Upgrade to Pro — share decks privately, control downloads, hide ads and more …

金融の再発明を可能にするセキュリティとアジリティ / security and agility...

金融の再発明を可能にするセキュリティとアジリティ / security and agility for enabling financial reinvention

2020/9/8~2020/9/30 に開催されたAWS Summit Online 特別講演の資料です。

Finatext Holdings Ltd.

October 01, 2020
Tweet

More Decks by Finatext Holdings Ltd.

Other Decks in Technology

Transcript

  1. © 2020, Amazon Web Services, Inc. or its affiliates. All

    rights reserved. ⾦融の再発明を可能にするセキュリティとアジリティ ~FinatextグループでのAWS活⽤事例~ Ryota Hayashi @Ryota CEO Finatext Holdings Ltd. Satoshi Tajima @s_tajima Lead Engineer Finatext Holdings Ltd.
  2. 既存の⾦融システムの特徴と課題 特徴 • 法令上の要件などを満たすために、 システムには巨額の投資が必要になる • システム全体が密結合 課題 • ビジネスとして成⽴させるためには、マス向け(≒⼀般的で⼤き

    な需要がある)のサービスしか展開できない • ⾮⾦融事業者の⾦融事業への参⼊障壁が⼤きい • 変化する顧客ニーズに合わせた機動的な改善ができない
  3. FinatextでのAWSの活⽤状況 • 証券・保険の基幹システムを含む、ほぼすべてのサービスをAWS上で 展開 • 50を超えるAWSアカウントを運⽤中 • “Amazon ECSを使ったコンテナ運⽤” “AWS

    Lambdaを使ったサーバレスな バッチ基盤” “Amazon DynamoDBを使ったハイトラフィックなワーク ロードの処理” といった形でマネージドサービスを存分に活⽤ • ⾦融業界においてはモダンなアーキテクチャを実践できていると⾃負 している
  4. FinatextがAWSを採⽤している理由 • セキュリティ • ⾦融領域・データ領域での事業を展開 • お客様の資産・個⼈情報・データを安全 に管理することが⼀番の優先事項 • FISCなどのコンプライアンス要件

    • アジリティ • 変化する顧客ニーズに合わせた機動的な 改善が⼤事 • スタートアップ企業であり、様々な観点 での効率・⽣産性・スピードを犠牲には できない アジリティとセキュリティの両⽴
  5. AWSによって実現できるアジリティ • 従来の⼿法 • リソースの調達には⼀定のリードタイム がかかる • ビジネスの不確実性が⼤きく、サーバー リソースの需要が明確でない時期から調 達に向けて動き出す必要がある

    • ⼀度調達してしまったリソースは、ビジ ネス上の制約事項になってしまう • ⼀⽅、調達が遅れると機会損失につなが る オンデマンドなサーバーリソース • AWSの場合 • サーバーリソースはAPI1つで即座に利⽤ 可能になり、不要になれば即座に廃棄で きる • 不確実性の⼤きい状態で調達をせずに済 み、いつでも容易に構成の変更を⾏える • 常に⼀定量のサーバーリソースを維持す る必要はなく、需要の多いタイミングだ け増強を⾏うといったことも可能
  6. AWSによって実現できるアジリティ オンデマンドなサーバーリソース • Finatextグループでの実例 • 証券サービスにおける ”注⽂板” の情報を取り扱うDynamoDBの コストのグラフ •

    証券市場が開いているのは平⽇の みなので、「休⽇は書き込みの キャパシティを下げておくことで コストを削減」し、「平⽇はキャ パシティを上げて⼤量の書き込み をさばく」といった柔軟なリソー ス調達が可能
  7. AWSによって実現できるアジリティ • 従来の⼿法 • システム構成やオペレーションの内容に ついて、重厚なドキュメントや⼿順書を 作成する • 重厚なゆえに、作成だけでなくレビュー の負担も⼤きい

    • オペレーションのプロセス・結果をそれ ぞれダブルチェック・トリプルチェック することで信頼性を担保する • オペレーション毎の負荷が⾼く時間がか かり、多くの⼈⼿を必要とする ⾃動化されたシステム構築・運⽤ • AWSの場合 • Infrastructure as Code によってシステ ムの構成をコードで管理し、構築を⾃動 化する • コード化されているため、レビューも⼀ 定の⾃動化ができ、負担の削減になる • コード化された構成を⾃動でAWSの環境 適⽤することで、オペレーションのミス の余地を減らせる • ⼀度コード化して構築したシステムは、 ⼩さな⼿間で他の環境に展開することが できる
  8. AWSによって実現できるアジリティ ⾃動化されたシステム構築・運⽤ • Finatextグループでの実例 • 弊社のサービスの標準的な構成図 (実際はもう少し複雑だが、すごく簡略化 したもの) • こういったインフラの構成をTerraform

    でコード化 • コード化された構成にもとづき、⾃動的 にインフラを構築 • AWSアカウントの取得から、この環境を 構築するまでで、約2営業⽇以内 で完了
  9. AWSによって実現できるセキュリティ • 従来の⼿法 • ⼀定の周期で監査を⾏い、ログを調査し たり、システムの状況を検査したりする 対応が⾏われることが多い • この場合、リスクの顕在化に気付くのが 遅れてしまう

    • リアルタイムな検知を⽬的として、SOC (Security Operation Center) を設けて 監視を⾏うこともあるが、体制の構築や 運⽤に多額のコストがかかる • リアルタイムな検知は、製品や機器の制 約上実現するのが難しいこともある 低コストでリアルタイムなモニタリング • AWSの場合 • CloudTrailやAWS Configといった監視 サービスの通知機能や、CloudWatch Eventsをつかうことでリアルタイムに構 成の変更や操作を検知でき、リスクの顕 在化に即座に対応できる • 多くのセキュリティ関連サービスは、⾮ 常に低価格で提供されているため、導⼊ もしやすい • Amazon SNSやChatBotといったサービ スを組み合わせることで、柔軟なシステ ム連携を実現できる
  10. AWSによって実現できるセキュリティ 低コストでリアルタイムなモニタリング • Finatextグループでの実例 • CloudTrail、AWS Config等の ログをSNSに通知 • AWS

    Lambdaによってログの 中⾝を検査し、不審な操作・ ポリシーに反した操作の場合 は通知を⾏う • 通知先は、緊急度の⾼いもの はOpsgenieへ、そうでないも のはSlackを利⽤ • 悪意のある攻撃が⾏われても、 即座に気づいて対処できる体 制
  11. AWSによって実現できるセキュリティ • 従来の⼿法 • インフラストラクチャのすべてのレイ ヤーに⾃前で対策をする必要がある • 1つの⽅法として、いわゆる ”ウィルス対 策ソフト”

    をインストールし、監視をする • 仮に不正プログラムが検知された場合、” ウィルス対策ソフト” による駆除だけで問 題ないかには不安が残る • 不⼗分と判断する場合はシステムの再構 築に⼤きな⼿間がかかる • フォレンジックなどの調査のための保全 にも⼤きな労⼒がかかる ハイレベルな不正プログラム対策 • AWSの場合 • 責任共有モデルによって、⼀部の不正プ ログラム対策はAWSに任せることができ る • GuardDutyなどの脅威検知のマネージド サービスによって、幅広い観点での監視 が⾏える • AWS利⽤者の対策が必要になる部分は、 ⽇常的にサーバーリソースを使い捨てに して頻繁に再作成するアーキテクチャを 採⽤することにより、対策のコストを低 減できる
  12. AWSによって実現できるセキュリティ ハイレベルな不正プログラム対策 • Finatextグループでの実例 • Amazon EC2・コンテナ等のサー バーリソースは基本的にすべて使い 捨ての運⽤をして、定期的にあたら しいものに⼊れ替え

    • GuardDutyによるVPC Flowlogsの 監視等によって不正プログラムの活 動が疑われる場合にも、新しいク リーンなリソースを⽴ち上げてそち らに切り替えることが可能 • また、EBSスナップショットによっ て最低限のフォレンジック⽤のデー タを簡単に保全
  13. AWSによって実現できるセキュリティ • 従来の⼿法 • 細かい権限管理が難しいので、システム 管理者は本来⾃分に必要のない権限まで 持ってしまうことになり、 “最⼩権限の 原則” の実現が難しい

    • ⼀⽅で、これを⼤きなリスクと考えると、 権限の所有者をできる限り絞るという選 択をとることになり、⽣産性や効率に影 響がでる • 開発と運⽤の分離 という形での対応を⾏ うことも多い 柔軟な権限管理 • AWSの場合 • IAMのポリシー、Amazon S3のバケット ポリシー、KMSのキーポリシーなどの仕 組みによって、⼗分に細かい権限管理が 実現可能 • 重要なシステムについては “最⼩権限の法 則” を重視した権限管理を⾏う • リスクの低いシステムについては、ガー ドレールの考え⽅にもとづいた管理を⾏ うことで、広い権限を与え⾼い開発効率 を維持することができる • DevOpsの促進にもつながる
  14. AWSによって実現できるセキュリティ 柔軟な権限管理 • Finatextグループでの実例 • サービス・環境ごとにAWSアカウントを細かく分割 する⽅針 • 本番環境では “最⼩権限の原則”

    に沿い厳密な権限の 管理 • 開発環境では強めの権限を積極的に付与 • 本番環境・開発環境ともに絶対に実⾏されたくない 操作 (CloudTrailの停⽌等) は AWS Organization のSCPs によって禁⽌ • 本番環境・開発環境でAdministrator権限を持ってい ても監査ログの出⼒をとめることはできない
  15. Thank you! © 2020, Amazon Web Services, Inc. or its

    affiliates. All rights reserved. Ryota Hayashi @Ryota CEO Finatext Holdings Ltd. Satoshi Tajima @s_tajima Lead Engineer Finatext Holdings Ltd.