Build security in, phase by phase

A prescriptive path to security maturity on AWS: tactical, verifiable controls organized across four phases — Quick Wins, Foundational, Efficient, and Optimized. Start with high-impact quick wins and advance without ever starting over.

Matrix →

このモデルの使い方

これは AWS 上のワークロードを対象とした、規範的なセキュリティ成熟度モデルです。クラウドのセキュリティ体制を改善することは一度きりのプロジェクトではなく、段階的に進化していく道のりです。そのため本モデルは、戦術的で検証可能な AWS セキュリティコントロールを、順番に採用できる 4 つの成熟度フェーズに整理しています。各コントロールは、何をすべきか、どの AWS サービスを使うか、どう検証するかを示し、AWS Cloud Adoption Framework(セキュリティの観点)と Well-Architected Framework に紐づけられています。本モデルが測るのはコントロールの採用状況と成熟度であり、コンプライアンスや認証ではありません。

マトリクス:セキュリティ領域 × 成熟度フェーズ

本モデルは、AWS Cloud Adoption Framework の 10 のセキュリティ領域 — セキュリティガバナンス、セキュリティ保証、アイデンティティとアクセス管理、脅威検知、脆弱性管理、インフラストラクチャ保護、データ保護、アプリケーションセキュリティ、インシデントレスポンス、レジリエンス — を 4 つの成熟度フェーズ(Quick Wins、Foundational、Efficient、Optimized)と掛け合わせます。各セルは、その領域・そのフェーズにおける戦術的な AWS セキュリティコントロールを提案します。

コントロールは累積的です。各フェーズは前のフェーズの上に積み上がります。ゼロからやり直すことはなく、すでにあるものを拡張していきます。

サービスやコントロールが非常に多いなかで、最も難しい問いは「どこから始めるか」です。本モデルは次の 2 点を比較して優先順位を付けます。

労力 — コントロールを実装するスピードや簡単さ、運用負荷、コスト。
インパクト — セキュリティ体制をどれだけ強化するか。

インパクトが高く労力が低いコントロールが Quick Wins であり、最初に取り組むべきものです。すべての Quick Win はおよそ 1 週間で実装でき、すぐに体制を有意義に改善します。そこから道のりは Foundational、Efficient、Optimized へと続きます。

要約ではなく、戦術的なコントロール

ここが差別化のポイントです。多くのクラウドセキュリティのガイダンスは原則にとどまりますが、本モデルではすべてのコントロールが具体的で検証可能です。緩和する脅威、使用する AWS サービス、実装方法、そして機能していることをどう検証するか。各コントロールは、どのセキュリティ領域に属し、どのフレームワーク要件に対応するかも示すため、ガイダンスは常に信頼できる出典まで辿ることができます。

責任共有と、カバレッジの測定

AWS のセキュリティは責任共有です。AWS はクラウドのセキュリティに責任を持ち、お客様はクラウド内のセキュリティに責任を持ちます。各コントロールには誰が担うか(お客様、AWS、または共有)が示されており、境界は常に明確です。

自己評価を使って、コントロール別・セキュリティ領域別・フェーズ別に採用状況を記録できます。すべてはブラウザー内にとどまり、バックアップやデバイス間の移動のためにファイルへエクスポートできます。エビデンスは参照(ARN、Config ルール名など)として記録し、シークレットは記録しないでください。

言語と出典

英語、スペイン語、ポルトガル語、日本語で利用できます。本モデルは、主要な AWS および業界のフレームワークに共通する一般的なベストプラクティスを要約しています。