国産CNAPP「Cloudbase」、AWS向けコンプライアンス「PCI DSS v4.0.1」への対応および関連設定ミス診断項目を追加

Cloudbase株式会社は、クラウドセキュリティプラットフォーム「Cloudbase」において、AWS環境を対象とした最新の国際セキュリティ基準「PCI DSS v4.0.1」への対応を開始しました。キャッシュレス決済の普及に伴い、より高度なセキュリティ管理が求められる中、日本企業の皆様が最新基準に則った安全なクラウド運用を迅速に実現できるよう支援いたします。

本アップデートにより、新たに6項目の診断項目を追加するとともに、既存の136項目をPCI DSS v4.0.1にマッピングし、より最新の国際基準に基づいたセキュリティ評価が可能となります。

開発背景

Cloudbaseでは、金融機関をはじめとするお客様に向けて、クレジットカード情報を保護するための国際セキュリティ基準「PCI DSS」に準拠したコンプライアンスチェック機能を提供してきました。

従来の「PCI DSS v3.2.1」はすでに旧バージョンとなり、最新のリスクに対応しきれないという課題をお客様から伺っていました。Cloudbaseでは、基準を満たすこと（Compliance）だけでなく、実効的なリスク排除（Security）を重視しています。 最新のv4.0.1に即応することで、お客様が迷いなく「今、取り組むべきリスク」を特定し、本質的な安全性を確保できる環境を目指しました。

アップデート内容

1.新規診断項目の追加（6項目）

AWS Security Hubのコントロールに基づき、以下の診断項目を新たに追加しました。

AWS Security Hub上のコントロール番号	AWS Security Hub 上の重要度	Cloudbase上のカテゴリ	Cloudbase上のタイトル	Cloudbase上の重要度	重要度変更理由
Inspector.1	HIGH	Inspector	Amazon InspectorでEC2スキャンが有効になっていない	INFO	Cloudbaseが提供するワークロード保護（CWPP）機能にて詳細な脆弱性管理が可能なため、運用負荷を考慮し、本項目での通知優先度を最適化しました。
Inspector.2	HIGH	Inspector	Amazon InspectorでECRスキャンが有効になっていない	INFO	上に同じ
Inspector.3	HIGH	Inspector	Amazon InspectorでLambdaコードスキャンが有効になっていない	INFO	上に同じ
Inspector.4	HIGH	Inspector	Amazon InspectorでLambda標準スキャンが有効になっていない	INFO	上に同じ
RDS.36	MEDIUM	RDS	CloudWatch LogsにPostgreSQLログを発行していないRDS for PostgreSQL DBインスタンス	MEDIUM
S3.15	MEDIUM	S3	オブジェクトロックが有効化されていないS3バケット	MEDIUM

2.既存診断項目のマッピング（136項目）

既存の診断項目のうち、136項目をPCI DSS v4.0.1に対応する形でマッピングしました。 これにより、従来の設定リスク検出結果をそのまま最新のコンプライアンス基準に紐づけて評価することが可能になります。

（※以下、一部抜粋）

AWS Security Hub上のコントロール番号	Cloudbase上のカテゴリ	Cloudbase上のタイトル	Cloudbase上の重要度
ACM.1	ACM	有効期限の迫ったACM証明書	INFO
ACM.2	ACM	キー長 2048 ビット未満のRSA証明書	HIGH
CloudTrail.3	CloudTrail	CloudTrailの証跡が存在しない	HIGH
CloudTrail.6	CloudTrail	パブリック公開されたCloudTrailバケット	CRITICAL
EC2.8	EC2	安全でないEC2インスタンスメタデータサービスの利用	HIGH
IAM.5	IAM	MFAが有効化されていないIAMユーザー	HIGH
Lambda.1	Lambda	パブリックアクセス可能なLambda関数	CRITICAL
RDS.2	RDS	パブリックアクセスが有効化されたRDSインスタンス	HIGH
S3.5	S3	HTTPでの通信を許容しているS3バケット	HIGH

※全項目はCloudbase上でご確認いただけます。

期待される効果

本アップデートにより、AWS環境におけるPCI DSS準拠状況を最新基準に基づいて継続的に可視化・評価できるようになります。

最新のPCI DSS v4.0.1に基づいた準拠状況の把握 設定ミスやリスクの早期発見と優先度に基づく対応 クラウド環境における継続的なコンプライアンス運用の効率化

Cloudbaseは今後も、クラウド環境におけるセキュリティリスクの可視化と、実践的なリスク管理の実現を支援してまいります。

各社の商標帰属表示についてはこちらをご参照ください。

Cloudbase株式会社について

エンジニアとしてのバックグラウンドを持つ代表岩佐が2019年に創業したスタートアップ企業です。AWS・Microsoft Azure・Google Cloud・Oracle Cloudといったマルチクラウド環境におけるリスクを統合的に監視・管理できるセキュリティプラットフォーム「Cloudbase」を提供しています。クラウドのみならずオンプレミス環境も含め、企業のインフラ資産全体を横断的に可視化し、セキュリティリスクの継続的な管理を支援しています。

会社概要

社名：Cloudbase株式会社

代表取締役CEO：岩佐晃也

事業内容：クラウドセキュリティプラットフォーム「Cloudbase」の開発

本社所在地：東京都港区三田3-2-8 THE PORTAL MITA 2F

設立： 2019年11月

企業HP：https://cloudbase.co.jp/