この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。
こんにちは、臼田です。
みなさん、re:Invent 2020楽しんでますか？(挨拶
今回はFin-JAWS 第16回 re:Invent 2020 ～ラスベガス現地じゃないスペシャル～ - connpassが開催されましたのでその様子をレポートします。
レポート
最近、金融系ユーザーさんからAWSご使用に伴いセキュリティご相談頂くお話あれこれ年末スペシャル エフセキュア 河野 真一郎さん
- F-Secureでクラウドセキュリティのお仕事してる
- トップバッターへの期待は賑やかし(ここ重要)
- まずre:Invent / コミュニティとオンライン勉強会とかの話してみる
- 去年はラスベガスで体育座りですし詰めで勉強会をやっていた
- 終わったらヌードルアジアにいっていた
- 日曜〜金曜まで不眠不休で現地で新サービスの話を聞いたり情報交換していた
- 気になるサービス
- 現在の課題
- 新しい出会いと情報知見の共有
- オンラインでもできないだろうか？
- テレビとかラジオ感覚でみたりするのでは
- リアルタイムなやりとりが大事
- アンケートも答えてね！
- ご相談いただくあれこれ
- テーマは3つ
- Fintechスタートアップのご相談
- 国内金融機関のセキュリティ
- サーバーレス、S3セキュリティ
- リアルタイムアンケートでどれが一番興味あるのか投票してね！(オンライン勉強会では大事なインタラクティブ要素！)
- Fintechスタートアップさん
- 来月AWSで全面かどうするけど悩む
- 構築したものは安全なのか？ベストプラクティスなのか？
- W-Aや公式資料を見てチェックしていますか？と聞くと、初期構築で大変なのでセキュリティを外部にお願いしたいという回答がある
- 国内金融機関さんのご相談
- クラウドセキュリティの悩み
- クラウドセキュリティに特化した診断をしたい
- 一般的にはAWS Configとか使ったりするといいよって話をする
- お客様は金融なのでもっとハッカーの視点に立った攻撃に対する対策をしていきたい
- 24365の監視の方法についても相談を受ける
- SIerさんなどに聞いてもクラウドに特化していない
- どうしてこんな相談をいただくか？
- F-Secureはヨーロッパで金融系のお客様をいっぱい持っている
- クラウド環境の診断ノウハウを持っている
- 気をつけていること
- コンサル使うとき成果物の確認要件の細分化
- Amazon S3ご相談
- S3ウイルススキャンをしたい
- 「なるほど」
- F-Secure AtlantというものでAPI連携でセキュリティスキャンが可能
- どれに共感したか？
- 国内金融機関さんの話が共感おおかったかも
- まとめ
- オンラインでも情報共有を
- セキュリティお悩みにコンサル
- S3ウイルススキャン
感想
オンライン勉強会でコミュニケーションが減ったのは残念ですよね。私ももっと盛り上げていきたい！
1年を振り返る、公開自己業績評価レビュー Japan Digital Design, Inc. 小野 雄太郎さん
- JDDはできて3年経ちました！
- 100名の会社まで育った！
- MacBookのM1も選べるよ！
- 金融だけど新しいことに挑戦できる環境
- 振り返り
- 今年仕事してたかな？
- 社員の仕事はほぼリモートになった
- 社会情勢が変わり事業継続への対応
- 様々な優先度も変更
- 評価対象
- 去年の宿題
- Transfer for SFTP
- S3 Access Point
- ELB + OIDC
- AWS Batch
- GithubでCFnテンプレートなどを管理しているが、後半に行くほど草が薄くなっていった
- 去年の宿題
- 去年はラスベガス現地で参加していた
- 標準AWS CFnテンプレートを公開した！
- Secure Stack Template for AWS
- 自己評価
- MIT Licenseで公開できた
- テンプレートが増やせた
- PRが溜まっている
- ドキュメントがまだ充実していない
- 宣伝できてない
- もう少し継続していきたい
- AWS Transfer for SFTP
- S3にSFTPでアクセスできるマネージドサービス
- VPC Endpoint経由でのアクセスも可能
- オンプレミスからS3へのデータ連携に利用できる
- こんな感じ
- CFnで一気に作れるように実装
- ユーザー作成もCFnに入れている
- 自己評価
- SFTPでオンプレミスからのデータ連携をテンプレート化できた
- ユーザをテンプレート管理できるようにした
- テンプレートは公開できてない
- 結局SFTPではなくSMBを使うことになった
- S3 Access Point
- グローバルリソースであるS3だが、アクセス制御が難しい
- エイリアス(Access Point)を複数作れる
- 特定のVPCからのアクセスが可能なS3 Access Pointを作成すると、いいかんじ
- アカウント固有S3バケットアクセス制御に道筋が！
- S3 Access PointのARNはAWSアカウントIDが含まれる
- 条件キーでAccess Point関連の制御が可能
- こんなかんじ
- アクセスポリシーでいろいろ絞れる
- VPCEでもアクセスポイント宛の通信だけ許可のような書き方もできる
- バケットポリシーはAccessPointからのアクセスだけ許可するため簡単に管理できる
- 自己評価
- S3バケットポリシーの複雑性を緩和
- テンプレート実装
- パターン化して複数アカウントでの適用を始めた
- テンプレートはまだ公開できてない
- ドキュメントが十分にできてない
- よさげ
- ELB + OIDC
- ALBでCognitoやOIDC認証が使える
- アプリでOIDCを実装するより脆弱性対策の心配が減る
- Passwordless Sign-Inを組み合わせたアクセス制御
- ソースIP制限などはゼロトラストではない
- ユーザ識別からPINコード・マジックkリンクでOIDC認証した
- 自己評価
- 簡単にできるようになった
- 認証をIdPに使うことでいい感じ
- AWS Batch
- いいところ
- インスタンスタイプ選べる
- Spotインスタンス使える
- 実行状態をコンソールから簡単に確認できる
- 自己評価
- スポットインスタンスを使ったスケーラブルな処理の対応ができた
- まだGlue2.0に対応できてない
- まとめ
- いろいろがんばれた
- テンプレート公開とドキュメント化をもっとがんばりたい
- アウトプットをもっと頑張る
感想
いろんな環境を作ってテンプレートで公開されているのは素晴らしいですね！
ぜひ使ってみましょう！
金融業界の規制動向と最新トレンド AWSJ 高野さん
- 規制の話
- 金融庁のレポートから
- 今年の6月の金融機関のITガバナンス等に関する調査結果レポート
- クラウドサービスの機密性が心配だという懸念が多かった
- しかも8割くらい！
- 事故対応や可用性についてもかなり懸念が多い
- AWSについて理解していただいていない事が多いのでは？
- メッセージングを改善していく
- 大体知らないというところが多いと感じる
- 取組状況
- 勘定系は非競争領域になっている
- コスト効率化すべき
- 顧客チャンネルや営業戦略・デジタル戦略が競争領域
- 勘定系は元々聖域みたいな扱いだったが、今回のレポートはそこに踏み込んでいる
- 勘定系システムの先進的な取り組みに金融庁は期待している
- 金融庁はフロントランナーサポートを積極的にすると言っている
- 注目されているデジタル領域
- クラウドサービスは85%以上
- ただ基幹系は1割ぐらいしか使われていない
- AIもデータ活用もクラウドがないとやっていけないだろう
- 新技術の本格的な活用が進まないのは柔軟性がないレガシーシステムが原因では？
- クラウドサービスは85%以上
- 日銀がクラウド利用における留意点を初公表
- 日銀でもクラウドに注力している
- AWSからも一緒にブログを出している
- セキュリティの実践とベストプラクティス -日本銀行様『クラウドサービス利用におけるリスク管理上の留意点』によせて-
- 日経新聞でも取り上げられた
- 銀行の経営陣が「一定の知見を有する必要がある」
- 「適切にリスク管理をすれば、必ずしもリスクが高いわけではない」
- クラウド利用に置いて必要な管理項目と具体的な取組事例
- FISCとは違い経営層がクラウドへの理解を深めることが目的
- 事例であり必須ではない
- FISCのリファレンスも出ています(こちらのFISC安全対策基準・解説書（第９版改訂）に関するAWSの情報)
- FISCの項番に対してAWSの責任範囲か、お客様なのか、何を行うといいのかなど書かれている
- FISCリファレンスコンソーシアム発足
- 今後の活動にもご期待下さい！
感想
金融庁からもいろいろ出ていて頼もしいですね！是非活用していきましょう！
LT#1 年間40回社内AWS勉強会を運営してみた 野村総合研究所 木美 雄太さん
- 話すこと
- 勉強会はWell-Architected Frameworkの実装の一つであると考えている
- Well-Architected Frameworkとは？
- AWSにおける設計・運用のベストプラクティス集
- 5つの柱毎大局的なベストプラクティス
- 分野特化したLensもある
- 金融向けのFSI Lensもある
- どんな勉強会か？
- 毎週水曜に1時間
- 平均30-40人くらい参加
- アップデート確認と個別トピックを取り上げる
- なぜわざわざ集まってアップデート確認するか
- Game Changer
- 今回のKeynoteでも6つのサービスについてそう言っていた
- 変化に気づかなくてGame(ビジネス)になるか
- W-Aでもアップデートへの追従がベストプラクティスとなっている
- 「ワークロードを進化させるためにどのように新機能を取り込んでいますか？」
- リソースとサービスに関する最新情報を常に確認する
- re:Invent以外でも現れるGame Changer
- 2020年では11月末の段階で2,000件を超えている
- 追従のために社内勉強会をしている
- 個別トピックはなんのため？
- There's no [compression algorithm] for experience
- クラウド活用を楽しむ
- 気軽に実験・アウトプットできる場としている
- W-Aには組織の文化の話がある
- 実験が推奨されている
- チームメンバーがスキルセットを維持し、強化することがkの腕有り、推奨されている
- 社内なのでハードルが低く失敗談も気軽に話せる
- むしろ失敗の共有が価値になる
- 多様なメンバーでレベル感も様々
- お話したこと
- 社内勉強会はW-Aの実装の一つ
- アップデート確認はGame Changerを識別する
- 個別トピックは気軽に実験・アウトプットできる場の提供
感想
社内勉強会はW-Aの実装の一つというのは非常に面白い話ですね！
ガンガンW-Aに乗っ取ってみなさんも勉強会やっていきましょう！
LT#2 re:Invent 毎年恒例特性パーカー入手方法！ 渥美俊英さん
- 飛び込みLTします
- 祝！FISC第9版対応リファレンス
- JAWSはいろいろお手伝いしています
- 前回はIT、クラウド楽しいねって話した
- re:Invent 2020の話
- アンディのKeynoteで1つ感じたこと
- Gartnerの図
- AWSはクラウド業界のシェアは45%だが
- IT業界全体ではクラウドが4%
- まだまだクラウドは当たり前にはなっていない
- 開始前に期待したゆるい関心事
- Keynoteで例のネタ、なかった
- 新デバイスの発表と配布は！？
- まだなかった
- 2012年から参加している
- 1回目はバッグがもらえた
- 2回目以降パーカー
- 今年はパーカー無いのかなぁと思っていた
- Cable Detective
- 謎解きゲーム
- キャラクターがいい
- オマージュもいろいろある
- じっくり楽しむといい
- ゲームで最後まで行けばパーカーにたどり着ける！
- 先着順！急いで！
- でもまだストックはいっぱいあるみたい
- 是非挑戦しよう
- 今年もIT業界をぶっ飛ばしてくれ！
感想
ゆるゆるですがエモい話でした！
そしてCable Detectiveは私も大好きで永久保存したいと思っています！！！！！
みんな挑戦してね！！！
告知
JAWS DAYS 2021 -re:Connect-が2021年3月20日(土)
オンライン開催予定
近日イベントサイト公開予定
Fin-JAWSメンバーによるre:Cap祭りやります！
12月22日(火)20:00 - 22:00予定
申し込みページ準備中
まとめ
いい話がいっぱいでしたね。ラスベガスでやりたかった！
オンラインになってからもいっぱい情報発信をしていきたいですね。