9. 9(セキュリティに関する)設計原則
• Implement a strong identity foundation(強固な認証基盤)
• Enable traceability(トレーサビリティの担保)
• Apply security at all layers(全てのレイヤーの保護)
• Automate security best practices(自動化)
• Protect data in transit and at rest(保存・転送時のデータ保護)
• Keep people away from data(人からデータを遠ざける)
• Prepare for security events(セキュリティイベントに備える)
65. 65組織要件、法的要件、コンプライアンス要件に関する最新情報を入手する
例:PCI DSS 4.0のリリース準備中
• 主要な変更点
• Authentication, specifically consideration for the NIST MFA/password guidance
(パスワード要件)
• Broader applicability for encrypting cardholder data on trusted networks
(信頼できるネットワーク内での通信暗号化)
• Monitoring requirements to consider technology advancement
(監視)
• Greater frequency of testing of critical controls; for example, incorporating some
requirements from the Designated Entities Supplemental Validation (PCI DSS Appendix A3)
into regular PCI DSS requirements.
(補足要件を通常要件へ移行)
113. 113伝送中に暗号化を適用する
要件に応じて以下のような実装も検討
• CloudFrontからカスタムオリジン間を暗号化
• CloudFront とカスタムオリジンとの間の通信に HTTPS を必須にする
• https://docs.aws.amazon.com/ja_jp/AmazonCloudFront/latest/DeveloperGuide/using-
https-cloudfront-to-custom-origin.html
• RDSとの通信を暗号化
• Using SSL/TLS to Encrypt a Connection to a DB Instance
• https://docs.aws.amazon.com/AmazonRDS/latest/UserGuide/UsingWithRDS.SSL.html