン

クラウドセキュリティ：

• references/aws-security-architecture.md - AWS Well-Architected Security Pillar、サービス、パターン
• references/gcp-security-architecture.md - GCP Security Best Practices、サービス、組織設計
• references/azure-security-architecture.md - Azure Security Benchmark、Defender for Cloud、ランディングゾーン

IAM と運用：

• references/iam-patterns.md - 認証、認可、MFA、RBAC/ABAC、PAM
• references/security-operations.md - SIEM、SOAR、UEBA、脅威インテリジェンス、インシデント対応

アーキテクチャの例：

• examples/architectures/aws-multi-account-security.md - AWS Organizations のセキュリティ設定
• examples/architectures/gcp-security-hierarchy.md - GCP のフォルダー／プロジェクトのセキュリティ階層
• examples/architectures/azure-landing-zone.md - Azure のハブアンドスポーク型ランディングゾーン
• examples/architectures/zero-trust-network.md - ゼロトラストネットワークの設計

スクリプト：

• scripts/threat-model-template.py - STRIDE 脅威モデルのテンプレートを生成します
• scripts/control-gap-analysis.sh - 現在のコントロールをフレームワークと比較します
• scripts/sbom-generate.sh - CycloneDX 形式で SBOM を生成します
• scripts/security-checklist.sh - セキュリティアーキテクチャのチェックリストを自動実行します

まとめ

セキュリティアーキテクチャには、物理セキュリティからセキュリティ運用まで、複数のレイヤーにわたる戦略的な計画が必要です。包括的な保護のために多層防御を実装し、最新のクラウド環境ではゼロトラストの原則を採用し、リスクを事前に特定するために脅威モデリングを活用し、コンプライアンスと網羅性を確保するためにコントロールをフレームワークに対応付けます。

リスク評価から始めて脅威を把握し、適切なアーキテクチャのアプローチ（新規構築にはゼロトラスト、既存環境にはハイブリッド）を選択して、階層化されたコントロールを実装し、セキュリティポスチャを継続的に監視・改善してください。