実践 ハイブリッドクラウド・セキュリティアーキテクチャ ―ゼロトラスト原則を用いたセキュリティ設計の実践的手法

368

11

章 セキュリティ運用

クラウドまたはマネージドセキュリティサービスプロバイダも、同様の RACIを利用しています。セ

キュリティ運用チームまたはカスタムマネージドセキュリティサービスによって社内で提供されるセ

キュリティサービスについては、この RACIを社内契約書または外部サービス契約書に明記する必要が

あります。

一方的な責任分担

一方だけが責任を文書化し、もう一方は記載されていないことはすべて自分の責任であると

するような、一方的な責任分担契約には注意する必要があります。

ある組織が、クラウド上のワークロードの設計、開発、実行をサービスプロバイダに依頼す

る場合を考えてみましょう。しかし、組織はセキュリティとコンプライアンスを管理し、完

全な透明性を確保したいため、中核となるセキュリティサービスを維持します。現在、ワー

クロードのレジリエンスは、維持されているセキュリティサービスのサービスレベル、機能

性、拡張性、レジリエンスに依存しています。

一方的な契約では、契約締結前にセキュリティサービスの要件について正式なコミュニケー

ションを行い、合意する方法がありません。その結果、誤解、サービスの失敗、契約上の紛

争が発生することを、著者は何度も目にしてきました。

各セキュリティサービスの責任を検討することで、運用方法を検討することになり、アーキテクチャ

が変更される可能性があります。RACIの定義が完了すると、各サービスの運用に関するプロセス、手

順、作業指示を定義するという、定義の次の段階に進むこ ...