組織とセキュリティ文化と、自分の一歩

2025/06/07 JAWS-UGおおいた 今だからこそセキュリティを振り返ろう！
https://jawsug-oita.connpass.com/event/351094/

Transcript

1. ©Fusic Co., Ltd. 0 組織とセキュリティ文化と、自分の一歩 〜とにかくやってみたAWS Security Hubのその先〜 2025.06.07 Mai Miyazaki @maimyyym JAWS-UGおおいた 今だからこそセキュリティを振り返ろう！
2. ©Fusic Co., Ltd. 1 Introduction 宮 崎 真 衣 M A I M I YA Z A K I HN: mai (@maimyyym ) 株式会社Fusic 事業本部 技術創造部門 / エンジニア ◉ I am - IDDM(1型糖尿病) 3歳発症 - 元百貨店スタッフ（Beauty Counselor） - 2023年10月 Fusic入社 - AWS Community Builder(Security) 2025- ◉ Skill - AWS / Python / TypeScript / PHP(Laravel) - Interested in: Security, Identity & Compliance ◉ Comment - 初めての大分！ - 初めてのAWS Summit 参加！ Click!!
3. ©Fusic Co., Ltd. 2 今日のテーマは「セキュリティ」 1
4. ©Fusic Co., Ltd. 3 セキュリティの話がしたい 今日のテーマは「セキュリティ」 何を話そう
5. ©Fusic Co., Ltd. 4 セキュリティの話がしたい 今日のテーマは「セキュリティ」 何を話そう JAWS-UG朝会 #63 「”とにかくやってみる” で始めるAWS Security Hub」 のその先の話をしよう
6. ©Fusic Co., Ltd. 5 とにかくやってみたAWS Security Hub 今日のテーマは「セキュリティ」 [ 登壇内容 ] - Security Hub、考えることがたくさん - 「有効化」自体は簡単 - 現状を突きつけられる - 運用してみないと分からないことがある
7. ©Fusic Co., Ltd. 6 セキュリティの考え方 今日のテーマは「セキュリティ」 セキュリティ ≒ 組織文化 全ての人にとって最重要課題
8. ©Fusic Co., Ltd. 7 セキュリティの考え方 今日のテーマは「セキュリティ」 セキュリティ ≒ 組織文化 全ての人にとって最重要課題 とはいえ、全員が力を注げるわけではない セキュリティをやる人は必要不可欠 ＝私がやる！
9. ©Fusic Co., Ltd. 8 1日15分運用してみた 2
10. ©Fusic Co., Ltd. 9 きっかけ 1日15分運用してみた うまく運用できる仕組みがほしい
11. ©Fusic Co., Ltd. 10 きっかけ 1日15分運用してみた うまく運用できる仕組みがほしい 待つだけじゃなくて自分から動かなきゃだよ 会社の先輩から・・・
12. ©Fusic Co., Ltd. 11 きっかけ 1日15分運用してみた うまく運用できる仕組みがほしい 待つだけじゃなくて自分から動かなきゃだよ 会社の先輩から・・・ を作りたい
13. ©Fusic Co., Ltd. 12 手探りの「運用」 1日15分運用してみた まず、何をやればいい？ 正直、あまりにも手探り…
14. ©Fusic Co., Ltd. 13 手探りの「運用」 1日15分運用してみた まず、何をやればいい？ 正直、あまりにも手探り… 「SecurityHub speakerdeck」でGoogle検索 ChatGPTに壁打ち相談 SecurityHubの公式ドキュメントを読む
15. ©Fusic Co., Ltd. 14 手探りの「運用」 1日15分運用してみた まず、何をやればいい？ 正直、あまりにも手探り… 「SecurityHub speakerdeck」でGoogle検索 ChatGPTに壁打ち相談 SecurityHubの公式ドキュメントを読む 要点を押さえた上で、 「できること」について 改めて分かった！
16. ©Fusic Co., Ltd. 15 実際の進め方 3
17. ©Fusic Co., Ltd. 16 社内ブログに記録を残した 実際の進め方
18. ©Fusic Co., Ltd. 17 社内ブログに記録を残した 実際の進め方 Action 発見 課題(Next Action)
19. ©Fusic Co., Ltd. 18 社内ブログに記録を残した 実際の進め方 Action 発見 課題(Next Action) 検出が多いEC2(踏み台サーバー)を最新化する Terraformでapplyする度に最新AMIを取得するように 実装していた…！今回はこれを利用するだけでOK この対応で検出が減るのか確認 次はコンテナイメージの対処に取り掛かる 【例】
20. ©Fusic Co., Ltd. 19 社内ブログに記録を残した 実際の進め方 Action 発見 課題(Next Action) 検出が多いEC2(踏み台サーバー)を最新化する Terraformでapplyする度に最新AMIを取得するように 実装していた…！今回はこれを利用するだけでOK この対応で検出が減るのか確認 次はコンテナイメージの対処に取り掛かる 【例】 【よかったこと】 - 書くことで、やることをフレームワーク化できる - 社内に分かりやすく発信できる
21. ©Fusic Co., Ltd. 20 社内のSlackチャンネルに壁打ち 実際の進め方 セキュリティに関心がある人たちのチャンネルに壁打ち 検出結果のスクショ
22. ©Fusic Co., Ltd. 21 社内のSlackチャンネルに壁打ち 実際の進め方 セキュリティに関心がある人たちのチャンネルに壁打ち 検出結果のスクショ 【いろんな意見が集まった】 - みんな、実際のところ コンテナイメージどうしてる？ - 脆弱性対応の前に、必要かどうかを 見直した方がいい - 説明できないものは入れない - 対応の要不要の判断はけっこう大変！
23. ©Fusic Co., Ltd. 22 見えたもの 3
24. ©Fusic Co., Ltd. 23 自分＋みんなで 見えたもの 担当外のことでも助け合う社風 まずは自分がやる → 他者の知見・技術を頼る
25. ©Fusic Co., Ltd. 24 自分＋みんなで 見えたもの 担当外のことでも助け合う社風 まずは自分がやる → 他者の知見・技術を頼る
26. ©Fusic Co., Ltd. 25 自分＋みんなで 見えたもの 担当外のことでも助け合う社風 まずは自分がやる → 他者の知見・技術を頼る 組織文化にセキュリティを組み込んでいく
27. ©Fusic Co., Ltd. 26 自分＋みんなで 見えたもの 担当外のことでも助け合う社風 まずは自分がやる → 他者の知見・技術を頼る 組織文化にセキュリティを組み込んでいく
28. ©Fusic Co., Ltd. 27 自分＋みんなで 見えたもの 担当外のことでも助け合う社風 まずは自分がやる → 他者の知見・技術を頼る 組織文化にセキュリティを組み込んでいく
29. ©Fusic Co., Ltd. 28 AWSにおけるセキュリティ 4
30. ©Fusic Co., Ltd. 29 AWSにおけるセキュリティ 見えたもの Everything starts with security. 全てはセキュリティから始まる Everyone has a security job. AWSでは全員がセキュリティエンジニア AWS公式ドキュメント 「AWSの開始方法」にも “AWS クラウドセキュリティ”への導線が
31. ©Fusic Co., Ltd. 30 AWSにおけるセキュリティ 見えたもの 様々なドキュメント AWS Architecture Center
32. ©Fusic Co., Ltd. 31 AWSにおけるセキュリティ 見えたもの 様々なドキュメント デジタルトレーニング
33. ©Fusic Co., Ltd. 32 AWSにおけるセキュリティ 見えたもの 様々なドキュメント AWS Security Reference Architecture
34. ©Fusic Co., Ltd. 33 Thank You We are Hiring! https://recruit.fusic.co.jp/ ご清聴いただきありがとうございました Let’s Talk! カジュアル面談もお気軽に！