「AWS ではじめるクラウドセキュリティ」を読んだ❗️とても良かった ＼( 'ω')／
本書ではもちろん AWS のセキュリティサービスの機能など「サービスカットな観点」も学べるけど，それ以上に「セキュリティポリシーとは何か」や「どんなリスク分析フレームワークがあるのか」や「どういうセキュリティ管理策を検討するべきか」など，セキュリティ全般の知識を「ソリューションカットな観点」で底上げできる素晴らしい一冊だった📕
まさに本書の はじめに に載っている通りの内容だった💡
本書は、AWS のセキュリティを学ぶということ以上に、AWS を通じてセキュリティを学ぶということを主眼に執筆されました。
ちょうど最近仕事で AWS でのセキュリティ対策全般の設計と構築にゼロベースで取り組んでいて，僕自身の知識アップデートをするだけではなく，開発メンバーにも読んでもらえる本を探していて，まさにこれだ❗️という気持ちだった．また僕自身は AWS のセキュリティサービスの特徴などはある程度理解できているはずだけど，プロダクション環境でのセキュリティ設計と構築という経験に乏しく，実践的な知識を得られたのは本書を読んで良かったと思える一番の価値だった👏
目次 🔐
- 第1部: クラウドとセキュリティの基本
- 第1章: セキュリティって何だろう、クラウドって何だろう
- 第2章: セキュリティと責任共有モデル
- 第3章: ガバナンスとセキュリティの要件
- 第4章: セキュリティポリシーを作る
- 第2部: AWS でセキュリティを実装する
- 第5章: AWS の利用を開始する際のセキュリティ
- 第6章: リスクの特定とセキュリティ管理策の決定
- 第7章: セキュリティ管理策の要となる防御
- 第8章: セキュリティ検知の仕組み作り
- 第9章: AWS で対応／復旧を始める
- 第3部: AWS のセキュリティを試す
- 第10章: 代表的なセキュリティサービスの操作
- 第11章: セキュリティ対応環境の構築、脅威検知／対応
ちなみに Kindle だと固定レイアウトになっていてハイライトや検索ができず読みにくかった💨（Amazon サイトに注意点は書いてあったから理解して買ったとは言えやはり厳しかった...あああ）
読書メモ 🔐
NIST Cybersecurity Framework (CSF)
本書の「第2部」は NIST Cybersecurity Framework (CSF) に沿った解説になっていて，セキュリティ管理策と AWS のセキュリティサービスの関係性を体系的に理解できる流れがとにかく理解しやすかった❗️
また少し古め（2019年）ではあるけど，本書の共著者である松本照吾さんが AWS Summit Tokyo 2019 で登壇されている「AWS におけるクラウドコンプライアンスの実践」がわかりやすくて最高だった．惹き込まれるプレゼンテーション技術にも魅せられて既に2回も視聴してしまった👏 その後のアップデートも含めて2023年版もあったら嬉しいんだけどあるー❓
また本書では NIST CSF などに関連する補足資料などもリンクされていて，以下などを併読しながら本書を読み進めた．IPA に公開されてる NIST CSF の翻訳は助かる〜✌️
識別 (Identify) の重要さ
本書の第6章「リスクの特定とセキュリティ管理策の決定」では NIST CSF の1つ目のトピック「識別 (Identify)」に関して詳しくまとまっていて，リスクアセスメントのアプローチ2種類（ベースラインアプローチとリスクベースアプローチ）やリスク分析手法や対応アプローチ（低減・移転・回避・需要）など，情報資産やリスクを識別することの重要さを学べた．さっそくできるところから実践し始めているところ❗️
AWS Prescriptive Guidance（AWS 規範ガイダンス）
本書を読んでから AWS Prescriptive Guidance（AWS 規範ガイダンス）に載っているセキュリティ関連のホワイトペーパーを読むと，より実践的に理解が深まって相乗効果があると思う❗️また「ホワイトペーパーの内容が理解できるぞー💡」という自信にも繋がるので，本書と AWS Prescriptive Guidance（AWS 規範ガイダンス）を併読するのはおすすめ〜 ＼( 'ω')／
例えば以下などを読んだ📝
AWS Prescriptive Guidance に公開されてる AWS Security Reference Architecture (AWS SRA) を読んでみた❗️マルチアカウント戦略を前提にどうセキュリティサービスを組み合わせるかという実践的なガイドラインになっててとても参考になるー👌https://t.co/EhOqULk6fx
— カック (@kakakakakku) 2023年10月30日
10/12 に新しく AWS Prescriptive Guidance に追加された脆弱性管理に関するガイド Building a scalable vulnerability management program on AWS を読んでる❗️https://t.co/i8rALHBgmu
— カック (@kakakakakku) 2023年10月30日
まとめ 🔐
「AWS ではじめるクラウドセキュリティ」は AWS x セキュリティに入門するのに最適な一冊だった📕
僕自身本書を読んでセキュリティ全般の知識を底上げできたことに一番の価値を感じたので，その観点を全面に押し出した書評記事にしたけど，もちろん AWS IAM / AWS Security Hub / AWS Config / Amazon GuardDuty / Amazon Detective / Amazon Inspector などなど，多くの AWS のセキュリティサービスの使いどころも学べるし，第10章と第11章はハンズオンになっているから実際に手を動かしながら理解度を深めることもできる💡 おすすめ❗️
またセキュリティ回りを推進するときに横断的な専門チームがあると心強いけどそういう開発組織ばかりではないはずで，やはり誰もがセキュリティにも関心を持って継続的に取り組むことが重要だと思う．AWS Well-Architected Framework（セキュリティの柱）には SEC11-BP01: アプリケーションのセキュリティに関するトレーニングを実施する と書いてあるし，NIST CSF（防御）には 意識向上およびトレーニング というサブカテゴリがあるし，継続的な「学びたい気持ち」が重要だと改めて認識できた💪
余談 🔐
ちなみに本書の共著者の中には当時 AWS でお世話になった方がいらっしゃったり，僕自身が共著で執筆した「AWS で実現するモダンアプリケーション入門」と出版日もほぼ同じだったりして（ということはきっと執筆時期も近いはず📅），親近感の湧く一冊だしもっと早く読むべきだったのに今更になってしまってすみません🙏 最高でした〜 ＼( 'ω')／
