VPC の暗号化ルール、1 つのポリシーで全 VPC にまとめて適用！

やっほー、しぃちゃんだよ！今日は VPC の暗号化まわりがぐっと楽になるお知らせを見つけたから紹介するね。ネットワークのセキュリティ担当さんにうれしいアップデートだよ！

なにが発表されたの？

AWS の What's New で発表されたのは、VPC Encryption Controls を宣言型ポリシー（declarative policies）で管理できるようになったというお話。

VPC Encryption Controls は、Amazon VPC の中や VPC 間の「転送中の暗号化（encryption in transit）」を監査したり強制したりするための仕組みで、HIPAA・FedRAMP・PCI みたいな暗号化基準への準拠を示すのに使えるものだよ。

今回のアップデートで、この Encryption Controls を monitor モードや enforce モードで、環境内のすべての VPC に対してまとめてオンにできる ようになったの。

これまでは、Encryption Controls を monitor か enforce モードで有効にして、除外設定（exclusions）を VPC ごとに 1 つずつ 設定していく必要があったんだ。

でもセキュリティチームとしては、こういうコントロールは環境全体に対して 中央から一貫して かけたいよね。VPC が増えるたびに手作業で設定していくのは、抜け漏れも起きやすいし大変だったの。

これからは、1 つの宣言型ポリシーを定義して維持するだけ で、今ある VPC にも、これから作られる将来の VPC にも、望んだ暗号化コントロールの設定を効かせられるようになったよ。

適用する範囲も選べて、

のどれに対しても効かせられるんだ。

さらに、組織内のすべてのアカウントと VPC について、Encryption Controls のステータスを 中央からまとめて把握できる可視性 も手に入るの。「どの VPC がちゃんと設定できてるんだっけ？」を一箇所で確認できるのは、監査のときにも心強いよね。

技術的なポイントを整理しておくね。

使うのは AWS Organizations の declarative policies。組織のガバナンス機能として、望ましい設定を宣言的に定義して適用する仕組みだよ
モードは monitor（監視）と enforce（強制）の 2 種類。まず monitor で様子を見て、準備ができたら enforce に切り替える、という運用がしやすいね
提供リージョンは、VPC Encryption Controls をサポートしているすべての AWS リージョン
お値段は、AWS Organizations で declarative policies を使うこと自体に 追加料金はなし

セキュリティのガバナンス系の機能って、こういう「中央でまとめて・一貫して」がすごく大事だから、宣言型で一元管理できるのはうれしいポイントだね。

マルチアカウントで AWS を運用していて、転送中の暗号化を組織全体できっちり効かせたいセキュリティ・ガバナンス担当さんにこそ刺さるアップデートだよ！