本文へスキップ
BigTree108

クラウドセキュリティサービス

AWS、Azure、Google Cloud向けのクラウドセキュリティサービス：セキュリティアセスメント、CSPMとCNAPPの導入、IAMとアクセスレビュー、Kubernetesとコンテナのセキュリティ、ネットワークとデータの保護、クラウドのコンプライアンスベースライン。クラウドセキュリティエンジニアを専任チームとして御社に加えることも、クラウドセキュリティのプロジェクトを企画から納品まで一貫して請け負うことも可能です。

提供するクラウドセキュリティサービス

  • クラウドセキュリティアセスメント

    AWS、Azure、Google Cloudのアカウントを、CIS Foundations Benchmarksと各プロバイダーのWell-Architected Frameworkのセキュリティの柱に照らして読み取り専用でレビューし、ID、ネットワークへの露出、暗号化、ログ、バックアップを対象に、影響度順に並べたリスクの書面リストとして納品します。

  • CSPMとCNAPPの導入

    Wiz、Microsoft Defender for Cloud、Cortex Cloud、Orca、またはオープンソースのProwlerをすべてのアカウントとサブスクリプションに接続し、検出事項は各リソースを所有するチームに振り分け、攻撃パスはインターネットから到達可能なものを優先して順位付けし、受け入れたリスクはすべて担当者と有効期限付きで記録します。

  • IAMとアクセスレビュー

    未使用のロール、権限、アクセスキーをIAM Access Analyzer、Google CloudのIAM recommender、Entra IDのアクセスレビューで見つけ、常時付与の管理者権限をEntra Privileged Identity ManagementまたはGoogle Cloud Privileged Access Managerによるジャストインタイムの昇格に置き換え、人によるサインインはすべてシングルサインオンとフィッシング耐性のあるMFAに移行します。

  • Kubernetesとコンテナのセキュリティ

    クラスターはkube-benchとKubescapeでCIS Kubernetes Benchmarkに照らして確認し、イメージはレジストリでスキャンしてSigstore cosignで署名し、特権付きまたは未署名のワークロードを拒否するアドミッションポリシーを設け、Falcoが実行中のコンテナのシェル、想定外の接続、変更されたバイナリを監視します。

  • ガードレールとポリシー・アズ・コード

    パブリックなバケット、暗号化されていないディスク、未承認リージョンのリソースを阻止するサービスコントロールポリシー、Azure Policy、Google Cloudの組織ポリシーに加え、プルリクエストにCheckovまたはOPAのポリシーを組み込み、Terraformが適用する前に設定ミスを捕まえます。

  • クラウドのネットワークセキュリティ

    データベースとストレージはプライベートエンドポイント経由でのみ到達でき、アウトバウンド通信はフィルタリングし、公開サービスの前にはDDoS保護付きのAWS WAF、Azure Web Application Firewall、Cloud Armorを置き、社内ツールはVPNではなくIdentity-Aware Proxy、Entra Private Access、Cloudflare Access経由で公開します。

  • データ保護と鍵管理

    バケットとデータベース内の機密データをAmazon Macie、Microsoft Purview、Sensitive Data Protectionで見つけ、KMS、Key Vault、Cloud KMSのお客様管理キーによる暗号化とローテーションを行い、バックアップは、盗まれた管理者アカウントでも削除できないイミュータブルなボールトに保管します。

  • シークレットとワークロードID

    認証情報をコード、変数、イメージからSecrets Manager、Key Vault、Secret Manager、HashiCorp Vaultへ移し、すべてのリポジトリでプッシュ保護付きのシークレットスキャンを行い、パイプラインとサービスはワークロードIDフェデレーションでサインインさせるため、漏えいしうる長期有効なキーが残りません。

  • クラウドのコンプライアンスベースライン

    アカウントをCIS、NIST SP 800-53、PCI DSS、ISO 27001の管理策セットに照らして、AWS Configのコンフォーマンスパック、Azure Policyの規制コンプライアンス、Security Command Centerで継続的に測定し、GDPRやお客様との契約が求める場合は、データをEUのリージョンに保持します。

クラウドセキュリティエンジニアを採用する

  • 専任のクラウドセキュリティエンジニア

    御社のチームにフルタイムで参画し、御社のツールとプロセスの中で働き、御社のリードに報告するクラウドセキュリティエンジニアです。面接は御社が行い、ウクライナでの雇用契約、給与支払い、請求書発行、休暇管理は当社が担います。

  • クラウドセキュリティプロジェクト

    スコープと固定の計画が定まったクラウドセキュリティの一区切りの業務です。当社側の担当リードが成果に責任を持ち、進捗は御社のチャネルで報告します。

  • 継続的なクラウドセキュリティ

    クラウドセキュリティを継続サービスとして提供します。毎月同じメンバーが担当し、優先順位は御社がバックログで決め、稼働時間は当社のポータルと請求書で確認できます。

スペシャリストが御社のチームに参画する方法は専任チームのページで、プロジェクトのデリバリー、引き継ぎ、料金の考え方はアウトソーシングのページで説明しています。

御社のクラウドセキュリティを担当するメンバー

  • クラウドセキュリティエンジニア

    態勢、ID、ネットワーク、データ保護

  • クラウド・DevOpsエンジニア

    Terraformとパイプラインの変更として書かれる修正

  • Kubernetesセキュリティエンジニア

    クラスターのベンチマーク、アドミッションポリシー、ランタイム検知

  • ペネトレーションテスター

    クラウドアカウントとその中のアプリケーションに対する攻撃

  • セキュリティアーキテクト

    ランディングゾーン、ID、ネットワーク設計のレビュー

クラウドセキュリティの進め方

作業は、御社が作成し、いつでも取り消せるロールによる読み取り専用のアクセスから始まり、各フェーズは、攻撃者が到達できるものの順に並べた発見事項で終わります。修正は、御社のTerraform、Bicep、CDKのコードとパイプラインへのプルリクエストとして届くため、変更はすべてレビューされ、再現可能で、誰かがコンソールで設定を変えても元に戻ることがありません。

態勢管理ツールは設定ミスを見つけ、ペネトレーションテストはそれで攻撃者に何ができるかを示し、セキュリティ監視は攻撃の試みを捕まえます。当社はこの3つを結びつけ、リスクの高い発見事項は修正後に再テストし、最もリスクの高い攻撃パスには、御社のSIEMに検知ルールを設けます。当社自身のプラットフォームも同じ規則で動いています。すべてのリソースをTerraformで管理し、フェデレーション認証情報を使うGitHub Actionsとハッシュで固定したアクション、シークレットはKey Vaultのみ、原則拒否のファイアウォール、スケジュールによるドリフト検知です。

その他のクラウド・DevOps・セキュリティサービス

クラウド、DevOps、セキュリティの概要

クラウドセキュリティに関するご質問

クラウドセキュリティエンジニアはどの業界で働いていますか？

主に、クラウドアカウントがPCI DSSとDORAの対象範囲に入るフィンテック・銀行・保険、自社プロダクトをクラウドで運用するサイバーセキュリティ企業、クラウド・ホスティング・通信事業者、チェックアウトと顧客データを守るEコマースと小売、顧客のセキュリティレビューに対応するSaaS企業、患者データを保持するヘルスケアプロダクト、大規模なデータストアとモデルのエンドポイントを持つAI・データプロダクト、工場データをクラウドに接続する産業・エネルギー企業です。

クラウドセキュリティアセスメントはペネトレーションテストと同じですか？

いいえ。アセスメントは、読み取り専用のアクセスで内側から設定を読み、すべてのアカウントにわたって何が誤設定されているかを見つけます。ペネトレーションテストは、書面の許可のもと、外側からアプリケーションとアカウントを攻撃し、実際に何が悪用できるかを示します。多くのお客様がアセスメントから始め、最もリスクの高い経路のテストに進みます。当社はどちらも実施しています。

どのCSPM・CNAPPツールに対応していますか？

各クラウドに付属するMicrosoft Defender for Cloud、AWS Security Hub、Google Security Command Center、複数のクラウドを1つのコンソールで扱えるWiz、Cortex Cloud、Orca、ライセンスなしでCISチェックを実行できるオープンソースのProwlerです。どれをお選びになっても、導入、チューニング、運用を行い、修正は御社のインフラコードに置きます。

クラウドセキュリティエンジニアは、どのくらいで開始できますか。

適任のクラウドセキュリティエンジニアがすぐに対応可能な場合、開始までの条件は、御社の面接と、NDAおよび知的財産権の譲渡契約の締結のみです。そうでない場合は人材を探索し、通常は2〜3週間以内に候補者のプロフィールをお出しします。御社が承諾するまで、誰も業務を始めません。

BigTree108を通じてクラウドセキュリティエンジニアを採用するには、どうすればよいですか。

必要な業務内容、シニアリティ、稼働時間をお知らせください。1〜2名の候補者をプロフィールとともにご提案し、御社が自社で採用する場合と同じ形で面接を行います。契約はBIG TREE 108 LLCとの1本、請求書は月1通です。

成果物の権利は、誰に帰属しますか。

御社です。すべてのスペシャリストはBigTree108と署名済みの契約を結び、成果物のすべてを会社に帰属させています。さらに、御社との契約により、その権利は御社に引き継がれます。コード、デザイン、ドキュメントは、当社だけが変更できる場所ではなく、御社のリポジトリとツールに納品します。

クラウドアカウントのレビューをご希望ですか？

利用しているクラウド、運用しているアカウントまたはサブスクリプションの数、準備している監査やお客様のレビューをお知らせください。1営業日以内に、アセスメントの範囲、作業の計画、または候補者のプロフィールをお返しします。

hello@bigtree108.comにメールする対応の流れ