【速報】VPC暗号化コントロール、GovCloudでついに解禁！セキュリティレベルが劇的に向上！

AWSは、AWS GovCloud (US)リージョンにおいて、Amazon Virtual Private Cloud (VPC) 内およびVPC間の通信における暗号化の監査と適用を容易にするVPC暗号化コントロールの提供を開始しました。既存のVPCで有効にすることで、トラフィックフローの暗号化ステータスを監視し、意図しないプレーンテキストトラフィックを許可しているVPCリソースを特定できます。

VPC暗号化コントロール、GovCloudリージョンでのリリースについて

これは非常に重要なアップデートです。これまで、コンプライアンス要件を満たすために、アプリケーション層での暗号化に加え、AWSが提供するハードウェアベースの暗号化をネットワークパス全体で追跡・確認する必要があり、運用負荷が非常に大きい状況でした。

解決される課題:

• コンプライアンスの複雑さ: HIPAA、PCI DSS、FedRAMP、FIPS 140-2などの厳しい基準への準拠が容易になります。
• 可視性の欠如: トラフィックフローの暗号化ステータスを一元的に把握できるようになります。
• 適用における複雑さ: VPCリソース（Fargate、ロードバランサーなど）全体で暗号化を適用する手間が省けます。

日本の状況について: 最新のリージョン状況を確認したところ、現時点では東京（ap-northeast-1）および大阪（ap-northeast-3）リージョンでのVPC暗号化コントロールの提供は確認されていません。AWS公式の裏取りが必要ですが、今後の展開に期待しましょう。

運用上のアドバイス:

• まずは監視モードで有効にし、非準拠のリソースを特定することをお勧めします。
• インターネットゲートウェイやVPCピアリング接続など、AWSが暗号化を制御できないリソースについては、除外設定を検討してください。
• RedshiftやMSKなどのサービスでは、移行作業が必要になる場合があります。

最初に試すべきこと:

1. 東京および大阪リージョンでの可用性をAWSマネジメントコンソールまたはAWSサポートで確認する。
2. 既存のVPCで監視モードを有効にし、暗号化ステータスを評価する。
3. VPC Flow Logsをencryption-statusフィールドとともに設定し、トラフィックの暗号化を監査する。

参考資料: Enforce VPC encryption in transit - Amazon Virtual Private Cloud