【登壇レポート】「AWS環境のセキュリティ不安を解消した企業事例 ～よくある課題と対策を一挙公開～」というタイトルでミニセッションに登壇しました #AWSSummit
はじめに
クラウド事業統括本部の浅野です。
AWS Summit Japan 2026のクラスメソッドブースにて、「AWS環境のセキュリティ不安を解消した企業事例 ～よくある課題と対策を一挙公開～」というタイトルでミニセッションに登壇しましたので、その内容をレポートします。
登壇資料
セッションで紹介した各サービスについて、詳しく解説している記事はこちらです。
- AWSセキュリティ強化プログラム: AWSセキュリティ成熟度モデルv2による段階的なセキュリティ強化のススメ
- セキュアアカウント発行サービス: 「AWSアカウントセキュリティ(セキュアアカウント) 入門セミナー ~面倒な設定はクラスメソッドにお任せ！~」というタイトルで登壇しました
- Classmethod Cloud Guidebook(CCG): クラスメソッドメンバーズのお客様向けに公開している「Classmethod Cloud Guidebook」の使い方
概要
本セッションでは、AWS環境のセキュリティ対策においてよくある3つの課題と、それぞれに対するクラスメソッドの解決アプローチを紹介しました。
| # | テーマ | よくある課題 | 解決アプローチ |
|---|---|---|---|
| 1 | AWSに最適化したセキュリティアセスメント | セキュリティアセスメントって難しくないですか？ | AWSセキュリティ強化プログラム |
| 2 | セキュリティ初期設定の標準化 | 初期設定、何を有効にすべきか | セキュアアカウント発行サービス |
| 3 | セキュリティガイドラインの整備 | AWS利用のルール、整備できていますか | ガイドライン策定支援 × CCGの活用 |
1. AWSに最適化したセキュリティアセスメント
よくある課題
- ポリシーはあるが、AWSに具体化されていない
- ISO27017やFISC安全対策基準に準じたセキュリティポリシーやガイドラインは整備されていても、AWSの各サービスをどう設定すべきか、具体的な対策レベルまで落とし込めていない
- セルフチェック中心で、第三者観点が不足
- 現状の評価が社内のチェックリストや担当者の判断に依存しており、対策の有効性・網羅性を客観的に検証できていない
- 改善アクションまで落としきれない
- アセスメントでヌケモレを見つけても、具体的な打ち手や優先順位が整理されず、改善が運用に乗らないまま問題が残ってしまう
解決アプローチ: AWSセキュリティ強化プログラム
AWSが提供する「セキュリティ成熟度モデル」を活用し、お客様の組織やプロジェクトのセキュリティをアセスメントした上で、結果をもとに最適なセキュリティ対策を提案・実施するサービスです。セキュリティガバナンスやIAM、脅威検出といったカテゴリごとに、レベル1〜4のどこまで対策ができているかを可視化し、対策不十分な項目に対して強化策を提案・実施します。
ベースとなっているAWSセキュリティ成熟度モデルは、セキュリティガバナンスから脆弱性管理、インシデントレスポンス、レジリエンスまで10のカテゴリで構成されており、フェーズ1(クイックウィン)からフェーズ4(最適化)まで、各フェーズでAWSのサービスレベルでやるべきことが具体的に定義されています。汎用的なフレームワークと違い、"何を設定すべきか"まで落とし込まれているのが特徴です。
サービス詳細: https://classmethod.jp/aws/services/security-enhancement-program/
2. セキュリティ初期設定の標準化
よくある課題
- アカウントごとにセキュリティ設定がバラバラ
- 複数のアカウントを並行で構築した結果、誰が・いつ・何を有効化したのかが把握できなくなり、標準化された設定が共有されていない
- 何を有効化すべきか、判断軸がない
- AWSには数多くのセキュリティサービスがあるが、どれを優先して有効化すべきか、ベストプラクティスとの差分が見えず、判断の基準が社内にない
- 気づくと設定が変更されている
- ガードレールが整備されていないため、運用中に各アカウントの設定が変更され、いつの間にかセキュリティ水準が下がってしまう
解決アプローチ: セキュアアカウント発行サービス
クラスメソッドメンバーズの標準機能として無料で提供しているサービスで、新規AWSアカウント発行時にセキュリティの推奨設定を自動で適用します。CloudTrailやAWS Configによる証跡管理に加え、GuardDuty・Security Hub・Detective・IAM Access Analyzerなどを全リージョンで有効化した上で、誤検知の多いコントロールは事前にチューニングして無効化しています。あわせて、S3のデフォルト公開防止やEBSのデフォルト暗号化、パスワードポリシー強化、デフォルトVPC削除、セキュリティアラートの整形・通知設定まで、AWSアカウントを作った瞬間からベストプラクティスに沿ったセキュリティが効いている状態を実現します。
サービス詳細: https://classmethod.jp/aws/services/secure-account/
3. セキュリティガイドラインの整備
よくある課題
- AWS利用ガイドラインが未整備
- アカウントが増えるにつれて各部門で運用が分散し、全社統一のAWS利用ルールが存在しないため、運用の品質にばらつきが出てしまう
- 整備に着手しても、何から書けばよいか分からない
- オンプレミスシステムとの接続方法やアカウント分離方針、シークレットキーの保管場所など論点は多岐にわたるが、雛形やテンプレートが社内になく、ゼロから議論を始めることになり初期検討に時間がかかる
- 整備しても、自社の運用に落とし込めるか不安
- テンプレートをそのまま当てはめても事業部や運用の実態に合うか分からず、議論しながら自社に最適化していく伴走が必要
解決アプローチ: ガイドライン策定支援 × Classmethod Cloud Guidebook(CCG)
CCGは、AWSのセキュリティ・ガバナンス・ガイドライン整備に役立つナレッジを、クラスメソッドメンバーズ加入者向けに無料で公開しているリソースです。AWSサービスごとのセキュリティコントロール一覧や、命名規則のガイドラインサンプルなどを収録しており、ゼロからの検討ではなく、テンプレートを起点にして初期検討の時間を大幅に短縮できます。ガイドライン策定支援では、このCCGのテンプレートを起点にしつつ、お客様の事業部や運用の実態に合わせてカスタマイズしていきます。週次定例でドラフトをレビューし、事前に確認事項を提示することで、社内規程との整合性を取りながら効率的に策定を進められるのがポイントです。
CCGの公開デモサイトでは、組織管理ガイドやSecurity Hubガイド、マイグレーションガイド、コスト最適化ガイド、AWS利用ガイドラインサンプルなどを公開しています。気になる方はぜひアクセスしてみてください。
demo.guidebook.classmethod.net
まとめ
3つのテーマに共通するのは、「何から手をつければいいか分からない」「自社の判断だけでは対策の十分性を確認できない」という悩みです。ゼロから検討するのではなく、AWSが提供するフレームワークやクラスメソッドのテンプレート・ノウハウを起点にすることで、検討にかかる時間を大幅に短縮しながら、AWSに最適化された形でセキュリティ対策を進められます。
最後に
AWS Summit Japan 2026のブースミニセッションという、通常のカンファレンス登壇とは違った短い時間・近い距離感での発表でしたが、足を止めて聞いてくださった皆様、ありがとうございました。セキュリティ対策は「何から手をつければいいか分からない」という声を現場でもよくいただくテーマなので、今回の内容が少しでも参考になれば幸いです。
今回ご紹介した3つのサービスは、いずれもクラスメソッドメンバーズ(AWS総合支援サービス)にご加入いただくことでご利用いただけます。
- セキュリティアセスメントで現状を可視化したい方は AWSセキュリティ強化プログラム
- 新規アカウントの初期設定を標準化したい方は セキュアアカウント発行サービス
- その他のセキュリティ運用サービス全般は AWSセキュリティサービス紹介ページ
AWS環境のセキュリティに不安をお持ちの方は、お気軽にクラスメソッドまでお問い合わせください。
