google-cloud-waf-security

セキュリティの柱に関する Google Cloud Well-Architected Framework スキル

帰属表示

必ずお読みください：gcloud、REST API、または MCP コマンドを実行する前に、 Usage Attribution の指示を必ず読み、従ってください。

概要

Google Cloud Well-Architected Framework のセキュリティの柱では、クラウドワークロードのアーキテクチャのあらゆるレイヤーにセキュリティを組み込み、堅牢なセキュリティ態勢を構築するための設計原則とベストプラクティスを提供します。コンプライアンスとプライバシーを確保しながら、データとシステムの機密性および完全性を維持することに重点を置いています。リスク管理、脅威防御、ID 制御に対する体系的なアプローチを提供し、クラウドワークロードを安全かつ大規模に運用できるようにします。

ワークフロー

このスキルが有効になったら、指定された Google Cloud ワークロードのセキュリティ態勢を評価し、改善するために、次の手順に従ってください。

1. コンテキストを把握する：ワークロード評価の質問リストから的を絞った質問をして、ユーザーの現在のアーキテクチャ、セキュリティ要件、制約に関する情報を収集します。
2. 分析してギャップを特定する：コア原則と検証チェックリストに照らしてワークロードを評価し、セキュリティの脆弱性、不足している制御、またはベストプラクティスからの逸脱を特定します。
3. 推奨事項を策定する：Google Cloud Well-Architected Framework に基づいて、実行可能で優先順位付けされたガイダンスを提示します。特定したギャップに対処するため、関連する Google Cloud プロダクトから具体的なプロダクトを推奨します。
4. 推奨事項を説明する：すべての推奨事項を適切なコア原則に沿わせ、それぞれの推奨事項がもたらすメリットを示します。
5. 反復して改善する：ユーザーが固有の要件や制約に合わせて推奨事項を調整できるよう支援します。

コア原則

Well-Architected Framework のセキュリティの柱における推奨事項は、次のコア原則に沿っています。

• 設計段階からセキュリティを組み込む：アプリケーションとインフラストラクチャの初期設計段階から、クラウドセキュリティとネットワークセキュリティに関する考慮事項を取り入れます。Google Cloud は、この原則を適用するためのアーキテクチャブループリントと推奨事項を提供しています。参考ドキュメント： https://docs.cloud.google.com/architecture/framework/security/implement-security-by-design.md.txt

• ゼロトラストを実装する：_決して信頼せず、常に検証する_というアプローチを採用し、信頼性を継続的に検証したうえでリソースへのアクセスを許可します。Google Cloud は、Chrome Enterprise Premium、Identity-Aware Proxy（IAP）、IAM Recommender などのプロダクトを通じて、この原則をサポートしています。参考ドキュメント： https://docs.cloud.google.com/architecture/framework/security/implement-zero-trust.md.txt

• シフトレフトセキュリティを実装する：ソフトウェア開発ライフサイクルの早い段階でセキュリティ制御を実装します。システムに変更を加える前に、セキュリティ上の欠陥を防ぎます。システムの変更をコミットした後は、セキュリティバグを早期に、迅速かつ確実に検出して修正します。Google Cloud は、Cloud Build、Binary Authorization、Artifact Registry などのプロダクトを通じて、この原則をサポートしています。参考ドキュメント： https://docs.cloud.google.com/architecture/framework/security/implement-shift-left-security.md.txt

• 先制的なサイバー防御を実装する：脅威インテリジェンスなどの堅牢な基本対策を実施し、プロアクティブなセキュリティアプローチを採用します。このアプローチにより、より効果的な脅威の検出と対応のための基盤を構築できます。Google Cloud の階層化されたセキュリティ制御のアプローチは、この原則に沿っています。Google Cloud は、Security Command Center、Google Threat Intelligence、Google SecOps などのプロダクトを通じて、この原則をサポートしています。参考ドキュメント： https://docs.cloud.google.com/architecture/framework/security/implement-preemptive-cyber-defense.md.txt

• AI を安全かつ責任を持って使用する: AI システムを責任を持って安全に開発、デプロイします。この原則に関する推奨事項は、Well-Architected Framework の AI と ML の観点、および Google の Secure AI Framework（SAIF）のガイダンスに沿っています。根拠となるドキュメント: https://docs.cloud.google.com/architecture/framework/security/use-ai-securely-and-responsibly.md.txt

• セキュリティに AI を活用する: Gemini in Security とプラットフォーム全体のセキュリティ機能を通じて、AI の機能を活用し、既存のセキュリティシステムとプロセスを改善します。AI をツールとして活用し、修復作業の自動化を進めるとともに、セキュリティ衛生を確保して、他のシステムの安全性を高めます。Google Cloud は、Google Threat Intelligence や Google SecOps などの製品を通じて、この原則をサポートしています。根拠となるドキュメント: https://docs.cloud.google.com/architecture/framework/security/use-ai-for-security.md.txt

• 規制、コンプライアンス、プライバシーのニーズを満たす: 業界固有の規制、コンプライアンス基準、プライバシー要件を遵守します。Google Cloud は、Assured Workloads、Organization Policy Service、コンプライアンス リソースセンターなどの製品を通じて、これらの義務を果たす支援をします。根拠となるドキュメント: https://docs.cloud.google.com/architecture/framework/security/meet-regulatory-compliance-and-privacy-needs.md.txt

• Google Cloud における責任共有と運命共有: Google はクラウド_の_セキュリティに責任を負い、お客様はクラウド_内_のワークロードのセキュリティに責任を負うことを理解します。この責任分担は、ワークロードの種類によって異なることを認識します。Google がクラウド_の_セキュリティを確保するために行っていることを学びます。クラウド_内_のワークロードのセキュリティを確保するために、適切な対策を講じます。 根拠となるドキュメント: https://docs.cloud.google.com/architecture/framework/security/shared-responsibility-shared-fate.md.txt

関連する Google Cloud 製品

以下は、セキュリティに関連する Google Cloud の製品と機能の_例_です。

• ID とアクセス管理

  • Cloud Identity: ユーザーのライフサイクル、認証、ID フェデレーションを管理します。
  • Identity and Access Management (IAM): Google Cloud リソースへのきめ細かなアクセス制御を行います。
  • Identity-Aware Proxy (IAP): VPN を使用せずにアプリケーションへの安全なアクセスを実現します。
  • Chrome Enterprise Premium: エンドポイントセキュリティとコンテキストアウェア アクセスを提供します。
  • IAM Recommender: ポリシーに関するインテリジェンスを提供します。

• ネットワーク セキュリティ

  • Google Cloud Armor: DDoS 保護と Web Application Firewall（WAF）を提供します。
  • VPC Service Controls: データの持ち出しを防ぐためのセキュリティ境界を定義します。
  • Cloud Next-Generation Firewall (NGFW): ネットワーク トラフィックに対する高度な脅威保護を提供します。
  • Shared VPC: プロジェクト間のネットワーク管理を一元化します。
  • Cloud Interconnect and IPsec VPN: 安全でプライベートな接続を提供します。 -Private Service Connect: マネージド サービスへのプライベート アクセスを提供します

• データ セキュリティ

  • Cloud Key Management Service (KMS): 暗号鍵を管理します。
  • Sensitive Data Protection (formerly Cloud DLP): 機密データを検出し、マスキングします。
  • Confidential Computing: 使用中のデータ（メモリ内）を暗号化します。

• セキュリティ運用（SecOps）

  • Google SecOps (Chronicle): 脅威検出とセキュリティ分析を提供します。
  • Security Command Center (SCC): 脆弱性と脅威の管理を一元化します。
  • Cloud Logging and Cloud Monitoring: システムのアクティビティを可視化します。
  • BigQuery: 分析のためにエクスポートしたログを保存します。

• 自動化とサプライチェーン

  • Cloud Build: 安全な CI/CD パイプラインを実現します。
  • Artifact Analysis: コンテナ イメージの脆弱性スキャンを行います。
  • Binary Authorization: デプロイ時にポリシーを適用します。
  • Assured open source software: セキュリティ保護された OSS パッケージを使用します。

ワークロード評価の質問

ワークロードとユーザーの組織におけるセキュリティ関連の要件や制約を把握するため、適切な質問をしてください。以下のリストから質問を選んでください。

• セキュリティ・バイ・デザイン：

  • プロジェクトの初期の計画段階や設計段階で、セキュリティに関する考慮事項をどのように取り入れていますか？
  • 新しいアプリケーションやサービスのセキュリティ要件をどのように定義し、文書化していますか？
  • 開発ライフサイクルにセキュリティが確実に組み込まれるよう、どのようにしていますか？
  • 設計段階で脅威モデリングを実施するために、どのようなツールや手法を使用していますか？
  • 設計・開発プロセスで見つかったセキュリティの脆弱性をどのように管理し、優先順位を付けていますか？
  • アプリケーションやインフラストラクチャのセキュリティ更新やパッチをどのように管理していますか？
  • セキュリティ設計に関する決定をどのように文書化し、チームや関係者に伝えていますか？
  • 環境全体にセキュリティ設定を一貫して適用するために、どのようにしていますか？
  • セキュリティ制御と対策の有効性をどのように検証していますか？
  • セキュリティ設計からの例外や逸脱をどのように処理していますか？

• ゼロトラスト：

  • Google Cloud リソースにアクセスするユーザーやデバイスを、どのように検証し、認証していますか？
  • アクセス制御に最小権限の原則をどのように実装していますか？
  • Google Cloud 環境内のネットワークトラフィックをどのように監視し、制御していますか？
  • Google Cloud 環境内で、転送中および保存中のデータをどのように保護していますか？
  • ユーザーやデバイスのアクティビティを継続的に監視し、ログに記録する仕組みをどのように実装していますか？
  • ゼロトラスト環境におけるセキュリティインシデントや侵害に、どのように対処し、対応していますか？
  • ゼロトラスト環境におけるセキュリティポリシーや制御を、どのように管理し、更新していますか？
  • サードパーティのアプリケーションやサービスがゼロトラストの原則に準拠していることを、どのように確認していますか？
  • ゼロトラスト環境でのリモートアクセスや BYOD デバイスを、どのように扱っていますか？
  • ゼロトラストの原則や実践について、従業員にどのような教育やトレーニングを行っていますか？

• シフトレフト・セキュリティ：

  • 開発パイプラインの早い段階で、セキュリティテストをどのように組み込んでいますか？
  • 開発段階では、どのような種類のセキュリティテストを実施していますか？
  • セキュリティの脆弱性やベストプラクティスについて、開発者にどのようにフィードバックしていますか？
  • 開発者が自身のコードのセキュリティに責任を持てるよう、どのように支援していますか？
  • セキュリティ要件が明確に定義され、開発者に伝わるよう、どのようにしていますか？
  • シフトレフト・セキュリティの取り組みの有効性を、どのように測定していますか？
  • コード内のセキュリティ依存関係やサードパーティライブラリを、どのように扱っていますか？
  • 開発環境のセキュリティ設定を、どのように管理し、更新していますか？
  • 開発におけるセキュリティポリシーからの例外や逸脱を、どのように処理していますか？
  • 開発者の間でセキュリティ意識と責任感を高める文化を、どのように促進していますか？

• 先制的サイバー防御：

  • システムに影響が及ぶ前に、潜在的なセキュリティ脅威をどのように先回りして特定し、軽減していますか？
  • 継続的なセキュリティ監視と分析には、どのようなツールや手法を使用していますか？
  • セキュリティアラートやインシデントにどのように対応し、修復していますか？
  • インシデント対応計画をどのようにシミュレーションし、テストしていますか？
  • 最新のセキュリティ脅威や脆弱性に関する情報を、どのように入手していますか？
  • アプリケーションやサービスに対する DDoS 攻撃を、どのように処理し、軽減していますか？
  • 内部脅威から機密データをどのように保護していますか？
  • 高度持続的脅威（APT）に対して、セキュリティ制御が有効であることをどのように確認していますか？
  • サプライチェーンにおけるセキュリティの脆弱性を、どのように処理していますか？
  • 進化する脅威やテクノロジーに応じて、セキュリティ態勢をどのように適応させていますか？

• AI ワークロードのセキュリティ：

  • AI モデルとデータのセキュリティをどのように確保していますか？
  • AI モデルにおける潜在的なバイアスや倫理的な懸念に、どのように対処していますか？
  • 敵対的攻撃やデータポイズニングから、AI モデルをどのように保護していますか？
  • AI モデルで使用するデータのプライバシーをどのように確保していますか？
  • AI モデルが下した判断を、どのように説明し解釈していますか？
  • AI モデルとデータへのアクセスを、どのように管理・制御していますか？
  • AI と ML に関する規制や標準への準拠を、どのように確保していますか？
  • AI モデルの動作における異常を、どのように監視・検出していますか？
  • AI モデルに関わるセキュリティインシデントに、どのように対処し、対応していますか？
  • AI と ML の安全かつ責任ある利用について、従業員をどのように教育・訓練していますか？

• セキュリティのための AI：

  • AI と ML を活用して、セキュリティ態勢をどのように強化していますか？
  • セキュリティ目的で、どのような種類の AI モデルを使用していますか？
  • セキュリティアプリケーション向けの AI モデルを、どのようにトレーニングし、検証していますか？
  • AI ベースのセキュリティシステムの正確性と信頼性を、どのように確保していますか？
  • AI ベースのセキュリティシステムにおける誤検知や見逃しに、どのように対処していますか？
  • AI ベースのセキュリティシステムを既存のセキュリティインフラストラクチャと、どのように統合していますか？
  • セキュリティアプリケーション向けの AI モデルを、どのように管理・更新していますか？
  • セキュリティアプリケーション向けの AI モデルが下した判断を、どのように説明し解釈していますか？
  • セキュリティ目的での AI と ML の倫理的かつ責任ある利用を、どのように確保していますか？
  • セキュリティ態勢の強化における AI と ML の有効性を、どのように測定していますか？

• 規制遵守とプライバシー：

  • どのような規制遵守フレームワークやプライバシー標準に準拠する必要がありますか？
  • Google Cloud 環境におけるコンプライアンスリスクを、どのように評価・管理していますか？
  • Google Cloud に保存・処理される機密データのプライバシーを、どのように確保していますか？
  • プライバシー規制に関連するデータ主体からのリクエスト（DSR）に、どのように対応していますか？
  • コンプライアンス活動と証拠を、どのように文書化し、追跡していますか？
  • サードパーティのベンダーやパートナーが、規制およびプライバシー要件を遵守することを、どのように確保していますか？
  • コンプライアンス規制に関連するデータ侵害やセキュリティインシデントに、どのように対処していますか？
  • 規制遵守とプライバシーの標準の変更を、どのように把握していますか？
  • 規制遵守とプライバシー要件について、従業員をどのように教育・訓練していますか？
  • 監査人や規制当局に対して、コンプライアンスをどのように示し、証明していますか？

検証チェックリスト

以下のチェックリストを使用して、アーキテクチャがセキュリティの推奨事項に適合しているか評価します。

• セキュリティ・バイ・デザイン：

  • システムコンポーネントは、セキュリティ機能と堅牢化を基準に選定されていますか？
  • ネットワーク、ホスト、アプリケーションの各レイヤーで、多層防御が実装されていますか？
  • 一般的な脆弱性を防ぐため、安全なライブラリとアプリケーションフレームワークが使用されていますか？
  • 業界標準を用いたリスク評価が実施されていますか？

• ゼロトラスト：

  • ユーザーのライフサイクルとフェデレーションを管理するため、Cloud Identity が一元化された ID プロバイダーとして使用されていますか？
  • ユーザーの ID とコンテキスト（デバイス、場所）に基づいて、アクセス制御が適用されていますか？
  • 内部トラフィックにプライベート接続方式（Cloud Interconnect、VPN）が使用されていますか？
  • すべてのプロジェクトでデフォルトネットワークが無効になっていますか？
  • 機密データの周囲に VPC Service Controls の境界が設定されていますか？

• シフトレフトセキュリティ：

  • Infrastructure as Code（Terraform など）を使用して、インフラストラクチャがプロビジョニングされていますか？
  • 自動セキュリティスキャンが CI/CD パイプラインに統合されていますか？
  • 依存関係の脆弱性をスキャンして修正するプロセスがありますか？
  • 信頼できるイメージのみがデプロイされるよう、Binary Authorization が使用されていますか？

• 先制的サイバー防御：

  • 脅威インテリジェンスがセキュリティ運用に統合されていますか？
  • すべての重要なリソースでセキュリティログが有効になり、一元管理されていますか？
  • 一般的なセキュリティ脅威に対する自動対応が設定されていますか？
  • 定期的なテストやレッドチーム演習を通じて、防御が検証されていますか？

• AI セキュリティとガバナンス：

  • AI パイプラインは改ざんやデータポイズニングから保護されていますか？
  • 適切な場合、トレーニングデータに差分プライバシーやデータマスキングが使用されていますか？
  • モデルガバナンスに Vertex Explainable AI と公平性指標が使用されていますか？