## 令和2年度から情報セキュリティマネジメント試験はCBT方式を採用

**令和2年度から情報セキュリティマネジメント試験と基本情報技術者試験は、CBT方式により試験が実施されています。**ここでは、情報セキュリティマネジメント試験とCBT方式について詳しく紹介します。
（ 参考：https://www.jitec.ipa.go.jp/1_11seido/cbt_sg_fe.html ）

### 情報セキュリティマネジメント試験とは

**情報セキュリティマネジメント試験とは、独立行政法人情報処理推進機構（IPA）が主催する国家資格の1つです。**IPAが主催する試験の難易度は4区分されており、*情報セキュリティマネジメント試験はレベル2*に相当します。レベル2に相当する資格として基本情報技術者試験試験が挙げられます。情報技術セキュリティマネジメント試験に受験条件はないため、誰でも受験可能です。
（ 参考：https://www.jitec.ipa.go.jp/sg/about.html ）

情報セキュリティマネジメント試験の合格率は約50%程度であり、他の情報系資格と比較すると難易度は低いと言えるでしょう。試験に合格するためには、*午前試験と午後試験の両方で得点率60%以上を取得する必要があります。*試験の日程については、IPAの公式サイトに掲載されています。例えば、令和3年（2021年下期）の試験日・試験会場・受験手数料・申し込み方法などは下記のサイトで確認可能です。
（ 参考：https://www.jitec.ipa.go.jp/1_02annai/r03-2sg_exam.html ）

**CBTとは「Computer Based Testing」の略称であり、コンピュータを活用して受験する方式のことです。**ITパスポート試験では既にCBT方式が採用されており、試験日程や試験会場が充実しています。また合格発表までのスピードの早さも特徴です。*今後は基本情報技術者試験や情報セキュリティマネジメント試験についても受験者へのメリットが増えていくことが予想できるため、今後の動向に注目です。*

既に情報セキュリティマネジメント試験をCBT方式で受験した方の感想によると、午前試験は紙媒体の試験と遜色ないと言われています。一方、午後試験ではページをめくるのが紙媒体と比べると面倒などのデメリットを感じている方もいます。

## 情報セキュリティマネジメント試験の申し込み方法

情報セキュリティマネジメント試験は、上期と下期の年2回CBT方式によって実施されます。**試験の申し込みを行うには、まず下記のプロメトリック社のWebサイトにアクセスします。**
（ 参考：http://pf.prometric-jp.com/testlist/sg/index.html ）

支払い方法は、*クレジットカード・コンビニエンスストア払い・Pay-easy払い*から選択できます。クレジット決済の場合と、コンビニエンスストア払い・Pay-easy払いの場合で予約受付期間が異なるため、注意が必要です。

*試験会場は全ての都道府県で1カ所以上あり、*試験会場については下記のサイトで確認可能です。また、試験日の3営業日前まで（土日が受験日程の場合は4営業日前まで）試験日時や試験会場は変更できます。ただし予約のキャンセルはできません。
（ 参考：http://pf.prometric-jp.com/testlist/sg/reserve.html ）

*実際に試験を予約するには、まず下記のサイトからプロメトリックIDを取得する必要があります。*
（ 参考：http://pf.prometric-jp.com/testlist/sg/online.html ）

プロメトリックIDが取得できたらログインし、試験の予約を行います。ログインができれば、個人情報を確認したり、試験会場・試験時間・支払い方法を選択したり具体的な詳細を決定することが可能です。*最後に予約完了メールが送付されるため、確認書を印刷し試験当日に持参しましょう。*確認書は持参しなくても受験は可能です。送付されたメールをきちんと確認し、当日に必要なものを把握するのが大切と言えます。

なお令和2年度の試験では中止や延期が発生しました。令和3年度以降も試験日程などが変更される可能性もあるため、公式サイトを随時チェックしましょう。

## 情報セキュリティマネジメント試験の資格を取得するメリット

情報セキュリティマネジメント試験の申し込み方法は理解できたでしょうか。ここでは、情報セキュリティマネジメント試験の資格を取得するメリットについて詳しく紹介します。

### セキュリティに関する知識が身に付く

**情報セキュリティマネジメント試験に合格するために勉強することで、セキュリティ関連の知識を身に付けることが可能です。**近年ではサイバー攻撃が増加しているため、あらゆる業界・業種でセキュリティ対策を重視しています。

*情報セキュリティマネジメント試験の勉強で得た知識は、仕事だけではなく、自分を守ることにもつながります。*例えば、自分のPCに保存された情報が外部に漏洩しないようにするには、自分自身で守らなければなりません。そのためセキュリティに関する知識を身に付けておくことは、現代の社会を生き抜くうえで重要と言えます。

### 就職や転職活動でアピールできる

情報セキュリティマネジメント試験は国家資格の1つであり、IPAが主催している試験ということで認知度も高いです。**資格を取得することによって、セキュリティ関連のスキルを客観的に証明することができます。**情報セキュリティマネジメント試験の資格は就職・転職活動におけるアピール素材の1つとして役立つでしょう。

しかし、IT業界では資格よりも実務経験が重視される傾向にあります。そのため資格だけではなく、実務経験を積むのも大切です。

近年ではセキュリティに関するスキルはIT業界だけではなく、金融・医療・教育など様々な業界で重視されています。そのため*情報セキュリティマネジメント試験の資格はIT業界だけではなく、他業界に就職する際にも役立ちます。*

### セキュリティ関連の上位資格を目指せる

**情報セキュリティマネジメント試験に合格すれば、IPAが主催しているセキュリティ関連の上位資格を目指しやすくなります。**例えばセキュリティ関連の資格として、「情報処理安全確保支援士試験」が挙げられます。*情報処理安全確保支援士試験はIPAが主催している試験の中では、最も難易度が高い試験の1つです。*情報処理安全確保支援士試験を受験するにあたって、受験条件はありませんが、事前にセキュリティに関する知識がある方が合格しやすいでしょう。

また、情報処理安全確保支援士試験に合格して申請を行えば、情報処理安全確保支援士（登録セキスペ）の国家資格を取得することができます。情報系資格の中では初めての士業であり、将来性は高いと言えるでしょう。*いきなり情報処理安全確保支援士試験に挑戦するのはハードルが高いため、まず情報セキュリティマネジメント試験の合格を目指しましょう。*

## 情報セキュリティマネジメント試験に合格するための勉強方法

情報セキュリティマネジメント試験の資格を取得するメリットは理解できたでしょうか。ここでは、情報セキュリティマネジメント試験に合格するための勉強方法について詳しく紹介します。なお、この記事では独学で学ぶ方法について解説します。

### 情報セキュリティマネジメント試験に合格するために必要な勉強時間

情報セキュリティマネジメント試験に合格するためには、**ITに関する知識がない方であれば目安として約200時間程度の勉強時間が必要です。**一方、ITの基礎知識がある方であれば、勉強時間を短縮できます。例えば下位資格であるITパスポート試験の資格を保有していれば、勉強時間は比較的少なくて済むでしょう。勉強時間は人によって異なるため、効率よく学習することが大切です。

**独学で学習する場合、書籍と過去問を活用するのがおすすめです。**午前試験は基礎知識を身に付ければ、十分に合格できます。そのため*書籍でインプットし、過去問でアウトプットする流れを繰り返すことで、効率よく学習することが可能です。*午前試験の合格点が取れたら午後試験の対策に移りましょう。

また、**午後試験では知識だけではなく、長文読解力も要求されるため問題に慣れることが大切です。**そのため問題集もしくは過去問を活用して、数多くの問題に取り組むのがおすすめと言えます。時間制限もあるため、きちんと制限時間内に問題を解くことができるのか確認するのも重要です。*IPAの公式サイトには過去問と解答が無料で公開されているため、積極的に活用しましょう。*
（ 参考：https://www.jitec.ipa.go.jp/1_04hanni_sukiru/_index_mondai.html ）

## 情報セキュリティマネジメント試験ではCBT方式が採用！

これまでに、情報セキュリティマネジメント試験・CBT方式の概要や情報セキュリティマネジメント試験の申し込み方法・メリット・勉強方法について解説しました。**情報セキュリティマネジメント試験では令和2年度からCBT方式が採用されています。また、申し込み方法もこれまでと異なるため注意が必要です。**

情報セキュリティマネジメント試験の難易度は基本情報技術者試験と同じレベルに位置し、*きちんと学習すれば独学でも十分に合格できます。*過去問は無料で利用できるため、上手に活用しましょう。

さらに**情報セキュリティマネジメント試験の資格を取得すれば、セキュリティに関する知識を習得したり、就職・転職活動のアピール素材として利用したりすることができます。**今後はセキュリティに関する高度なスキルを持った人材は重宝されるため、ぜひ情報セキュリティマネジメント試験に挑戦してみましょう。

情報セキュリティマネジメント試験では、令和2年度にCBT方式が採用されました。当記事では、情報セキュリティマネジメント試験・CBT方式の概要や情報セキュリティマネジメント試験の申し込み方法・メリット・勉強方法について解説します。

情報セキュリティマネジメント試験では令和2年度からCBT方式を採用

情報セキュリティマネジメント試験に申し込みを行うには、まずプロメトリック社の公式サイトにアクセスする

情報セキュリティマネジメント試験に合格すれば、セキュリティに関する知識を習得できる

情報セキュリティマネジメント試験はCBT方式！申し込み方法も解説

## AWSのセキュリティは万全か？

皆さん、よくご存知のAWSはAmazonが展開する世界最大のクラウドサービスですが、セキュリティ面でも世界最高クラスのサービスが提供されています。そのため、AWSを利用する際には、利用者側で用意するものが無いと信じている方も少なくありません。確かに、AWSにはセキュリティ面でもさまざまな強固なセキュリティ対策が施されており、利用者側はセキュリティ対策が不要と考えがちですが、それは大きな誤りです。

**AWSには「責任共有モデル」と呼ばれるものがあり、利用者側もクラウド内のセキュリティ確保に一定の責任を負っています**。基本的に、AWSは不沈艦と言えるほどの強固なセキュリティによって守られていますが、搭乗員の健康管理に関しては自己管理と認識しておく必要があります。ここでは、*AWSのウィルス対策をはじめとするセキュリティ対策*について解説していきます。

### AWSを利用してセキュリティ事故を起こすとどうなる？

セキュリティ事故は、報道されないものを含めると膨大な件数があると言われています。自社の機密情報漏洩・サーバー攻撃によるサービス停止・データの改ざんや破壊などさまざまありますが、**最も影響が大きいのは個人情報の漏洩**です。

*個人情報が漏洩すると、顧客に直接被害が及び、企業のブランドイメージの失墜ばかりか、株価下落、売上低下、さらには顧客への補償などで、時には企業の経営そのものが危うくなることすらあります*。また、被害がAWSやAWS利用者に及び、*損害賠償請求を受けるリスク*もあります。これほどセキュリティ事故は多大な損害を被るということをまず認識しておきましょう。

AWSには「責任共有モデル」という考え方があります。**「責任共有モデル」は、AWSが提供する数々のインフラやサービスについて、AWSが直接責任を負うべき部分と、利用者が責任を負うべき部分を明確に分けて、責任の分界点を明らかにする考え方**です。*AWSが責任を負っている範囲は具体的にはハードウェア・ソフトウェア・ネットワーク関連・AWSのサービスを提供している施設（データセンター）*です。AWSの責任範囲で発生した障害や事故で、利用者に損害を与えた場合にはAWSが損害賠償責任を負います。

一方、AWSが提供しているサービス以外の部分が利用者側の責任範囲となりますが、責任を負う範囲は、AWSクラウドサービスの利用している範囲によっても異なります。

参照：*[責任共有モデル – アマゾン ウェブ サービス (AWS)](https://aws.amazon.com/jp/compliance/shared-responsibility-model/)*

「責任共有モデル」のAWS側の責任範囲について、もう少し詳しく述べます。「責任共有モデル」における**AWS側の責任範囲は、主にAWSサービスの基本となっているインフラの部分**です。以下、主な責任範囲を列挙します。

AWSの施設（データセンター）は、非常に強固な物理的セキュリティによって守られていますが、万が一、*データセンターそのものが災害などによって停止という事態に陥ると、他のAWSのデータセンターで処理を継続できるような仕組み*になっています。これを**ディザスタリカバリ（disaster recovery - DR）**と言います。この施設の管理はAWSの最初の責任範囲です。

### 2：インフラストラクチャの管理

AWSのデータセンター内には、さまざまなインフラ設備があります。*電源・空調・ネットワーク・サーバー・ストレージなどは24時間監視下にあり、冗長化も含めて完全無停止を前提に設計され、稼働*しています。**このインフラストラクチャの管理は、AWSの2つめの責任範囲**です。

### 3：ハイパーバイザー（ホストOS）

**AWSはホストOSの稼働を保障しています**。これがAWSの3つ目の責任範囲です。そのために*厳格なアクセス管理が行われるよう、多要素認証に基づき、外部からのアクセスが非常に厳しい仕様*となっています。利用者側が作業を完了した後は、都度システムへの付与特権とアクセス権を削除するとともに、全てのアクセスのログが保管される仕組みです。

AWSの「責任共有モデル」では、**AWSが提供しているサービス以外の部分はユーザー側で責任**を負うことになります。

IaaSのようなホスティングサービスでは、**ゲストOSの管理や運用は利用者側の責任範囲**です。

*仮想サーバーであるAmazon EC2 インスタンスを利用する場合は、ゲストOSの更新・セキュリティパッチの適用・アプリケーションなどの管理・ファイアウォールの構成については利用者が責任を負う*形となります。

Amazon EC2 のサービスはIaaS（Infrastructure as a Service ）のため、**ネットワークの設定を含むセキュリティ構成や管理は利用者側の責任**で行う必要があります。

Amazon EC2では、利用者がEC2のインスタンス内に**インストールしたアプリケーションは、利用者側で管理したり、運用したりする責任**を負います。

**AWSサービスの中で扱うデータは、暗号化を含めてそのデータの管理は利用者責任**となります。また、データはオーナー（利用者）以外の者がその管理方法を決めることはできません。

前記のデータの暗号化と同様、AWSのサービスの利用者の**アカウント・アカウントに紐づくシステム・利用者側のデータに対するアクセス権限の管理や運用も、利用者が責任をもって行う**必要があります。

## AWSで利用者が行うべきセキュリティ対策とは

では、これらの問題を防ぐための対策としては、どのようなものがあるのでしょうか？ここでは、**AWSを使用する際の具体的なセキュリティ対策**をご紹介します。詳しくは、*[AWS アカウントのセキュリティを改善するための 10 個の項目](https://aws.amazon.com/jp/blogs/news/top-10-security-items-to-improve-in-your-aws-account/)*を参照してください。

### セキュリティグループをしっかり設定する

利用者に際して、まず初めに**セキュリティグループの設定**を行いましょう。*AWSが標準装備しているファイアウォールのことをセキュリティグループと称し、EC2インスタンスに対して適用*します。

セキュリティグループでは、EC2インスタンスへの*アクセス許可の範囲とトラフィックの制御*が行えます。特に開発環境ではセキュリティ被害に遭いやすい傾向があるため、*インバウンドルール（アクセス制限のルール）は厳しく設定*し、必要がない人には公開しないことです。

### 認証情報を定期的に確認し、無効化する

ログの管理も重要なセキュリティ対策の1つです。**定期的に認証情報を確認し、怪しい認証がないかどうか確認**しましょう。また、1度発行したIDで90日間以上利用されていないものは、確認をとって削除するようにします。休眠状態のIDが不正アクセスに利用されるケースがよくありますので、*不要なIDは極力使わない*ようにすべきです。

さらに、*ソフトウェアのバージョン管理もしっかり行いましょう*。セキュリティに脆弱性が発見されると、その脆弱性が攻撃の標的になりがちです。セキュリティパッチの有無を定期的にチェックし、ソフトウェアのバージョンを常に細心に保つことが重要です。

### マルウェア・ウィルス対策を施す

AWSは強固なセキュリティ対策が施されているとはいえ、インターネットに向けて公開された環境にあります。ソフトウエアの脆弱性を利用して、*マルウェアやウィルスなどの不正プログラムが侵入してくるリスクはゼロではありません*。また、自社のシステム内で利用しているメールシステムやWebシステムを経由してウィルス感染するリスクもあります。**マルアェア対策、コンピューターウィルス対策は利用者の責任と心得て、アンチウィルスソフトなどの適用を図る**必要があります。

### 多要素認証（MFA）を利用する

**MFAとは、簡単に言えば2段階認証のような仕組み**です。一般によく使われるログインIDとパスワード認証に加えて、さらにもう別の認証要素を組み合わたものです。*これを有効にしておくと、第三者による不正ログインを防ぐ*ことができます。

上記以外にもセキュリティレベルを高めるための方法は幾つかあり、AWSは10項目のセキュリティ対策を提唱しています。その他には**脆弱性診断サービスを利用して、自社のシステム特有の脆弱性がないか否かを検証することが求められます**。AWSには脆弱性診断のオプションサービスとして*[Amazon Inspector](https://aws.amazon.com/jp/inspector/)*がありますので、こちらを利用しても構いませんし、自社の協力会社などのサービスを利用しても構いません。いずれにせよ、*自社システムの脆弱性を定期的に診断することで、セキュリティの強化を図る*ことができます。

## AWSを正しく利用し、クラウド利用の効果を最大化しよう

いかがでしたか？AWSは鉄壁のセキュリティで守られているから、セキュリティ対策は不要と思われていた方にはがっかりされた方がいるかもしれません。しかし、実は*AWSはオンプレミスの場合と比べて、利用者側が行うべきセキュリティ対策はかなり限定されており、その負担も軽減されています*。セキュリティ基準の厳しい金融系のシステムでもAWSを利用しているほどです。

AWSは直ぐに利用できて大変便利なクラウドサービスですが、*利用する側がセキュリティ管理を疎かにすると、大きな事故につながる可能性を排除することはできません*。AWS側は、AWSの責任による事故などは補償をしますが、逆に利用者側の責による事故に対して一切補償はありません。さらに、事故がAWSや他の利用者に影響を及ぼした場合は、損害賠償請求の可能性を否定できません。

**AWSは「責任共有モデル」という両者の責任の分界点を明確にしています。つまり双方が責任の分担をしなければ、安全の確保やセキュリティの担保ができないということ**です。セキュリティ確保の責任は、この記事をお読みになったITエンジニアの皆さん1人1人にあるという自覚を持ち、AWSを正しく利用して、その*利用効果の最大化*を図っていきましょう。

AWSは強固なセキュリティ対策が施され、ユーザー側はセキュリティ対策が不要と考えがちですが、これは大きな誤りです。AWSは「責任共有モデル」により、ユーザーもクラウド内のセキュリティに一定の責任を負います。ここでは、AWSのウィルス対策について解説します。

AWSには「責任共有モデル」という考え方があり、セキュリティ対策の責任はそれぞれが負うことになっている

AWS利用で、利用者側の対策不備によってセキュリティ事故が発生した場合は利用者がその全ての責任を負う

セキュリティ対策で利用者側が行うべき10の項目があり、これらを正しく行ってAWS利用効果の最大化を図ろう

AWSの利用で、セキュリティやウィルス対策の責任は誰が負う？

## AWSを利用する時にチェックすべきポイントを理解する

AWSは初期費用が不要で必要な機能があらかじめ揃っているとはいえ、*自身で設定*しなければいけない機能もあり、利用する上で注意が必要なこともあります。では、**どんなことに注意すべきか**見てみましょう。

### セキュリティグループと従量課金には注意が必要

AWSは基本的に*初期費用がかかりません*が、使いたいサービスやサーバによって料金が大きく変わります。従量課金となるので、時には**通信量などが増えてしまうと高額になる**ケースも少なくありません。

そんな時に大量に外部からアクセスなどが集中すると、その分**料金が加算されてしまう**ことがあります。コストが外部攻撃によってかかってしまうと運用の維持が難しくなるので、セキュリティ面で*強固な状態*を作っていかなければなりません。

そこで役立てるのが*「セキュリティグループ」*で、一般的にリリースされているサーバで提供されているファイアウォールと同様のシステムとなります。設定を行いながらセキュリティ対策を講じることができますが、**想定外のセキュリティホールから守る**ことができます。

コンソール上で*設定をスムーズに行う*ことができるので、しっかりと**検討しながらシステムに活用**していくといいでしょう。

### それぞれのインスタンスで管理方法を検討する

*インスタンス*とはOSを入れて稼働させるサーバなどを指していますが、複数構築することによって1つのシステムとなっていきます。用途によってインスタンスを変えていくことが重要で、**無料で提供されているインスタンス**もあります。

例えば、多く活用されているのがAmazon EC2ですが、起動する前に**ネットワーク設定やセキュリティグループ**を検討していくようにしましょう。

低額でスピーディーに稼働させることができますが、セキュリティホールによって*従量課金が高額になってしまう*こともあります。システム構築する上で**不必要な部分はアクセス拒否などの対策**を行いながら、円滑に稼働させましょう。

### セキュリティホールを招く前に対策を検討する

AWSで様々なインスタンスを利用して1つのシステムを構築したところで、そのままにしておいても**セキュリティホールに出くわす**可能性があります。常に*インスタンスはアップデート*を行っており、1度も行わないと脆弱な状態になってしまうケースも少なくありません。

パッケージを構築したらアップデートを定期的に行っていき、**最新状態に保って**ください。バグは様々見つかっており、放置しておくと*不正アクセスなどの被害*に遭ってしまうこともあります。

時には情報漏えいにつながるので、*ビジネスシーンで大打撃*となります。Amazonが責任を持ち対応をしているので、パッケージは常に最新の内容をリリースしています。不十分な時にはセキュリティグループを組むのと同時に、**最新のパッケージをインストール**しましょう。
（参考）[AWSネットワークにおけるベストプラクティス ～ AWSのバックボーンネットワークに関するDeepな話（3）](https://codezine.jp/article/detail/9791)
（参考）[AWSを使っている人が絶対にやっておくべきセキュリティ対策](https://www.shadan-kun.com/blog/measure/3410/)

## AWSでどうやってセキュリティを活用してサーバなどを守るか考える

AWSでこれからシステム構築していこうとする際に、様々なサーバ構築や運用を行う中で*セキュリティ面*がどうしても気になるところでしょう。昨今DoS攻撃などセキュリティ関連が脆弱ならば、**外部攻撃のターゲット**として狙われやすい状況にあります。

### AWSにおける基本的なセキュリティの設定を把握する

AWSによってクラウドサービスを展開する企業なども増えていますが、**データなどを守るためのセキュリティ**については常に意識しなければならない問題です。最近ではデータなどを暗号化するツールなどが提供されていますが、AWSでも*セキュリティグループなどで対応*することができます。

基本設定をしっかりと行うことによって*外部攻撃に備える*ことができますが、セキュリティグループといわれる仮想のファイアウォールやVPCといわれる**仮想のプライベートネットワーク**があります。

その中でも活用されているのが*セキュリティグループ*ですが、AWSが様々なインスタンスの標準機能として備えているファイアウォールとなります。アクセス許可しながらも様々なトラフィックを設定によって制御していくので、**セキュリティ面で活用する**ことができます。

1つのセキュリティグループを*各インスタンスへ割当可能*なので、システムの状況に合わせて設定を考えることが可能です。設定すると許可したネットワークならばインスタンスに関して操作などを行うことができますが、許可していなければ**アクセス自体を拒否することができる**ようになります。

### セキュリティグループを設定する時に注意すべきポイント

単にインスタンスに対してセキュリティグループを設定すると、時には障害発生時などの切り分けで苦労してしまうこともあります。

セキュリティグループの設定は常に変更することができますが、新しく設定した時には各インスタンスと今後利用するインスタンスそれぞれに新たな設定を適用することになります。

しかし、未設定だと外部通信が全て遮断されてしまうので、時にはシステムへアクセスできなくなってしまうことも少なくありません。またVPCを使わなければ、アウトバウンドに対するセキュリティ設定を行うことができないので注意が必要です。

そして、セキュリティグループをしても外部攻撃が周囲で起こったり、セキュリティグループ自体で問題が生じたりしてもログがありません。セキュリティグループ関連で問題が起きても切り分けを行えないので、代替案を検討する必要があります。

### 具体的なAWSでセキュリティグループを設定する流れを理解する

アカウントを作成すると、*自動的*に最初のセキュリティグループがデフォルトで適用されています。各インスタンスを起動する時に**指定をしなければ**、自動的にデフォルト設定のセキュリティグループを利用することになります。

様々なシステムに合わせてセキュリティグループを組む時には、必ず*利用するポートやIPアドレスなどを確認*しながら設定しましょう。

手動でカスタマイズを行う時には、最初に**AWSの管理画面**を開きます。ログイン後にインスタンスの管理画面を開いてから、セキュリティグループを選択します。

表示されたら一覧からインバウンドの箇所を選択後、プルダウンメニューより*追加ルールの箇所をクリック*すると設定を行うことができます。最後に変更内容を保存すればカスタマイズ完了となるので、操作自体は非常に簡単です。

設定時のコツとしては、外部攻撃を受けないように余計な設定を入れないことです。必要最低限の内容を事前に検討しておき、*不要なポートやネットワーク*などを開放したり利用しないように心がけましょう。

またセキュリティに強いSSHなどを利用する時には、**指定したIPアドレス以外からアクセスできない**ように設定しておくと効果的です。
（参考）[さまざまなユースケースのセキュリティグループのルール](https://docs.AWS.amazon.com/ja_jp/AWSEC2/latest/UserGuide/security-group-rules-reference.html)

## AWSでセキュリティグループを活用することで得るメリットと注意点

様々なインスタンスを構築しながら、**低コストで運用することができる**AWSはメリットが色々とあります。初期費用もかからないので手軽にスタートすることができますが、他に追加したい時には選択しながら必要なものだけ用意することができる点も受けています。

その中でインスタンスに適用できる*セキュリティグループ*が大いに役立つだけでなく、システムをしっかりと守ってくれます。

### スムーズに運用することができる点がメリットとなる

AWSは自在にサイジングすることができ、インスタンスは必要なだけ用意することができます。CPUやメモリだけでなくストレージの大きさも自由に決められるだけでなく、電気代をかけずに**24時間稼働**させることができます。

ホームページを運営するユーザも多いですが、*WordpressなどのCMSも活用することが可能*です。その中でセキュリティグループを設定することによって、構築したシステムを守っていくことができます。

ビッグデータなどを取り扱う時には、**外部からアクセスされる**ケースも少なくありません。こうなると様々な攻撃を受けてしまうこともあり、システムが守れなくなってしまうことがあります。

昨今*IoTやビジネスアプリケーションなど*に使われることも多いですが、インバウンドルールなどを適用しながらシステムを守ることが可能です。

### インバウンドルールは各ユーザで登録ができる

*ビッグデータ*を管理したり運用するシステムなどを簡単に構築することができますが、インバウンドルールは各ユーザで対応することになります。追加されるまでは別のホストより送信されるトラフィックについては、**許可されない**ので注意が必要です。

*リソース側でアウトバウンド*について接続が確立されると、自動的に応答パターンを作っていきます。ただし全ポートでトラフィックについては許可が必要なので、追加する際には**漏れなく対応することが重要**です。

### データベースにも活用できるが設定には注意する

*Amazon RDS DBインスタンス*ではデータベース関連の構築を行えますが、長く利用する時にセキュリティグループを活用することができます。データを守る観点では頼りになりますが、**設定確認は常に行った方が理想的**です。

インスタンスがVPCへ移行する時に更新しなければ、*送受信で支障をきたす*ことも考えられます。事前にセキュリティグループの見直しも含めて更新を行い、**円滑にデータベースを利用できる環境作り**を行うことが重要です。
（参考）[AWSを使うメリットとは！使いこなすためのポイントとあわせて紹介](https://business.ntt-east.co.jp/content/cloudsolution/column-02.html)
（参考）[セキュリティグループ: インバウンドルールとアウトバウンドルール](https://docs.AWS.amazon.com/ja_jp/quicksight/latest/user/vpc-security-groups.html)

## セキュリティグループは利用用途によって使い分けることが重要

AWSは無料で使いやすい点が受けていますが、設定を間違えたり実行していないと**セキュリティホールの餌食****になってしまうこともあります。従量課金となっているので、時には外部からDoS攻撃などを受けてしまうと**コストが非常に大きく**なってしまいます。

反対にセキュリティグループの内容を絞りすぎると、システムが十分に稼働しない恐れもあるので検討が必要です。

セキュリティグループは設定は簡単ですが、見方を誤ってしまうと十分に設定することができません。AWSは**専門用語も多数出てくる**ので、しっかりと*キーワード*も勉強しながらセキュリティグループを組んでいくようにしましょう。

AWSは無料でアカウントを作り、クラウド上で料金を支払いながらシステム構築を行えますが、セキュリティホールに巻き込まれないように注意しなければなりません。AWSではセキュリティグループを設定することによって、様々なセキュリティ対策を行うことができます。

AWSは無料でアカウント作成できるが、セキュリティホールの影響も考える必要がある

セキュリティグループはアクセス拒否などの機能を活用することができる

デフォルト設定が既に組まれているが、各システムに合わせるには細かく設定して実行することが必要

AWSでセキュリティグループを組むメリットと注意すべきポイント

*AWSアカウント*はAWSのサービスを利用する際に、**AWS側にアカウント登録をすることで払い出してもらうアカウント**です。アカウントと聞くと、Microsoftの「Active Directory」のように人に紐づくアカウントをイメージしますが、AWSアカウントは賃貸住宅を借りる際の、*借家とマスターキー*のようなものです。マスターキーとなるAWSアカウントは複数持つことも可能です。この*AWSアカウントを取得することで、AWSが提供するさまざまなサービスを利用*することができます。

### AWSアカウントを作成すると何ができる？

*AWSアカウント自体は、無料で作成*できます。AWSのサービスであるAmazon EC2やAmazon S3など、様々な**主要サービスには一定の条件で無料利用枠が設けられており、12ヶ月間それらのサービスを無料で利用することが可能**です。

例えば仮想サーバーを必要とする際には、*Amazon EC2を月間750時間×12ヶ月間の無料利用*が可能です。他、ストレージサービスの*Amazon S3は5GBまでのストレージを12ヶ月*、データベースサービスの*Amazon RDSも12ヶ月間無料で利用*できます。

つまり、*お試し利用からシステム構築まで12ヶ月間はすべて無料で利用*が可能ということです。 

**AWSアカウントの作成には、必要なものがいくつかあります。アカウント登録で戸惑うことがないよう、あらかじめ準備**しておきましょう。

*1.AWSアカウント名*
▪Eメールアドレス…AWSアカウントのルートユーザーのIDとなります。

*2.AWSアカウント名*
 アカウントID数字12桁が払い出されますが、管理しやすいように名前の割り当てができます。

 （ルートユーザー権限があれば後から変更ができます）

*3.連絡先情報*
▪氏名
▪住所
▪電話番号 等

*4.支払情報* （※アカウント作成だけで請求は発生しません）
▪クレジット/デビットカード番号情報
▪請求先住所情報
▪電話もしくはSMS利用が可能な端末（本人確認用途で利用します）

*5.サポートプランの検討*
アカウントの用途や受けたいサポート内容に応じて、必要なプランを選択します。初めての利用で個人であれば、*「ベーシックプラン」を選択*しておけばよいでしょう。（詳細は以下参照）

*▪ベーシックプラン*
▪開発者プラン
▪ビジネスプラン
▪エンタープライズプラン

※プランの詳細は[AWS サポートのプラン比較](https://aws.amazon.com/jp/premiumsupport/plans/)を参照

## AWSアカウントを登録してみよう

AWSアカウント登録の準備が整ったら、実際に登録してみましょう。**数分で登録でき、個人の方でも無料で自身のクラウド環境を手に入れる**ことができます。

AWSアカウントの登録は以下のリンクから行えますので、ぜひ試してみてください。

*Step1: AWS アカウントの作成*
[AWSにサインアップ](https://portal.aws.amazon.com/billing/signup#/start)からAWSアカウントの新規登録を行います。

最初に、Eメールアドレス・パスワード・アカウント名を入力します。**パスワードは8文字以上で、大文字・小文字・数字・記号から最低3種類を選択**します。*AWSアカウント名は自分の名前で構いません*。（例 : Ab12345+）

*Step2: 連絡先情報を入力*
アカウントの種類として「プロフェッショナル」と「パーソナル」があるので、企業や教育機関などはプロフェッショナル、*個人はパーソナルを選択*します。連絡先の項目を全て入力してください。

*Step3: 支払い情報を入力*
クレジットカード情報や請求先情報（連絡先と異なる場合）を入力します。料金の請求はありません。

*Step4: SMS または電話によるアカウント認証*
本人確認のための電話番号を設定します。SMSによるテキストメッセージか、音声通話のいずれかを選択し、リージョンコードが日本（+81）になっていることを確認し、電話番号を入力します。続いて、セキュリティチェック欄に表示されている画像の文字を入力します。次に「SMSを送信する」をクリックすると、**登録した電話番号にSMSで認証コードが送られます。この認証コードを入力すると本人確認が終了**します。

*Step5: サポートプランの選択*
▪ベーシックプラン/開発者プラン/ビジネスプランの選択を求める画面が表示されますので、プランを選択します。

AWSアカウントを作成した後、デフォルトで*ルートアカウントと呼ばれるユーザーが作成されます*。

ルートアカウントは非常に強い権限をもつアカウントで、マネジメントコンソールの操作、API経由での操作などが全て行えてます。**万が一ルートアカウントの情報が漏洩すると、AWS上に構築したシステム環境を完全に乗っ取られてしまい、また個人情報漏洩にもつながり大変危険ですので、きちんと保護しましょう**。

### AWS アカウントのセキュリティ改善10項目

AWSは世界最大のクラウドサービスですが、**利用する側のセキュリティ対策が甘かったり、セキュリティ意識が低かったりするとセキュリティ事故が起こります**。実際にAWSアカウントが乗っ取りに遭い、暗号通貨のマイニングで利用された事件などもあります。

そうしたセキュリティ事故や事件を防ぐために、AWS の情報セキュリティ責任者（CISO）のステファン・シュミット氏が2019年に提唱した「クラウド・セキュリティのための上位10項目」を参考に、*利用者自らがセキュリティ改善に努める必要*があります。以下、10項目を箇条書きでご紹介します。

*①アカウント情報を正しく保つ*
*②多要素認証（MFA）を利用する*
*③シークレットをハードコードしない*
*④セキュリティグループに制限をかける*
*⑤明確なデータポリシーを持つ*
*⑥CloudTrail ログの集約化*
*⑦IAM ロールを確認する*
*⑧Finding/結果に対してアクションをとる*（GuardDutyのみではありません）
*⑨キーをローテーションする*
*⑩開発サイクルに参加する*

詳細は以下、AWSのサイトをご参照ください。

[AWS アカウントのセキュリティを改善するための 10 個の項目](https://aws.amazon.com/jp/blogs/news/top-10-security-items-to-improve-in-your-aws-account/)

**IAM（Identity and Access Management）はAWSのサービスの1つで、「認証」や「認可」の設定が行えます**。*「認証」や「認可」を正しく設定*することによって、AWS利用者やAWSのサービスの*アクセス権限や範囲をコントロール*できます。イメージとしては、MicrosoftのActiveDirectryでユーザーごとに払い出される*ADアカウントと似ています*。IAMは、日本では「アイアム」と発音されることが多いようですが、英語では「アイ・エー・エム」とアルファベットをそのまま発音しています。

IAMの理解の前に、**IAMが行っている「認証」と「認可」の意味ついて確認**しましょう。認証と認可は、似て非なる言葉です。これを分かりやすく述べると以下の違いになります。

　*▪認証→ ID・パスワードにより利用者が本人であるかどうかを確認すること*

　*▪認可→ 認証された利用者にリソースへのアクセスや操作の権限を与えること*

続いて、IAMの機能について説明します。IAMには主に以下の機能があります。

IAMユーザーは、Microsoftの「Active Directoryアカウント」と同様に**利用者個人に紐づくアカウント**です。

それぞれのIAM Userに対しては以下のバスワードやアクセスキーを発行することができます。発行できるのは、いずれも英数字・記号のテキスト情報のみです。

*1.マネジメントコンソールにログインする際に必要となるパスワード*

*2.アクセスキー（Access Key）およびシークレットアクセスキー（Secret Access Key）*

IAMポリシーでは**「AWS上 のどのリソースに対し、どのような操作を許可するか」**という*「操作の権限」*を定めます。

ポリシーは*「IAMユーザー」「IAMグループ」、「IAMロール」にアタッチ*（割り当て）して使い、*アタッチされたそれぞれに権限*が与えられます。

例えば、AWS S3（ストレージサービス）に対して全ての操作ができる権限ポリシーを作成し、IAMユーザーのAさんにアタッチ（割り当て）すると、AさんはAWS S3に対してすべての操作が可能となります。

IAMポリシーは大きく分けて以下**3種類のポリシー**があります。

*▪AWS管理ポリシー*
利用者のアクセス許可割り当てを簡略化するために、AWS側が提供する事前定義された管理ポリシーです。

*▪カスタマー管理ポリシー*
利用者が設定するポリシーのことです。IPアドレス制御などが可能で、AWS管理ポリシーよりも細かい制御が行えます。

*▪インラインポリシー*
インラインポリシーとは、AWS管理ポリシーやカスタマー管理ポリシーよりも細かく、1つのIAMユーザーやIAMロールなどにアタッチする場合に利用します。

AWSの権限がIAMユーザーやIAMグループ、すなわち*「人」に対して割り当て（アタッチ）*されるのに対して、**IAMロールは主にEC2などの「インスタンス」に対して権限を割り当てる仕組み**です。

「人」が行う操作に対する権限はIAMユーザーやグループにポリシーを割り当て（アタッチ）し、*「インスタンス」が行う操作の権限はロールに対してポリシーを割り当て（アタッチ）する*のです。

AWSを利用する上では、セキュリティを保護する上で権限管理が重要であることは理解できたと思います。最後に、**AWS利用において守ってほしいこと**をまとめました。

### ルートユーザーを使うリスク

AWSアカウントは、デフォルトでルートユーザー（ルートアカウント）の権限が付与されます。

*ルートユーザー*は、すべてのリソースにアクセスできるばかりか、アカウント停止などの重要操作を行えるため、普段は*使用を制限*すべきです。**ルートユーザーを使用する代わりに、一般ユーザーには必要なアクセス権限を設定したIAMユーザーを利用してもらう**ようにしましょう。

システムユーザー全員に対し、*個々に付与する権限レベルと認証情報*を設定すると*IAM ユーザー*を作成ができます。それぞれのIAMユーザーが、*いつ・どんな操作をしたのか、ログを取得*することができますので、**必ずシステムユーザーごとにIAMユーザーを1つ付与する**ことが必要です。

そのためには、システムユーザーごとの権限を明確に定義し、必要以上の権限を付与しないよう気を付ける必要があります。

AWSは直ぐに利用できて大変便利ですが、**利用する側が管理を疎かにすると大きなリスクと隣り合わせになる**という問題をはらんでいます。AWS側は、AWSの責任による事故などは補償をしますが、逆に利用者側の責による事故に対して一切補償はしません。*すべて自己責任*です。

さらに、利用者側の不備、不注意でAWSや他の利用者に損害を与えた場合は、利用者側が損害賠償責任を負います。このような*事態を招かないためにも、最低限以下のことはルールと考え、遵守*しましょう。

*1.ルートユーザー（AWSアカウント）は普段は使わない*

*2.利用する人ごとにIAMユーザーを払い出し、必ず払い出されたIAMユーザーを用いてAWSにアクセスする*

セキュリティの記事（2ページ目）