経営幹部はセキュリティ文化の水準をどのように設定するのか

Clarke Rodgers:
AWS ではセキュリティが最優先事項だとよく言っていますが、実際、どのように確約しているのでしょうか? まず、最高経営陣の賛同を得て、組織全体でセキュリティ文化を構築することから始まります。

こんにちは、AWS の Director of Enterprise Strategy の Clarke Rodgers です。Executive Insights では AWS のセキュリティリーダー達との対話シリーズでガイド役を務めています。

本日は、Sara Duffer をお迎えしています。以前担当していた Amazon CEO のテクニカルアドバイザーとしての役割のおかげで、Sara の Amazon セキュリティに対する理解の深さは並大抵ではありません。Sara がセキュリティリーダーとテクニカルアドバイザー両方としての経験から学んだ事柄を一緒に伺っていきましょう。どうぞお楽しみください。

Clarke Rodgers:
Sara、本日はお越しいただき、ありがとうございます。

Sara Duffer:
ありがとうございます。お話しできてとてもうれしいです。

Clarke Rodgers:
AWS でのあなたのキャリアと現在の役割について少し教えていただけますか?

Sara Duffer:
私が AWS に来てから 13 年がたちます。当初は AWS インフラストラクチャチームに所属していて、多くの時間をデータセンターで過ごしました。その後すぐに、当時は非常に小さかったコンプライアンスチームに移りました。このチームが AWS のセキュリティ保証チームになったのです。

Clarke Rodgers:
いつもセキュリティ関連の仕事をしていたのですか? それとも、AWS に来て初めてセキュリティに携わったのでしょうか?

Sara Duffer:
以前からセキュリティに関わっていました。大学卒業後にキャリアをスタートし、すぐに攻撃と侵入に関する仕事に就き、物理的なセキュリティ、組織への合法的な侵入に関する仕事が最初でした。その後、セキュリティソリューションを実装する方向に移っていきました。実際に、見つけた問題を解決するのですが、こちらの方が楽しく、最終的には AWS に転職することになりました。

Clarke Rodgers:
あなたのセキュリティ経歴はそのままでも十分にすばらしいのですが、AWS と Amazon ではとてもユニークな別の役割を担っておられましたね。テクニカルアドバイザーという役割です。テクニカルアドバイザーとは何か、何をする役割なのかについて、少し説明していただけますか?

Sara Duffer:
私がテクニカルアドバイザーの役割に就いたのは、2020 年 11 月でした。それは、当時 AWS の CEO であったアンディー ジャシーのテクニカルアドバイザーでした。言うまでもなく、アンディーはこの後 Amazon の CEO に就任したので、私も Amazon CEO としてのアンディーのテクニカルアドバイザーになりました。テクニカルアドバイザーとは、要は、教えることが役割です。つまり、これまでにないペースで拡張と実行についてリーダーに教えることができるということに尽きます。本当にすばらしい経験でした。

Clarke Rodgers:
テクニカルアドバイザーとしての役割での経験から得た重要な教訓はありますか?

Sara Duffer:
毎日が学びでした。私がテクニカルアドバイザーの役割に就いてから、かなり早い段階で実行した事柄の 1 つは、自身で 1 行教訓と呼んでいるリストを継続的に作成していくことで、週単位で教訓を追加する予定でした。それが、すぐにほぼ毎日になりました。優れたリーダーを観察し、どのように実行し、どのように関与するかを観察して書き留めておくだけです。たくさんの教訓が得られました。私にとって特に印象的だった事柄は 3 つあると思います。これらはまさに、ただアンディーを観察し関わることで学んだ事柄です。1 つ目は、時間がきわめて貴重な資源であるということです。どこに時間を費やすかは、きわめて慎重に考える必要があります。

これは、次の教訓と非常に密接に結びついています。「はい」と言うときは、全身全霊で「はい」と言わなければならないということです。 真剣さを伝えること、そして現状だけではなく、将来を考慮する必要があります。たとえば、「もちろん、将来的に必ず実行するよ」。 とてもシンプルに聞こえますが、実際は容易ではありません。これが 2 つの重要な教訓です。

もうひとつ、これは非常にすばらしいリーダーの多くが繰り返し行っているのを見てきましたが、それにも増して、アンディーは並外れていました。それは、貪欲な好奇心です。それは質問を投げかける形式です。質問によって建設的でありながら、探りを入れ、会議の核となる根拠は何か、学ぶことができる重要な要素は何か、チームはどう考えているのかを非常にすばやく理解できます。チームの状況を確認し、励ますことで、チームの考え方が Amazon の観点から見た考え方と一致していること、チームから学べることを確認します。このような貪欲な好奇心は、幾度となく、Amazon のすべてのシニアリーダーに一貫して見受けられました。

Clarke Rodgers:
すばらしいですね。それでは、次にあなたの現在の役割について聞かせてください。AWS の CISO の間で頻繁に話題になるトピックの 1 つに、ポスト量子暗号があります。これについてはどうお考えですか?

Sara Duffer:
今日の公開鍵暗号スキームは、離散対数や楕円曲線暗号の因数分解に数学的問題を活用しています。つまり、私たちはまだ量子コンピューティングの初期段階にあり、量子コンピューティングは社会に多くのメリットをもたらしていくでしょう。メリットの 1 つは、難しい計算問題をはるかに高速に解く能力です。これには、現在の公開鍵暗号スキームを破ることができる可能性のある量子コンピューターが将来登場するかもしれないという意図しない結果が伴います。そのため、量子コンピューティングが頭角を現し始める将来に向けて、ポスト量子暗号、つまり PQC と、データを保護し続けるために今から導入することを検討し始めることができるスキームについて、今日多数の議論が交わされています。

AWS は現在、この分野で多くの取り組みを行っています。AWS には実際に、ポスト量子鍵合意とポスト量子署名スキームに貢献した暗号技術者がいます。これは、理論だけに留まりません。世の中には多くの理論があり、米国立標準技術研究所などがこの分野で行っている取り組みもたくさんあります。私たちはこれらにも貢献しています。その一方で、現実化されているものもあります。AWS では本日、TLS-1.3 エンドポイントに対し、KMS サービスであり、証明書管理サービスでもある AWS Secrets Manager でポスト量子を実装しました。つまり、ポスト量子は実際に今すぐにでも試すことができるものなのです。すばらしいですよね。

Clarke Rodgers:
ここ 1 年ほどで、生成 AI がありとあらゆる形態や方法で一世を風靡しましたが、暗号分野ではこれをどのように考えていますか? 役に立ちますか? 妨げになりますか? まだ何とも言えない状態ですか?

Sara Duffer:
生成 AI の観点から考えると、私たちは、知的財産の開示に関する懸念について数多くの議論を耳にしています。このため、プライバシー保護テクニックに関する議論もますます多くなっています。このテクニックは、引き続き大量のデータをトレーニングしながら、それに関連する知的財産を保護することも可能にします。この分野は、まさにチームが焦点を当て、検討している分野であり、AWS にはどのようなソリューションがあるのか内部にも目を向けているところです。

Clarke Rodgers:
セキュリティの傾向と予測は、AWS のお客様が大きな関心を持っている事柄です。今後、そうですね、3 年、または 5 年ほどの間に、セキュリティ分野で何が起こると思いますか?

Sara Duffer:
私には、現在とても興味がある分野が 2 つあります。そのうちの 1 つはごく初期の段階にあるものですが、暗号コンピューティングという概念であり、最大の関心事として捉える CISO が今後ますます増えていくと考えています。暗号コンピューティングとは、情報を非公開のまま維持しながら、複数の当事者がその情報を共有できるよう、暗号化手段を使用する方法です。実際に、今日の例としては AWS Clean Rooms があります。これは、AWS のお客様が協力して情報を共有することで学びを得ることができるサービスです。Clean Rooms には暗号計算と呼ばれる機能があり、この機能によって、お客様は暗号化手段を使用して情報を共有できるようになります。これはまだ初期の段階にあり、あまり耳にしない機能ですが、このプライバシー保護の概念に関わる暗号計算について耳にすることがますます増えるでしょう。

つまり、今日の世界がデータ分析に向かって進む傾向が高くなっていること、そしてどのようにデータを共有し、より多くの事柄を学び、トレーニングできるかを考えると、「プライバシー保護テクニックをどのように実装するか?」と考える機会も増えていきます。 その方法の 1 つが、暗号コンピューティングを使用することなのです。

もう 1 つは、私にとってとても大切で意味深いことです。それは、私たちのチームが今年リリースした新しいサービスである AWS Payment Crypto サービスです。このチームが行っている事柄で、私がとても興味深いと思っていることがあります。今日の決済方法で必要なエンドツーエンドの暗号化を実現するには、大規模な主要プロセッサでいわゆる HSM の保守をサイトで継続しなければなりません。AWS Payment Crypto を利用することで、組織は従来オンプレミス HSM で行ってきたこのようなキー管理と暗号化機能を AWS クラウドを活用して行うことができるようになります。

このサービスは、まだ非常に早い段階にあり、非常に新しいものでもあります。また、このサービスの最も重要な点は、きわめて重要な PCI PIN コンプライアンス要件も満たしているという点です。お客様を引き続きサポートし、オンプレミスからクラウドへの移行を可能にすることができるため、この分野には注目すべき面がたくさんあると思います。非常に期待できる分野であり、私も目を離さずに見守っていくつもりです。

Clarke Rodgers:
それでは、これを開発の観点に寄せて考えてみましょう。私たちは、何年も前から「設計によるセキュリティをアプリケーションに組み込もう」と言ってきましたが、これは設計によるコンプライアンス、そして設計によるプライバシーへと進化しました。開発チームが実際にこのような考え方を持つようにするには、どのような動機付けを行っており、どのような期待を設定していますか? 「これが構築したいものなので、これらすべての事柄を考慮に入れよう」と考える反復的な段階に入っていることが理想的ですが、メカニズム的にはどのように設定していますか?

Sara Duffer:
最高経営陣から始まる文化、それがすべてです。何度も言われてきたことですが、これはまさに最高経営陣から始まるものなのです。セキュリティ、プライバシー、コンプライアンス、これらこそが最優先の仕事です。これは、AWS 内のビルダーそれぞれの文化の一部として感じ取れるものです。私は、これが中核となる出発点だろうと考えています。しかし、AWS の各ビルダーにとって、そしてチームやお客様にとっても、本当に重要なのは開発者と足並みを揃えるということでもあります。これは、チームメンバーのためにセキュリティまたはプライバシーの観点から内部サービスを構築することも含まれます。

時折目にするのは、こういった戦術的な事柄でさえも、エンジニアそれぞれが行う必要のある作業の量を測定したうえで、実際に戦術的な事柄のどれだけがこれらすべてのビルダーに渡されているのかを包括的に測定することが、多くの場合に行われていないということだと思います。こうした一回限りの要求のすべてに戦術的に対応できることから生じる全体的な影響を考えることで、これがエンジニアが日常的な業務の一環として担っている大きな負担であることに突如として気付くのです。

この問題を解決する方法は複数ありますが、パイプラインなどで「この特定の問題を解決できる積極的な手段はあるか?」を特定し、実際にエンジニアをこの問題に関与させずに済むように、すばやく行動することを可能にする方法があれば、 さらに良いでしょう。これは、最高経営陣から始め、何を成し遂げる必要があるかを定義するポリシーを策定しておくことに加えて、重要なコアとなる事柄の 1 つだと思います。そうすることで、日常的な業務の遂行と、問題の特定を行えます。

問題管理の部分に合わせ変更管理の部分を考え、開発者と足並みを揃えることが何を意味するのかを正確に理解できること、そしてすべてを中断して修正する必要がある重大度 2 または重大度が非常に高い問題などで責任ある行動を取ることができるということです。それと同時に、私たちが人々に修正を求めているその他のすべての事柄にも目を向けてみましょう。別のタイムリーな方法でそれらを実行し、修正できる手段は他にないでしょうか? これはおそらく、私たちが組織として長い間検討し続けてきたものの中でも最も興味深い分野の 1 つだと思います。エンジニアの負担を常に軽減し、問題の修正に伴う摩擦を減らすにはどうすればよいかということです。

Clarke Rodgers:
これは、あなたが言われたように、文化とオーナーシップが大きな部分を占めています。私の肩書きにセキュリティという言葉はないものの、セキュリティは私の仕事の一部です。

Sara Duffer:
そうですね。まさにそのとおりです。

Clarke Rodgers:
メンタリングは、あなたのキャリア全体を通じて非常に重要であったと伺っています。あなたに連絡して助言を得たいと切実に考える人たちを確実にサポートするために、どのようなメカニズムを設定しましたか?

Sara Duffer:
私は、AWS に入社するまで、そして AWS でのキャリア全体を通して、とても幸運だったと思います。どんなときでも自ら歩み出て関与することをいとわず、私と会話し、私を元気づけ、私がその場にいないときは私を支持してくれる、すばらしいメンターやコーチに常に恵まれてきました。私にとって興味深かった事柄の 1 つは、私がテクニカルアドバイザーの役割に就いたときのことです。役割はとてもすばらしいもので、私のメール件数も増えました。しかし、実際には、私とつながり、より多くのことを学び、機会を見極めるために連絡してくる人が減ってしまいました。これは、人々が少し威圧感を覚えたからではないかと思います。

私が現在使用しているメカニズムで最も価値のあるものの 1 つは、組織内のどこに所属しているかにかかわらず、私に連絡を取ろうとする人なら誰にでも 30 分の時間を取るというルールを常に守っていることです。私がテクニカルアドバイザーの役割を務めていたときに提供されたすばらしい能力の 1 つは、ビルダーコミュニティやフルフィルメントセンターなど、組織内で働くジュニアレベルの人々が、組織内のシニアレベルの人物と 30 分間つながり、より多くの事柄を学ぶために連絡を取れるようにする能力でした。

私は、メンタリング専用に、毎月特定の時間を確保しておくようにもしています。私は通常 4 つの時間枠を用意しているので、4 つの時間枠、4 週間、または 4 回のミーティングを利用してつながることが可能です。終了時間が来たら、続行するかしないかを判断します。 そうすることで、相手が出口計画や出口ランプといったものを一部のメンタリングでも持てるようにしています。

Clarke Rodgers:
すばらしいですね。全員が、こういった機会に感謝していることでしょう。Sara、本日はお越しいただき、ありがとうございます。

Sara Duffer:
どうもありがとうございました。とても楽しかったです。