はじめに

【連載第10回】セキュリティを「ガードレール」に。ITIL思考で実現するDevSecOps文化

前回の記事では、DevSecOpsという思想を武器に、開発プロセスに「ガードレール」を設置することで、誰もが安全に、そして高速に価値を届けられる高速道路を開通させました。開発チームがアクセルを踏み込むことを恐れない、そんな理想的な交通網が、私たちのクラウド都市に生まれようとしています。

しかし、少し想像してみてください。どんなに立派な高速道路が整備されても、その沿道に建ち並ぶビル群（アーキテクチャ）そのものが、見えないところで老朽化し、違法建築がまかり通っていたとしたら、その都市は本当に安全だと言えるでしょうか？

「年に一度の監査前夜、深夜まで慌てて資料をかき集め、なんとか帳尻を合わせた…」

「レビューで指摘された項目は、『重要度：中』のラベルが貼られたまま、次の監査まで塩漬け状態…」

それは、AWS Well-Architectedフレームワークというクラウド都市の「建築基準法」が、年に一度の形式的なチェックリストとなり、その意義を失いかけているサインかもしれません。

今回は、この根深い課題にメスを入れ、Well-Architectedを一度きりの「健康診断」で終わらせないための設計思想、すなわち日々の運用に息づく「生きた文化」へと昇華させ、私たち次世代MSPがお客様と実践する継続的改善のリアルな姿（To-Beモデル）をお話しします。

 

この記事でわかること

  • Well-Architectedレビューが多くの現場で「やっただけ」で終わってしまう根本原因
  • 監査のための活動から脱却し、ビジネス価値に繋がる「継続的改善」の文化を根付かせる方法
  • ITILの「継続的改善」の思想が、Well-Architectedを「生かす」ためのOSとなる理由
  • AWS ConfigやTrusted Advisorを駆使し、「建築基準法」が常に守られる状態を自動で維持する「生きたアーキテクチャ」のTo-Beモデル

なぜ「建築基準法」は形骸化するのか？ – 健康診断という罠

AWS Well-Architectedフレームワークは、AWSが公式に提唱する、安全で、高性能、高可用性で、効率的なインフラを構築するためのベストプラクティス集です。いわば、私たちのクラウド都市における「建築基準法」そのもの。これに従えば、堅牢で快適な建築物（システム）を建てられるはずです。

しかし、多くの現場で、この建築基準法は年に一度の「健康診断」のように扱われているのが現実ではないでしょうか。診断の日が近づくと、慌てて不摂生を改め、数値を良く見せようと努力する。そして、診断で「問題なし」のハンコをもらえば、また元の生活に戻ってしまう…。

この「監査のための監査」とも言える活動は、エンジニアの貴重な時間を奪うだけでなく、ビジネスに深刻なリスクをもたらします。

  1. リスクの潜伏
    • 監査と監査の間に行われた危険な設定変更や、新たに見つかった脆弱性は、次の監査まで誰にも気づかれずに放置されます。まるで、建物のヒビ割れを知りながら、見て見ぬふりをしているようなものです。
  2. 改善の停滞
    • レビューで特定された改善点は「推奨事項」のリストに留まり、具体的な改善活動に繋がらないケースが散見されます。結果、技術的負債は雪だるま式に膨れ上がっていきます。
  3. 文化の欠如
    • 「Well-Architectedは監査対応チームの仕事」という意識が蔓延し、アーキテクチャの品質を組織全体で維持・向上させていこうという文化が育ちません。

これでは、どんなに立派な設計図も宝の持ち腐れです。私たちが目指すべきは、建築基準法がすべての設計者、すべての施工業者に深く浸透し、日々の活動の中で当たり前に遵守される都市なのです。

 

ITILの「継続的改善」がアーキテクチャに命を吹き込む

では、どうすればWell-Architectedを「生きた」ものにできるのか。ここで、私たちの思考のOSであるITIL、その中でも特に「継続的改善」のプラクティスが決定的な役割を果たします。

Well-Architectedフレームワーク 「WHAT」

どのような状態が理想的なのか（優れた建築基準法は何か）を定義します。これは、私たちの目指すべき道標です。

ITILの継続的改善 「HOW」

理想的な状態に到達し、それを維持し続けるための具体的なプロセス（どうやって法を遵守し、改善し続けるか）を定義します。それは、理想の都市（Well-Architected）を築き上げるための、具体的な都市計画法と建設プロセスそのものです。

多くの組織がWell-Architectedという地図（WHAT）を手にしながら、それを使いこなすための航海術（HOW）を持っていないのです。ITILの継続的改善は、以下のサイクルを回すことで、一度きりのレビューを永続的な活動へと変革します。

  1. 我々は今どこにいるのか？ (Where are we now?)
    • まずは現状の把握です。Well-Architectedレビューを実施し、都市の現在の建築基準法（アーキテクチャ）がどうなっているかのベースラインを引きます。
  2. 我々はどこへ行きたいのか？ (Where do we want to be?)
    • レビュー結果に基づき、「あるべき姿」とのギャップを特定し、改善すべき測定可能な目標（例：「セキュリティリスクの高い項目をゼロにする」）を定義します。
  3. 我々はどうやってそこへ到達するか？ (How do we get there?)
    • 目標達成のための具体的な改善計画を策定し、それをITILの問題管理や変更管理といった公式なプロセスに乗せて実行します。
  4. 我々はそこへ到達したか？ (Did we get there?)
    • 改善策が実行された後、その効果を測定し、目標が達成されたかを評価します。
  5. どうやって勢いを維持するか？ (How do we keep the momentum going?)
    • 改善を一過性のものにせず、新しい標準として定着させ、次の改善サイクルへと繋げます。

このサイクルを回すことで初めて、アーキテクチャは静的な「完成品」ではなく、ビジネスの変化に合わせて進化し続ける「生命体」となるのです。

 

AWSで築く「自律的に進化する建築基準法」の仕組み (To-Beモデル)

思想だけでは都市は築けません。この「ITIL」「 Well-Architected」という設計思想を、AWSというプラットフォーム上で具現化した、私たちが目指すべき未来の姿（To-Beモデル）をご紹介します。これは、建築基準法違反を自動で検知し、改善プロセスへと繋げるための自律的なガバナンスシステムです。

(出典: AWS Trusted Advisor による運用上の優秀性の継続的な最適化)

この自律的なガバナンスシステムは、個々の法律違反を監視する「監査官」、都市全体の健全性を診断する「専門家チーム」、そして検知した問題を即座に行動へ移す「自己防衛システム」といった、複数の機能が連携することで成り立っています。それぞれの役割を見ていきましょう。

1. 常駐する建築監査官 (AWS Config)

AWS Configの役割は、都市に存在するすべての建築物（リソース）の「現在の設計図」と「過去すべての変更履歴」を記録し続ける、市の登記所のような存在です。そして、あらかじめ定められた「建築基準法（Configルール）」に違反する建築が行われた瞬間に、サイレンを鳴らす監査官でもあります。

この「建築基準法」は、単なるチェックリストではありません。都市の安全と秩序を守るための、具体的で生き生きとしたルールです。

セキュリティ条例

「街の重要な倉庫（S3バケット）の扉に、誰でも入れるように『開放中』の看板が出ていないか？」「マンションの各部屋（IAMユーザー）の鍵は、ピッキングされやすい旧式のものではなく、複製困難なカードキー（MFA）が必須になっているか？」といった、街の防犯ルールを隅々までチェックします。

都市運営条例

「市内のすべての建物（リソース）には、所有者や用途を示す表札（タグ）が正しく掲げられているか？」「市の保健所（Systems Manager）による定期健康診断（パッチ適用）を、すべての住民（EC2インスタンス）がきちんと受けているか？」など、都市のスムーズな運営に不可欠なルールを監視します。

建築コンプライアンス条例

「銀行の金庫や公文書館（重要なデータを保管するEBSやRDS）の壁は、法律で定められた耐火基準（暗号化）を満たしているか？」といった、社会的な信頼を担保するための規則が守られているかを厳しく検査します。

これらのルールに違反する変更が加えられた瞬間、AWS Configはそれを検知します。年に一度、分厚いファイルをめくって行われる監査ではありません。違法建築が行われたその瞬間に現場を押さえる、24時間365日稼働の優秀な常駐監査官なのです。

2. 都市計画の専門家チーム (AWS Trusted Advisor)

Configが個々の建築物のコンプライアンス違反をミクロに監視するのに対し、Trusted Advisorは、都市全体の健全性をマクロな視点で診断し、改善案を提言する専門家チームです。彼らは5つの専門分野（コスト最適化、パフォーマンス、セキュリティ、耐障害性、サービスの制限）から、私たちの都市を多角的に分析します。

彼らのレポートには、単なるルール違反の指摘に留まらない、より良い都市運営のための実用的なアドバイスが並びます。

コスト最適化

「月額数万円の高級フィットネスクラブの会員権（長期間アイドル状態のDBインスタンス）を、『いつか使うかも』と解約せずに払い続けていませんか？また、小さな荷物を運ぶのに、毎回大型トラック（過剰なスペックのインスタンス）をチャーターするのも、同じくらい勿体ない話です。必要な時に必要な分だけ支払う。クラウドという都市の賢い暮らし方です。」

パフォーマンス

「最新鋭の10車線ハイウェイ（ネットワーク）を建設したのに、その先にあるのが昔ながらの一車線の細い橋（インスタンスの処理能力不足）だったらどうでしょう？結果は火を見るより明らか、橋の手前で大渋滞が発生します。都市の交通網は、全体のバランスが命です。」

セキュリティ

「都市のすべての扉を開けられる『マスターキー』（ルートアカウント）を、誰でも入れる市民センターの掲示板にぶら下げておくようなものです。しかも、その鍵には『ご自由にお使いください』と書かれた札（MFA未設定）まで付いている…これでは泥棒に入ってくださいと言っているようなもの。」

耐障害性

「都市の全電力を、たった一つの巨大な発電所（単一のアベイラビリティーゾーン）に依存している状態です。もし落雷や事故でこの発電所が停止してしまったら、都市は瞬時に暗闇に包まれ、あらゆる活動が停止してしまいます。非常用のバックアップ発電所を別の場所に確保しておくことは、もはや都市機能の生命線と言えるでしょう。」

サービスの制限

「私たちの都市の水道局や電力会社は、インフラの安定供給のため、各家庭やビルに供給できるリソースに上限を設けています。もしあなたが巨大な商業施設を建てるのに、市役所へ事前の供給量拡大を申請し忘れていたら？オープン当日、蛇口をひねっても水が出ず、ビジネスチャンスを逃すことになります。これは、ビジネスの成長に合わせて、計画的にインフラの利用上限緩和を申請し、予期せぬ成長の壁を防ぐ、賢明な都市計画なのです。」

Trusted Advisorは、見過ごされがちなリスクや、都市をより良くするための機会をプロアクティブに提示する、日々の運用を支える信頼できるアドバイザーなのです。

 

3. 改善プロセスへの統合：仕組みで回す「生きた建築基準法」

最も重要なのが、これらの「検知」を「行動」に繋げる仕組みです。ヒーローの個人的な頑張りに頼るのではなく、「仕組み」で改善を回し続けること。その思想を、AWS自身がベストプラクティスとして具現化したのが、公式ソリューション「Automated Security Response on AWS」です。

(出典: Automated Security Response on AWS)

これは、AWS Security Hubがセキュリティ問題を検知した瞬間に、人の手を介さず自動で対応・修復まで行う、いわば都市の「自己防衛システム」の設計図です。

このアーキテクチャを導入することで、これまで人の目では見逃しがちだったセキュリティグループの不適切なポート開放（例えば、SSHポートの全開放など）を、機械の目で確実に捉え、インシデントとして拡大する前にほぼリアルタイムで自動修復することが可能になります。

そして、修復が完了すると同時に、Amazon EventBridgeを介してITSMツールへ対応記録のチケットが自動起票されます。これにより、発見から修復、記録までの全プロセスが自動化され、ITILの継続的改善の正式なプロセスに乗ることが保証されるのです。

その結果として生まれるのが、「深夜に鳴り響くアラート対応からの解放」という、エンジニアにとっての理想的な未来です。

実例としてセキュリティ自動化ソリューションを提供するBotprise社は、AWS Security Hubを中核とした仕組みを導入することで、セキュリティ問題の平均修復時間（MTTR）を実に86%も削減したと報告しています。

これまで数日を要していたインシデント対応が、数時間に短縮される。これは、私たちが語る「理想的な未来」が、現実に達成可能な目標であることの、強力な証拠と言えるでしょう。

(※出典: Botprise Reduces Time to Remediation by 86% on Average Using Automation and AWS Security Hub)

私たち次世代MSPの役割は、こうした仕組みが形骸化しないようお客様と伴走し、定期的なConfigルールの見直しやTrusted Advisorの分析結果に基づく改善計画の立案と実行を主導することです。AWSが公式に推奨するベストプラクティスを導入し、お客様のチームが本来のビジネス価値創造に集中できる環境を維持することこそ、私たちの目指すゴールなのです。

 

まとめ：あなたのアーキテクチャに、魂は宿っていますか？

Well-Architectedフレームワークは、チェックリストを埋めるためのツールではありません。それは、私たちが築くべきクラウド都市の理想像を描いた、壮大な設計思想です。その思想に命を吹き込み、現実世界で機能させるエンジンこそが、ITILに代表される「継続的改善」の文化とプロセスに他なりません。

一度きりの監査で満足し、形骸化した「建築基準法」を掲げるだけの都市。 日々の活動の中で法が息づき、自律的に進化を続ける「生きた」都市。

あなたがこれから暮らす都市は、どちらでしょうか？

次世代MSPとしての私たちの役割は、お客様の代わりにレビューを実施するだけの「代行業者」ではありません。お客様と共にこの「生きたアーキテクチャ」を維持・改善していく文化を創造し、その仕組みを構築・運用する「戦略的パートナー」なのです。

 

次回予告

今回、私たちはWell-Architectedという「建築基準法」を日々の運用に根付かせ、アーキテクチャを継続的に改善していく仕組みを手にしました。これにより、建物の安全性や効率性は格段に向上し、特に重要な柱の一つである「コスト最適化」も、自動化されたプロセスによって推進されるようになります。

しかし、それは都市全体の財政を健全化するための、まだ第一歩に過ぎません。都市の住民（開発者）、インフラ管理者（運用者）、そして市長（経営層）が、それぞれバラバラの物差しでコストを見ていては、真の価値は生まれないのです。

次回は、このコストの問題をさらに深く掘り下げ、単なるコスト削減（Savings）から、クラウド投資対効果の最大化（Value）へと視点を引き上げます。テーマは「FinOps」。

しかし、それは単なるツールやプロセスの話ではありません。財務・開発・事業部門がデータを元に協業し、クラウド投資の価値を最大化するための組織論です。あなたを単なる「コスト管理者」から、クラウドという都市の未来をデザインする「クラウド投資の経営者」へと変える、新しい羅針盤を手にしましょう。

【第12回】FinOpsは”文化”である。全社で実現するクラウド価値経営

 

過去の連載はこちら

これまでのバックナンバーを見逃した方は、こちらからご覧いただけます。

クラウド運用に関するお悩みや、これからのパートナーシップのあり方にご興味をお持ちでしたら、どうぞお気軽にお声がけください。あなたのビジネスが直面している課題について、ぜひお聞かせいただけませんか。

クラウド導入実績 国内トップレベルの cloudpack クラウドの設計・開発・構築から 運用保守までトータルサポート