CSPMの自動化でクラウド セキュリティをどのように向上できるか

クラウド環境の急速な成長と複雑化に伴い、組織はさまざまなセキュリティ脅威のリスクにさらされるようになっています。クラウド セキュリティ ポスチャ管理（CSPM）は、組織がクラウドのセキュリティリスクを継続的にモニタリング、特定、修正するためのプロセスです。CSPMにおける自動化の活用は、組織のクラウド インフラストラクチャのセキュリティとコンプライアンスを確保するうえで極めて重要です。 CSPMの主要コンポーネントは、継続的なモニタリング、問題の修正、コンプライアンス管理、アラートと通知といった中核的なタスクの自動化です。CSPMにロボティック プロセス オートメーション（RPA）を統合することで、反復的で平凡な作業を行う必要性を減らすことができ、組織にとって、クラウド環境の安全性と効率化、全体のセキュリティ態勢のサポート、セキュリティ リスクの管理をより効率的に行う強力なツールになります。 クラウド セキュリティにCSPMが欠かせない理由 クラウド環境は、Dockerコンテナ、エンドポイントAPI、Kubernetesノードなどのリソースや、サーバーレス機能のデプロイにより複雑化しています。組織は、基盤となるインフラストラクチャの制御を維持し、可視化することが困難な場合があります。特に、各リソースのアクセス権を構成および管理する場合には、難易度が高くなります。 [キャリアアップにはトップレベルのセキュリティ認定資格を：対象者、費用、必要な資格| CSOニュースレターにご登録ください ] CSPMは、これらの課題に対処し、クラウド セキュリティの態勢を強化するために不可欠なツールです。一般的に、クラウドファースト戦略を優先し、ベスト プラクティスに従ってリスクを最小限に抑えながらクラウド テクノロジーの利点を活用したいと考える企業が採用しています。 自動化機能が組み込まれているCSPMは、クラウド インフラストラクチャを常時モニタリングすることでDevSecOpsの取り組みを支援および効率化します。主な利点は、以下に示すように、誤った構成を迅速に検出して対処できるため、企業がコンプライアンスの維持に先手を打てることです。 潜在的なリスクが特定されると、CSPMは是正措置を講じる機能を提供します。これには、セキュリティ パッチの適用や、セキュリティ標準を満たすためのリソースの構成など、問題の自動修復も含まれます。また、組織内の関係者にアラートと通知を送るので、必要な措置を講じることもできます。 CSPMのもう一つの重要な利点は、規制遵守の維持です。多くの組織は、HIPAA、PCI DSS、GDPRなどの規制の対象となる業種で事業を運営しています。CSPMは、組織がコンプライアンス違反のリスクにさらされる可能性のある構成ミスや脆弱性を継続的にモニタリングし、修正するために必要な措置を講じることで、組織のクラウド環境がこれらの規制に確実に準拠できるようサポートします。 CSPMは組織にクラウド環境全体の一元的な可視性も提供します。これには、すべてのリソースと構成の概要の把握、クラウド リソースの信頼できる唯一の情報源の提供、セキュリティの死角の排除が含まれます。 クラウド セキュリティの自動化で企業が得るメリット  CSPMの自動化は、組織のクラウド環境における潜在的な脆弱性や構成ミスを継続的にモニタリングして特定し、それらを修復するために必要な措置を講じるように設計されています。こちらに、クラウド セキュリティ態勢の強化に活用できる、CSPMにおける自動化の主要機能をいくつか紹介します。 継続的なモニタリング：CSPMの自動化により、クラウド環境の継続的なモニタリングが可能になります。これには、ソース クラウド プロバイダやセキュリティ ツールからのデータ収集、分析による潜在的な脆弱性や構成ミスの特定が含まれます。自動化されたモニタリングにより、組織は潜在的な脅威を迅速に検知して、対応することができます。 自動修復：CSPMの自動化により、潜在的な脆弱性や構成ミスが確認された場合、組織は自動的に修正を行うことができます。これには、セキュリティ パッチの適用、セキュリティ基準を満たすためのリソースの構成、リスクがあると判断されたリソースのシャットダウンが含まれます。 コンプライアンス管理：CSPMは、組織がコンプライアンス違反のリスクにさらされる可能性のある構成ミスや脆弱性を継続的にモニタリングし、必要な措置を講じることで、HIPAA、PCI DSS、GDPRなどの規制へのコンプライアンスを確保できるようにします。 一元的な可視化：CSPMの自動化により、組織はクラウド環境を一元的に可視化できます。これには、すべてのリソースと構成の概要を把握すること、クラウド リソースの信頼できる唯一の情報源の提供、セキュリティの死角の排除が含まれます。 アラートと通知：CSPMの自動化により、潜在的な脆弱性や構成ミスが検出された場合、組織内の関係者にアラートと通知が届きます。これにより、組織は問題を解決するために必要な措置をできるだけ早急に講じることができます。 ロボティック プロセス オートメーション（RPA）：RPAは、CSPMにおける反復的で平凡な作業を自動化できるようにします。RPAにより、セキュリティ アラート、セキュリティ ポリシーの更新、コンプライアンス チェックなどに迅速に対応できます。 自動化はCSPMの重要なコンポーネントであり、組織はその機能を活用してクラウド セキュリティ態勢を向上させることができます。継続的なモニタリング、自動修復、コンプライアンス管理、一元的な可視化、アラートと通知、RPAにより、CSPMは組織のクラウド インフラストラクチャのセキュリティとコンプライアンスを維持し、組織全体のセキュリティ態勢をサポートする強力なツールになります。 Cloud Security, Data Center Automation Read…

クラウド費用管理ツールトップ17

クラウド サーバーにはほとんど費用はかからないと言われていたのがつい昨日のように感じられます。ラックをソファーのクッションの裏に落ちている小銭のような少額でレンタルし、それでもアイスクリーム サンドを買えるくらいのお金が残りましたが、 そのような時代はとっくに終わってしまいました。毎月のクラウド請求書が届くと、CFOは頭を抱えています。開発チームは、わずかな額でも積み重なれば（場合によっては予想以上に早く）大きな額となることを学び、なんらかの規律を取り入れる時期が来たことを痛感しています。 クラウド コスト マネージャーがその解決策となります。クラウド コスト マネージャーは、すべての請求書を追跡し、その蓄積に責任を持つさまざまなチームに割り当てます。そうすることで、過剰なストレージやサーバー時間を必要とする複雑な機能を追加し過ぎたグループは、その浪費を説明する必要が出てきます。RAMやディスク容量を使いすぎない優秀なプログラマーは報酬を受けることができます。 小規模でシンプルな構成のチームであれば、クラウド企業のストック型サービスで何とかなるでしょう。現在、多くのCIOにとってコスト抑制は大きな課題であり、クラウド企業もそれを理解しています。請求額が膨れ上がる前に知らせてくれる会計ツールやアラームが追加されるようになりました。三大クラウドについては、Azure Cost Management、Google Cloudの費用管理、AWS Cloud Financial Managementのツールをご覧ください。 クラウドへのコミットメントが大きくなればなるほど、独立したコスト管理ツールが重要になってきます。これらのツールは複数のクラウドと連携し、データを統一して使いやすいレポートを作成できるように設計されています。また、レンタル サーバーと自社サーバー ルームのコストを比較できるように、オンプレミスで稼働しているマシンを追跡しているものもあります。 多くの場合、クラウド コスト マネージャーは、最終的な収益をモニタリングするだけでなく、セキュリティなど他のルールを適用するために設計された大規模なスイートの一部となっています。クラウド制御ツールとして直接販売されていないものもありますが、この問題の解決に役立つものとして発展しています。エンタープライズ アーキテクチャの調査やソフトウェア ガバナンスを管理するツールの中には、コストを同時に追跡できるようになったものもあります。これらのツールは、目的に特化したクラウド コスト ツールと同じように、コスト削減の機会を提供でき、他の管理の面倒な作業もサポートします。 以下は、優れたクラウド コスト追跡ツールをアルファベット順にリストアップしたものです。企業経営者がクラウド料金を把握する必要性を認識しているなか、この領域は急速に拡大しています。これらはすべて、世界中に広がる可能性のある、急成長中のサーバー インスタンスの世界を管理するのに役立ちます。 Anodot Anodotのクラウド モニタリング ツール コレクションの最初のジョブは、さまざまなサービスやアプリケーションからデータのフローを追跡することです。ユーザーに影響を与えるような異常や不調があれば、フラグを立てます。複数のクラウドにまたがるインスタンスやポッドの費用を追跡することは、この大きなジョブの一環です。ダッシュボードでは、各マイクロサービスやAPIを調査し、高需要時や低需要時にその稼働を維持するために費用がいくらかかるかを判断するためのインフォグラフィックスが生成されます。このような詳細な情報により、費用のかかるワークロードを発見し、それらを取り除く方法を見つけることができるようになります。 特筆すべき機能： より広範なモニタリング システムと統合し、優れたカスタマー エクスペリエンスをリーズナブルな価格で提供 統合や再販のためのホワイトラベル プラットフォームとして利用可能 AppDynamics Kubernetes環境におけるコンテナの追跡と抑制が、CiscoのAppDynamics（旧称Replex）の目標です。このツールは、パブリック クラウドやローカルで稼働しているクラスタが正しく動作しているかどうかをモニタリングする、より大きなシステムの一部となりました。コスト追跡は、常に統計を収集し、異常をモニタリングするシステムのほんの一部にすぎません。重要な報告プロセスの一つは、毎月の請求書の内容を誰もが理解できるように、コストを該当するチームに遡って請求することです。また、AppDynamicsは独自の機械学習エンジンを提供し、過去のデータを効率的なデプロイのためのプランに変えることができます。ポリシー制御レイヤは、チームが必要なものにはアクセスできるが、必要ないものにはアクセスできないように、きめ細かく制限します。 特筆すべき機能： コスト管理をアプリケーション全般のモニタリングと統合 ソフトウェア スタックのすべてのレイヤのユーザー エクスペリエンスとビジネス成果をつなぐ Apptio Cloudability Apptioは、ITショップを管理するための大規模なツール コレクションを作っており、Cloudabilityはクラウド コストを扱うためのツールです。このツールは、使用中のさまざまなクラウド インスタンスを分析し、会計処理のためにチームに割り当てます。理想は、提供されるレポートやダッシュボードを使用してチームが自らのコストを管理し、将来の使用量を予測できるようになることです。たとえば、CloudabilityのTrue Cost…

A guide to hybrid cloud deployment for innovation without disruption

Contact center platform vendors are bringing more cloud offerings to market, but not every organization is ready to transform with a move completely off-premises: Some prefer to keep certain workloads nearby (ex: 40% prefer to keep analytics and data deployment on-premises, according to new research from Ventana). Others – especially large enterprises that operate in…

クラウドを成功させるためのIT変革

Halfords GroupのCIOであるNeil Holden氏は、同社がクラウド化を進めるにあたり、ITオペレーションを単に「リフト＆シフト」する以上のことを実現しようと考えました。 Holden氏は、多くのCIOがそうであるように、クラウドの利用を拡大することで会社の変革のアジェンダの実現と形成を図ろうとしており、その目的を達成するためには、技術スタックだけではなく、自社のIT部門も変革しなければならないことを認識していました。 「いかなる種類のクラウド導入でも、必ず自社のIT（部門）の構造を見直す必要があります」とHolden氏は言います。「ITは今、クラウドのためだけではなく、クラウドがビジネスにとってどのような意味を持つかということを考慮した、これまでとはまったく違った運用が必要なのです。」 そこで、英国最大の自動車とサイクリング製品の小売業者であるHalfordsで2017年からCIOを務めるHolden氏は、同社の技術チームを再編する戦略を打ち出しました。再編は、会社全体のクラウド戦略の考案中に行なわれました。それが、クラウドが提供する機能とクラウドが実現できるビジネス機会を社員が確実に享受できるようにするための最善の方法であると考えたからです。 「達成するには、適切な体制を整える必要があります。クラウドにただモノを置いておくだけでは、その投資を（最大限に）活用できないからです」と同氏は説明します。 CIOならびに研究者、コンサルタント、顧問は、クラウド コンピューティングから最大限の利益を得るには、仕組みや従業員の編成など、IT部門そのものを変える必要があるという点で意見が一致しています。 そうでなければ、IT部門は単にサーバーの場所を自社のデータセンターから第三者のデータセンターに移行するだけで、クラウド導入によって可能となるイノベーション、トランスフォーメーション、TTM（市場投入までの時間短縮）を逃してしまうリスクがあると指摘します。 「オンプレミスからクラウドに同じスキルとチームを投入することはできません。それが失敗の元となります」とTata Consultancy Servicesのバイス プレジデント兼北米クラウド トランスフォーメーション担当責任者であるSushant Tripathi氏は言います。その代わりに、CIOはクラウドが提供するあらゆる機能を駆使するために、ITの再トレーニングと再編成を行う必要があると同氏は説明します。 ここでは、4人のITリーダーが、この課題にどのように対処したかをご紹介します。 直線的なプロセスからの脱却 Holden氏による再編では、直線的なソフトウェア開発、直線的なプロジェクトのプロセス、そしてその直線的な仕事の進め方に対応した部署のチーム体制の排除にある程度の重点を置きました。 「体制をまるごと変えました」と同氏は言います。 これまで、HalfordのIT部門は通常、ビジネス分析、ソリューション デザイン、インフラストラクチャなどの個別のチームで構成されていました。その体制のもとで、業務は一つのチームから次のチームへ、順番に移っていきました。 「誰かが企業と話をして、要件を設計チームに渡し、その後デリバリー チームとインフラストラクチャ チームに渡します」とHolden氏は言い、各チームがそれぞれ単独で作業を進め、各チームの成果物やタイムラインを明確にして合意したと説明します。「今では、そのすべて（の作業）が反復的デリバリーを伴うアジャイルなサークル内で起こるので、直線的なプロセスはすべて一緒に消え去りました」。 では、どのように実現したかを説明しましょう。Holden氏は、クラウド統合エクスペリエンスを導入し、同氏が取り入れたアジャイル手法のトレーニングにクラウド アーキテクトを雇いました。また、既存のスタッフにクラウドのスキルやアジャイル手法のトレーニングも行いました。さらに、ITチームと連携するためのアジャイル コーチを雇用しました。そして、個別の独立したチームを解体し、プロダクト所有者、ビジネス アナリスト、ソリューション アーキテクト、フロントエンド開発者、バックエンド開発者、テスターで構成されるScrumチームを作成しました。 新しいScrumチームは、直線的ではなく、反復的に作業することで、新機能の提供を加速し、ITとビジネス全体が会社のクラウド投資を活用できるようにしました。 「この変革の大きな特徴は、クラウドだけでなく、人の心も変えることでした。そのため、トレーニングに非常に力を入れました」と語るHolden氏は、2021年後半に、この新体制へのほぼ完全な切り替えを取り仕切ったとも言います。 Holden氏は、この組織再編の価値を、チームのより迅速な対応力に見い出していると述べています。同氏の計算では、再編されたITチームが42日間で作成およびデプロイしたあるプロジェクトは、従来のIT部門だったら完成に152日かかったはずです。 クラウドの人材を発掘するためのコアとチャプター アリゾナ州立大学（ASU）のCIOであるLev Gonick氏も同様に、クラウドがもたらす機会をより的確に捉えるためにITチームを再編成しました。 その再構築は、すぐにはできなかったとGonick氏は言います。ASUは10年前に実験的にクラウド化への取り組みを始め、その後、2017年にGonick氏がCIOに就任すると、より戦略的で積極的なクラウド導入に踏み切りました。ASUは現在、ワークロードの約85%をクラウドで運用しています。 Gonick氏は、ビジネスニーズに対応し、大学の成長に合わせて拡大できるようにアジャイルでいるためには、チームが変わらなければならなかったと言います。同氏の解決策は、「組織を根本からフラット化する」ことでした。 「私にとってはいちかばちかの賭けでした」とGonick氏は振り返ります。この変更を行うことを決定したのは、コロナ禍の初期でした。「縦割りのチームの代わりに、大規模なソフトウェア開発ショップで言うところの一連の『コア』を作成しました。」 Gonick氏によると、これらのコアは「迅速に再構成が可能な人材のプール」であり、それぞれが5つの特定の分野に注力しています。チームとその作業の大部分は、5つのコアを中心に構成されており、それらは一般的な慣行に基づいたプロフェッショナル開発コミュニティであると同氏は説明します。エンジニアリング、サービス提供、プロダクトとプログラム、データとアナリティクスの4つのテクニカルコアがあり、5つ目のコアは学習体験に関連するものです。 プロダクトとプログラムのコアのマネージャーは、Gonick氏が作業グループになぞらえるチャプターで一緒に作業するにあたって適切な人材の組み合わせを提案します。たとえば、エンジニアリングのチャプターは30あります。 「なぜこのようなことをしたかというと、クラウドが与えてくれる機会に対応するためです」と同氏は説明します。この組織構造により、ITプロフェッショナルは「嫌な仕事を強いられ、同じツールを使用して日々作業する」のではなく、多様なプロジェクトに取り組むことで、才能を伸ばし、発揮することができるとも言います。 同氏は続けます。「まさに人間の才能を引き出すことが目的でした。これは私の個人的な見解ですが、企業の技術チームのほとんどは、階層的な体制に縛られており、多くの才能ある人材が息苦しさを覚えています。ほとんどの（プロフェッショナルな）人たちは、幅広い知識を持っていますが、それを探求し、共有し、構築する機会がほとんどありません。しかし、この体制のおかげでチームはプロフェッショナルなコミュニティとして成長し、自分たちのチームだけではなく、ビジネスにも大いに関与する機会を得ることができます。」 クラウドを成功させるためのチームの一元化 ASUと同様、Liberty Mutual Insuranceもこの10年間にわたりクラウド化への取り組みを続けてきました。実験的な利用から始まり、「市場投入のスピードを上げ、コストを下げ、機能のオンとオフを柔軟に使い分ける」ことができるよう、6年前から全面移行したとMonica Caldas氏は言います。同氏は、2018年からLiberty Mutualで2つのIT幹部職を務めた後、1月に執行副社長兼グローバルCIOに就任しました。 Liberty Mutualのクラウド化の過程で、IT部門のリーダーはオンプレミス環境からクラウド環境に移行するために必要な人材とスキルの育成に重点を置いてきた、とCaldas氏は言います。「誰もが役割を担う、大規模な変革になりました。」 その一環として、Liberty Mutualのインフラストラクチャ チームは、長年管理してきた膨大なハードウェアを維持する必要がなくなったため、再構築の必要がありました。インフラストラクチャ チームは、再構築されるのではなく、会社全体に活用できるクラウド機能に焦点を当てたグローバルな使命を担う、一元化されたデジタル…

Transition Troubles: Successfully Getting from Here to There

Compelling insights shared at CIO’s roundtable events lead to excellent information sharing and learning among all attendees. During a recent program, attendees shared their collective challenges with visibility into critical issues that vendors often overlook, leaving IT professionals to resolve them. An excellent example is the transition process to new solutions or platforms. Many innovative…

Solving 3 key IT challenges to unlock business innovation

CIOs live it every day. The pace of technological change is lightning-fast. Savvy CIOs navigate this by learning, deciding and taking action with incredible agility and speed. To do that, IT leaders must architect IT infrastructure that enables cloud-like agility and speed across diverse environments. But they can’t go it alone. That’s because there are…

CIOs seek efficiencies as uncertain economy looms

Efficiency, always a top concern of IT leaders, is the subject of heightened focus in 2023, thanks to ongoing inflation and the threat of recession. Expenditures for cloud services in particular are coming under close scrutiny, at a time when cloud spending is nearly half of many IT budgets. “As more and more workloads migrate…

The DR essential IT leaders can’t overlook

Several years ago, an earthquake struck a West Coast community and threw almost everyone’s data center offline. There were regional electrical outages and communications disruptions, and systems failed. It’s a vivid memory because I was the CIO of an area financial institution at that time. We went into disaster recovery failover mode, with everyone in…

What’s next for network firewalls?

Firewalls have come a long way from their humble beginnings of assessing network traffic based on appearance alone. Today’s next-generation firewalls (NGFWs), which must protect all areas of enterprise, can filter layer 7 applications, block malicious attachments and links, detect known threats and device vulnerabilities, apply patching, prevent DDoS attacks, and provide web filtering for…

Today’s quantum-inspired approaches for ROI

Quantum computing will change the world — the industry has rightfully accepted this as fact. However, until it does, we must contend with some limitations in the noisy intermediate scale quantum (NISQ) era machines we have today. Many use cases allow us to show customers how to solve complex business problems with actual NISQ quantum computers. Still,…