Cloud Security Alliance 安全なサーバーレスアーキテクチャを設計するには at 2022.02.01

こんにちは、丸山満彦です。

Cloud Security Allianceが、「How to Design a Secure Serverless Architecture」の翻訳版である「安全なサーバーレスアーキテクチャを設計するには」を公開していますね。。。

日本語できっちりと出してくれるとありがたいですね。。。

● Cloud Security Alliance

・2022.02.01 How to Design a Secure Serverless Architecture - Japanese Translation

---

他のソリューションと同様に、サーバーレスコンピューティングは様々なサイバーリスクをもたらします。本ドキュメントでは、サーバーレスアプリケーションをセキュアにするためのベストプラクティスと推奨事項を紹介しています。さまざまな脅威を幅広く紹介し、サーバーレスプラットフォームがさらされるアプリケーションオーナーのリスクに焦点を当て、適切なセキュリティ対策を提案しています。

本ドキュメントは、読者が、コーディングの実践、セキュリティとネットワークの専門知識、およびアプリケーションコンテナ、マイクロサービス、関数、アジャイルアプリケーション開発に関する知識をある程度持っていることを前提としています。

---

・[PDF] 簡単な質問に答えるとダウンロードできます

目次です。。。

エグゼクティブサマリ

1. はじめに
目的と範囲
対象読者

2. サーバーレスとは

3. なぜサーバーレスなのか
3.1 サーバーレスアーキテクチャの利点と効果
3.2 サーバーレスの責任共有モデル
3.3 サーバーレスが適切なのはどのような場合か

4. ユースケースと事例

5. サーバーレスのセキュリティ脅威モデル
5.1 サーバーレス - 全く新しいセキュリティ？
5.2 サーバーレスの脅威の状況
 5.2.1 主な脅威分野 
 5.2.2 アプリケーションオーナー セットアップフェーズの脅威
 5.2.3 アプリケーションオーナー デプロイフェーズの脅威
 5.2.4 サービスプロバイダの行為の脅威
5.3 脅威モデル - アプリケーションオーナーのための25のサーバーレス脅威
5.4 サーバーレスの脅威の独自性
 5.4.1 アプリケーションオーナーのセットアップフェーズの脅威（参照：5.3（A）
 5.4.2 アプリケーションオーナーのデプロイメントフェーズの脅威（参照5.3(B)）
 5.4.3 サービスプロバイダのデプロイメント上の脅威（参照：5.3(C)）

6. セキュリティのデザイン、コントロール、ベストプラクティス
6.1 サーバーレスの設計上の注意点
 6.1.1 サーバーレスプラットフォームのデザインがサーバーレス・マイクロサービス・セキュリティに与える影響
6.2 FaaSのコントロール
6.3 CI-CDパイプライン、ファンクションコード、コードスキャン、ファンクションとコンテナのポリシーの実施
6.4 コンテナイメージベースのサーバーレスのための差分/追加コントロール
 6.4.1 コンテナイメージベースのサーバーレスサービスにアクセスするためのAPIアクセスの管理
 6.4.2 コンテナイメージをベースにしたサーバーレスな設定とポリシーの実施
 6.4.3 ベースイメージの管理とセキュリティ強化
 6.4.4 Kubernetesの設定とサービスメッシュポリシーの実施
 6.4.5 アクセス管理コントロール
 6.4.6 Kubernetesリスクとコントロール
 6.4.7 追加のセキュリティ
6.5 コンプライアンスとガバナンス
 6.5.1 サーバーレスのためのアセットマネジメント
 6.5.2 サーバーレスガバナンス
 6.5.3 コンプライアンス

7. サーバーレスセキュリティの未来像
7.1 サーバーレスの未来への布石
 7.1.1 サーバーレスへの動き コンテナイメージベースのサーバーレス
 7.1.2 仮想化の変化
 7.1.3 FaaSの進化
7.2 サーバーレスのセキュリティ
7.3 データプライバシーのためのサーバーレスの進歩

8.結論

Appendix 1:Acronyms
Appendix 2: Glossary

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2021.09.15 Cloud Security Alliance 安全なサーバーレス・アーキテクチャをどう設計すればよいか