c2.2 クラウドセキュリティ研修計画の策定
クラウド移行における最大の課題が技術的なものであることはまれで、研修は最も重要な要素の一つです。インフラを守る人がそれを理解できるよう、役割ごとに明確な学習パスを用意します。
実装ガイダンス
セキュリティ意識向上をすべての従業員に必須とする
すべての従業員が、攻撃者の手口を認識し、危険な習慣（パスワードの共有、機密情報の漏えい、安全でないチャネルの利用）を避けられるよう、定期的なセキュリティ意識向上研修を受けるべきです。Amazon は独自のセキュリティ意識向上研修を無償で、複数言語かつブランド表記なしで公開しており、自社の学習システムに取り込めます。
役割ごとに期限付きの学習パスを用意する
クラウド担当者が初日・最初の1週間・1か月・四半期に何を学ぶべきかを定義し、進捗を追跡します。まずクラウドインフラの基礎スキルから始め、役割別のトラックを追加します。たとえばレッドチームには攻撃スキル（ペネトレーションテスト）、ブルーチームにはクラウドのインシデント対応などです。
認定でスキルを検証する
クラウドセキュリティチームには AWS Certified Security – Specialty 認定の取得を目指してもらい、AWS のセキュリティ機能を十分に理解していることを確認します。試験の構成は試験ガイドで確認できます。
無償・講師付きのリソース
- AWS Skill Builder: オンデマンド研修。ハンズオンラボと AWS Jam はサブスクリプションが必要です。
- セキュリティ ランプアップガイド: トピック別に厳選された学習。
- 講師付きコース: Architecting on AWS と Security Engineering on AWS。
- ハンズオンのセキュリティワークショップ。
AWS イベントで学ぶ
AWS はセキュリティを深掘りするイベントを開催しており、re:Inforce（セキュリティ特化）や re:Invent などがあります。録画は AWS Events の YouTube チャンネルで視聴できます。
How to validate
- 役割別のパスと期限を備えたクラウドセキュリティ研修計画はありますか？
- 対象となる担当者のうち何％が修了しましたか？
- 必須のセキュリティ意識向上研修は、セキュリティチームだけでなく全従業員に届いていますか？
Threats addressed
- 守るべきインフラを理解していないチームは設定を誤り、攻撃を見逃します。研修を受けていない従業員はソーシャルエンジニアリングの一般的な侵入口になります。