竹中工務店では、DX推進の一環として既にシステムの大部分をAWSへ移行し、AWS共通基盤のネットワークやアカウントの一元管理といった整備を進めてきた。
今回その基盤をさらに一歩進め、安全な運用のためのガードレールを新たに設置。多くの企業が「セキュリティを厳しくすると開発スピードが落ちる」という悩みを抱える中、竹中工務店は開発者の妨げにならない仕組みを作り上げることで、「開発の速さ」と「高いセキュリティ」の両立を実現した。
課題と効果
課題-
利用者視点の課題
- 利用者にIAM（権限設定）に関わる操作の権限がなく、作業を都度管理者に依頼する必要があった。
- 管理者の作業完了までの待ち時間は年間合計で約75営業日に及び、全体の開発スピードを妨げる要因となっていた。
管理者視点の課題
- 安全性を重視し、リスクの高い権限関連の操作は申請制としていたが、利用者に許可された作業においても、誤操作やミスがあればセキュリティリスクとなり得る状態だった。
効果-
利用者視点の効果
- 竹中工務店が明確に禁止している操作・行為を除き、利用者が必要なAWS操作を自由に行えるようになったことで、従来の作業依頼による待ち時間がゼロになり、開発スピードが向上した。
管理者視点の効果
- 予防的ガードレールを設けることで、利用者によるセキュリティリスクにつながる禁止項目設定・操作を行えないようにし、リスクの軽減が図れた。
導入事例インタビューデータ
- 企業名
- 株式会社竹中工務店
- 住所
- 大阪市中央区本町4丁目1-13
- 創立
- 1899年（明治32年）
- 従業員数
- 7,907人（2026年1月現在）
- 事業内容
- 建築工事及び土木工事に関する請負、設計及び監理等
- URL
- https://www.takenaka.co.jp
課題
竹中工務店は、デジタル・ネイティブ・ビジネスへのシフト加速を推進するDX戦略の一環として、AWSを利用した開発基盤の作成及びAWSアカウントの利用者への提供を実施している。
本環境のAWSアカウントを利用者に提供するにあたり、以下のようにガバナンスと利用者の要望に一致しない部分があり、開発スピードが妨げられる原因となっていた。
利用者の要望
AWSを自由に使いたい（全ての機能、権限が欲しい）。
管理部門の要望
利用者にセキュリティリスクのある行為をさせたくない。社内ルールを遵守させたい。
管理部門としては、利用者にセキュリティリスクのある行為をさせないため、利用可能な権限を絞る（権限を付与しない）という対応を実施していた。そのため権限がない操作については、その都度管理者への作業依頼が必要となり、管理者の対応が完了するまで開発を進められないケースが発生していた。
こうした課題は竹中工務店に限ったものではなく、他社でも共通して見られる。クラウド環境の運用では、権限を制限しすぎると開発の遅延につながる一方、広範な権限を付与すると誤操作や設定ミスによるセキュリティリスクが高まる。そのため、利用者の利便性とセキュリティ統制をいかに両立するかが課題となる。
対応概要
上記課題に対応するため、竹中工務店は、CTCと共同でセキュリティリスクの洗い出し、セキュリティガイドラインの作成とリスク行為防止のためのガードレール設定について改善プロジェクトを実施した。
実施内容としては以下の通り。
- 利用者へのヒアリングによる、現行環境における課題の洗い出し
- 利用者へ強い権限（Administrator）を付与した場合に想定される、セキュリティリスクの洗い出し
（AWS Well-Architected、IAMセキュリティベストプラクティス、Security HubなどAWSの既存ドキュメントやツールを利用） - 洗い出したリスクのある操作に対し、AWS Organizationsのサービスコントロールポリシー（SCP）を利用し、セキュリティリスクにつながる操作を禁止するガードレールを設計
- 運用上必要な操作を可能にするために、ガードレールの除外条件の設計
（AWSアカウントの管理者メンバーにのみユーザー作成権限を付与するなど） - SCPでは制御しきれない操作のうち、検知が必要なものについては通知の仕組みを検討
- 洗い出したセキュリティリスクを踏まえ、クラウドセキュリティガイドラインを作成
セキュリティリスクの洗い出し
クラウド環境では、設定によってデータやリソースが意図せず外部に公開され、セキュリティリスクにつながる場合がある。
例えば以下のようなケースが挙げられる。
- Amazon S3のデータを外部に公開してしまう
- グローバルIPを付与したサーバをインターネット（0.0.0.0/0）からアクセス可能にしてしまう
- 取得したスナップショットを全てのAWSアカウントから参照可能な状態にしてしまう
上記のようなリスクを洗い出すため、「AWS Well-Architected フレームワーク」、「IAM でのセキュリティのベストプラクティス」、「AWS Security Hub」などAWSの既存ドキュメントやツールを活用した。
特に「AWS Security Hub」については、実際にAWSがどのような設定をリスクと捉えているかを具体的に確認できるため、検出対象となる設定をもとに、SCPでどこまで制御できるかを協議・検討し、ガードレールとして実装した。
また、運用面ではやむを得ず例外を認めるケースも想定されるため、利用者からの申請に基づき、管理部門の管理者のみが例外設定を行える仕組みとするとともに、例外申請フローの整備なども併せて実施した。
効果
セキュリティガイドラインのアップデート及び予防的ガードレールの導入により、以下のような効果が得られた。
利用者視点の効果
竹中工務店のセキュリティガイドラインで禁止されている操作を除き、利用者自身による必要なAWS操作が可能になった。
これにより、権限不足による管理者への作業依頼や待ち時間を解消し、開発スピードを維持できる環境を実現した。
（これまでは権限関連作業については、管理者に申請→管理者にて申請内容の確認、審査→管理者作業であったため、平均5営業日の待ちが発生していた）
また、予防的ガードレールによってリスクのある操作を制限することで、利用者はクラウド特有のセキュリティリスクを気にすることなくアプリケーション開発に集中できるようになった。
管理者視点の効果
予防的ガードレールにより、セキュリティリスクにつながる操作を未然に防止。通常の権限申請も不要となり、申請対応にかかる管理負担を軽減することで、管理者が本来の業務に集中できる環境につながっている。
本改善のポイント
AWS OrganizationsやAWS Control Towerなど、統制を支援するツールの導入は多くの企業で進んでいる。一方で、ツールを導入・有効化するだけにとどまり、実際の利用環境や自社のセキュリティルールに即した設計・運用まで行われず、実効性のある統制につながっていないケースもある。
利用者の利便性とセキュリティ統制を両立するためには、実際の利用状況や自社のセキュリティルールを踏まえ、どの操作を禁止し、どこまで利用者に許可するのかを具体的に設計することが重要となる。
今回CTCは、竹中工務店とともにセキュリティリスクを洗い出した上で、禁止すべき操作をガードレールとして実装。さらに、業務上必要な操作を妨げないための除外条件や例外申請の運用まで含めて設計した。
単に利用者の権限を制限するのではなく、管理部門が利用者に寄り添い、利便性を重視しながら必要なセキュリティ統制を実現した点が、本改善の大きなポイントである。
今後の展開
デジタル・ネイティブ・ビジネスへのシフトをさらに加速するため、今後もクラウド基盤の機能を拡充し、ガバナンスの強化と利用者のさらなる利便性向上を図る。
- 全社の認証基盤であるMicrosoft Entra ID（旧Azure AD）とのSSO連携を実施し、より利用者の利便性を向上
- セキュリティリスクのある操作が実施された際、自動復旧を行う仕組みを導入し、より安全にクラウドを利用できる環境を整備
- ※ Datadog社によるCloud Security調査（2025年版）
https://www.datadoghq.com/ja/state-of-cloud-security/
Organizationsの導入は多くの企業で進んでいるものの、SCPの導入については40%となっており、その他セキュリティに関する設定にてリスクが高い行為を制限できている企業は限られていることが分かる。
