AWSの設定を見直す
現状を点検し、権限・認証・Webアクセスを改善します。
AWSとアプリケーションのセキュリティ対応
課題を整理し、対策の導入と継続的な改善を支える仕組みづくりを進めます。
脅威・脆弱性に対応する
脅威や脆弱性の検知・通知から、調査・修正につなげる運用を整えます。
顧客企業へのセキュリティ説明
貴社サービスの利用企業・導入検討企業に向けた回答や文書を作成します。
対応内容
現在の構成・運用・対策を調査し、必要に応じて以下のような対応を進めます。
AWSの設定改善
不正利用や攻撃に備え、設定を改善します。
設定の問題を洗い出し、権限・認証・Webアクセスを見直します。変更後は通常の操作や通信への影響も確認します。
Security Hub：設定の問題を検知
Security Hubのセキュリティ基準を有効化し、チェック結果をSlackに通知する仕組みを整えます。基準に照らして既存環境の課題を洗い出し、運用中の設定の問題も検知できるようにします。
IAM：権限を整理
使われていないユーザーや過剰な権限を確認し、業務に必要な権限に整理します。
OIDC：固定のアクセスキーを減らす
CI/CDやTerraformからAWSへの接続を見直し、固定のアクセスキーを持たない認証への変更に対応します。
WAF：Webへの攻撃に備える
WAFの導入とルールの調整を行い、攻撃への対策と通常のアクセスへの影響を確認します。
脅威の検知・対応
不審な動きに気づき、対処につなげる仕組みを整えます。
AWS環境の不審な動きをGuardDutyで検知し、Slackに通知する仕組みを整えます。
通知から対処につなげる運用
通知の確認から影響の調査、対処・再確認まで進められるよう、対応の流れを整えます。
- GuardDutyで検知
- Slackへ通知
- 内容・影響を調査
- 対処・再確認
コンテナイメージ・コードの脆弱性対応
脆弱性の発見から修正につながる仕組みを整えます。
コンテナイメージとアプリケーションコードを対象に、検査方法と対応の流れを整えます。
コンテナイメージの検査と対応サイクル
ECRへのコンテナイメージの登録（push）時にスキャンを実行し、結果をSlackに通知する仕組みを整えます。検出結果の確認から更新・再スキャンまでのサイクルを構築します。
- push時にスキャン
- 結果をSlackへ通知
- 影響確認・更新
- 再ビルド・再スキャン
アプリケーションコードの検査と修正サイクル
AIを活用し、脆弱性の発見・修正・再確認のサイクルを構築します。
費用や顧客企業が求めるセキュリティ水準に応じて、検査方法と対応の進め方を計画します。必要に応じて外部企業による脆弱性診断の利用も検討します。
- AIで候補を検出
- 内容・影響を確認
- コードを修正
- テストで確認
顧客企業へのセキュリティ説明
利用企業・導入検討企業への回答と文書を作成します。
貴社サービスの構成・運用・対策を確認し、顧客企業に伝える内容をまとめます。
問い合わせ・チェックシートへの回答
顧客企業からのセキュリティに関する問い合わせやチェックシートへの回答に対応します。
ホワイトペーパーの作成
サービスのセキュリティ対策を顧客に説明する外部公開用の文書を作成します。
ご依頼後の進め方
現状と条件を確認する
改善したいことと対象範囲を伺い、構成・運用や既存の資料を確認します。期限や変更時の制約も共有します。
計画を立てる
課題の影響と作業の負担を踏まえ、対応内容・優先順位・役割分担をまとめた計画を作成します。計画を一緒に確認し、必要に応じて調整します。
実行する
対策の導入と運用の整備を進め、課題の解消と継続的な改善につなげます。
状況を確認し改善する
課題の解消が進んでいるか、改善のサイクルが継続しているかを確認します。状況に応じて仕組みや進め方を見直します。
担当者について
セキュリティ関連資格
- CISSP
- AWS Certified Security – Specialty
今川 祐輔｜パフォーム株式会社 代表
2012年からソフトウェア開発に携わり、2019年からはクラウドインフラ・SREに特化しています。アプリケーション開発とインフラの構築・運用を経験し、法人向けAIサービスではSREチームのリーダーとして複数のアプリケーションにまたがる課題に対応しました。
自己紹介を見る →料金・稼働条件
業務委託（準委任契約）・リモートで対応します。契約期間や稼働量は、ご希望や案件の状況を伺いながら調整します。料金は業務内容と稼働量に応じて見積もりします。
料金・稼働条件を見るセキュリティ対応の相談
現状の課題整理から、対策の導入と継続的に改善できる環境づくりまで。 現在の課題や希望する支援内容をお聞かせください。