説明
DDoS攻撃は、顧客のクラウドを24時間アクセス不能にし、数百万ドル規模の売上損失をもたらすという、財務的なビジネスインパクトの一例です。財務的なビジネスインパクトとは、脅威が組織の財務目標や業績（収益、利益、キャッシュフロー、市場シェアなど）に及ぼす損害や被害の程度を指します。DDoS攻撃は、組織の通常の業務や取引を妨害することで、売上、顧客、契約、機会の喪失につながるなど、重大な財務的なビジネスインパクトを引き起こす可能性があります。カスペルスキーのレポートによると、2019年の中小企業（SMB）におけるDDoS攻撃の平均コストは12万3000ドル、大企業では230万ドルでした。1 そのため、組織はDDoS攻撃の影響を防止または軽減するために、適切なセキュリティ対策と緊急時対応計画を実装することが重要です。参考文献：金融と世界経済の未来
グローバルな課題に直面 - IMF2; カスペルスキー：DDoS攻撃のコスト1

クラウド サービス プロバイダーとのサードパーティ契約を確認する際、顧客データのプライバシーに関する最大の懸念事項は、情報の返却または破棄です。顧客データには、不正アクセス、不正使用、または不正開示から保護する必要がある機密情報や個人情報が含まれている可能性があるためです。クラウド サービス プロバイダーは、契約終了時または顧客からの要求時に顧客データを返却または破棄するための明確で透明性のあるポリシーと手順を用意する必要があります。また、クラウド サービス プロバイダーは、破棄証明書、監査ログ、レポートなど、顧客データの返却または破棄の証拠を提供する必要があります。情報の返却または破棄は、一般データ保護規則 (GDPR)、カリフォルニア州消費者プライバシー法 (CCPA)、医療保険の携行性と責任に関する法律 (HIPAA) などの適用法および規制に準拠する必要があります。クラウド サービス プロバイダーは、顧客データにアクセスするすべての下請け業者または関連会社にも同じポリシーと手順が遵守されるようにする必要があります12。
参考文献:
* クラウドサービス契約 - ホスト環境の保護
* CSP 契約、価格表、オファー - パートナー センター

ロールベースアクセス制御（RBAC）は、組織内の個々のユーザーの役割に基づいてリソースへのアクセスを制限する方法です。RBACを使用すると、管理者は特定のユーザーではなくロールに権限を割り当て、その後、ユーザーをそれらのロールに割り当てることができます。これにより、アクセス権の管理が簡素化され、不正アクセスや過剰なアクセスのリスクが軽減されます。RBACは、パイプラインの本番環境（継続的インテグレーションおよび継続的デリバリー（CI/CD）プロセスの最終段階であり、エンドユーザーにコードがデプロイされる）にアクセスできるユーザー数を適切に制限するために特に重要です。本番環境へのアクセスは、プロダクションエンジニア、リリースマネージャー、サイト信頼性エンジニアなど、コードのデプロイ、監視、保守を担当するユーザーのみに制限する必要があります。開発者、テスター、その他の関係者は、コードのセキュリティ、品質、パフォーマンスを損なう可能性があるため、本番環境にアクセスできないようにする必要があります。RBACは、パイプラインの各ステージに異なるロールを定義し、各ロールに適切な権限を付与することで、職務と責任の分離を徹底するのに役立ちます。たとえば、開発者は開発パイプラインでコードを作成、編集、テストする権限を持ちますが、運用パイプラインでコードをデプロイまたは変更する権限は持ちません。
逆に、運用エンジニアには運用パイプラインでのコードのデプロイ、監視、トラブルシューティングの権限は与えられているものの、開発パイプラインでのコードの作成や編集は許可されていない場合があります。RBAC は、最小権限の原則の実装にも役立ちます。これは、ユーザーにはタスクの実行に必要な最小限のアクセスレベルのみを許可するというものです。これにより、攻撃対象領域が縮小され、侵害や不正使用が発生した場合の潜在的な被害を最小限に抑えることができます。RBAC は、組織のニーズや複雑さに応じて、組織レベル、プロジェクトレベル、オブジェクトレベルなど、さまざまな粒度で構成できます。RBAC は、Azure Active Directory や AWS IAM などの既存の ID およびアクセス管理 (IAM) ソリューションを活用して、クラウド サービスやアプリケーションと統合することもできます。
参考文献:
* パイプラインの権限を設定する - Azure Pipelines
* Azure DevOps: アクセス、ロール、権限
* クラウドコンピューティング - IT監査人が本当に知っておくべきこと

ISO/IEC 27017:2015 は、ISO/IEC 27002 で規定された関連管理策の追加の実装ガイダンスと、クラウド サービスに特有の実装ガイダンスを備えた追加の管理策を提供することにより、クラウド サービスの提供と使用に適用可能な情報セキュリティ管理策のガイドラインを示す規格です1。 ISO/IEC 27017:2015 は、情報セキュリティ管理システムの国際規格である ISO/IEC 27001 に基づく情報セキュリティ管理システムの実装プロセス内で管理策を選択することを意図しているクラウド サービスの組織が使用できるように設計されています1。 ISO/IEC 27017:2015 は、組織がクラウド環境で情報セキュリティを確立、実装、維持、および継続的に改善し、契約上および法的義務への準拠を実証するのに役立ちます1。
ISO/IEC 27002は、情報セキュリティ管理に関する実践規範であり、情報セキュリティ管理システムの導入、実装、または維持に責任を負う者が活用するための、情報セキュリティ管理に関するベストプラクティスの推奨事項を提供しています2。しかし、ISO/IEC 27002はクラウドサービスに関する具体的なガイダンスを提供していません。そのため、ISO/IEC 27002をクラウドサービス向けに拡張したISO/IEC 27017:2015が開発されました1。
クラウド・セキュリティ・アライアンス（CSA）のクラウド・コントロール・マトリックス（CCM）は、クラウドモデルに適合したセキュリティの概念と原則を組織が詳細に理解できるようにするセキュリティ管理策のセットです。CCMは標準ではなく、クラウドプロバイダーの全体的なセキュリティリスクを評価するために使用できるフレームワークです。CCMは、ISO/IEC 27001やISO/IEC 27002などの他の標準にもマッピングできます。
27017:2015 は、コンプライアンスおよび保証活動を促進するために制定されました。
NIST SP 800-146は、米国国立標準技術研究所（NIST）が発行する規格で、クラウドコンピューティングの概要、その特徴、サービスモデル、導入モデル、メリット、課題、考慮事項について解説しています。NIST SP 800-146は規格ではなく、組織がクラウドコンピューティングの基礎と情報セキュリティへの影響を理解するのに役立つ参考資料です。
NIST SP 800-146は、クラウドサービスに関する具体的なガイダンスや管理策を規定しておらず、クラウドセキュリティに関するより詳細な情報については、ISO/IEC 27001やCSA CCMなどの他の標準規格やフレームワークを参照しています。参考文献:
* ISO/IEC 27017:2015 - 情報技術 - セキュリティ技術...
* ISO/IEC 27017:2015(en)、情報技術?セキュリティ技術...
* ISO 27017認証 - クラウドセキュリティサービス | NQA
* ISO/IEC 27017:2015 入門 - 6clicks
* ISO/IEC 27017:2015 - 情報技術 - セキュリティ技術...
* [クラウド コントロール マトリックス | クラウド セキュリティ アライアンス]
* [NISTクラウドコンピューティングの概要と推奨事項]