VPCの非機能要件

Amazon Virtual Private Cloud. 略してAmazon VPC。もっと略してVPC.

VPC上でサービスを作成することは、Eコマースサイトにおいて必ずしも必要なことではない。利用コストはかからないが、利用するためには知識習得コストもかかる。

一方で、VPCでのみ提供されているサービスを使うために、あるいはVPCでなければ満たせない法令や業界団体等で定めた基準といった非機能要件を満たすために、VPC上でのサービス作成が有効な場合は多い。

 



非機能要件での典型的な例は、国際ペイメント業者5社が共同で作成したクレジット業界におけるグローバスセキュリティ基準であるPCI DSS(Payment Card Industry Data Security Standard)の取得である。PCI DSSは情報セキュリティに対する具体的な実装や施策を要求しており、クレジットカード情報と全く関係ない企業や組織ですらPCI DSSを基準とした情報安全対策を求められることが増えている。

PCI DSSの基準には、”Build and maintain a secure network”なる条項がある。VPCはinboundだけではなくoutboundの制御もできたり、インターネットゲートウェイでアクセス制御ができたり、サーバの種別毎にサブネットを分けたりできる。VPCを使うことで、この条項を満たすことを説明することが容易になることから、VPCを利用されることが多い。

AWSが認証されているPCI DSS準拠のPCIサービスプロバイダ（レベル1）の意味は、独立した認証審査期間であるQSA(Qualified Security Assessor)が、PCI DSS v2に対してAWSが準拠しているということを認証しているという意味である。

つまり、このEコマースがAWSを利用してシステム開発しておけば、インフラストラクチャはPCI準拠しているので、AWSが提供する部分以外の部分にPCI DSS取得の努力を集中させることができる。