AWSのベストプラクティスに則ったガイドライン策定、AWS Organizationsを活用した統合管理基盤の構築によってセキュリティとガバナンスを強化

映画、IP・アニメ、演劇、不動産の4つを柱に事業を展開する東宝。創立100周年に向けた経営戦略「TOHO VISION 2032」では、成長戦略のキーワードの1つに「デジタル」を掲げ、デジタルをコンテンツ製作、マーケティング、商品販売などに活用することで、新たな市場の開拓と収益の向上を目指しています。
同社は事業を支えるIT基盤として、2017年ごろから業務システムのクラウドシフトに着手し、多くのシステムがAWSへ移行しています。当初はスモールスタートでAWSの利用を開始しましたが、AWS上で稼働するシステムが増加するにつれて、新たな課題として浮上したのがセキュリティとガバナンスの強化でした。
そこでAWSのベストプラクティスに則った運用を確立するため、サーバーワークスの支援を通じてAWS Well-Architected Frameworkに基づくアセスメントを実施しました。AWS Well-Architected FrameworkはAWSが提供する無料のフレームワークで、セキュリティ、信頼性、パフォーマンス効率など6つの大項目でレビューを行い、それぞれのリスクを高・中・低の3段階で判定します。
AWS Well-Architectedレビューは2023年8月から9月に実施し、セキュリティの項目で指摘された高リスクの課題に対処するため、AWS Organizationsによるマルチアカウントの統合管理基盤の構築を決断しました。IT推進本部 情報システム部 ITプロジェクト推進室の田野倉良治氏は「AWSを運用していく上では利用種別毎に複数のアカウントを効率よく管理する必要があるため、AWS Organizationsを使ってコントロールすることにしました」と話します。

AWSのベストプラクティスに則ったセキュリティとガバナンスの強化を進めるにあたり、東宝は同社のAWS環境を熟知するサーバーワークスに改めて支援を要請。サーバーワークスがAWSのベストプラクティスを独自にパッケージ化したアセットサービスを活用して、AWSガイドラインの策定、AWS Organizationsによる統合管理基盤の構築に着手しました。
AWSガイドラインの策定は2024年10月から12月にかけて実施し、あるべき姿の実現に向けて要件を固めていきました。具体的には、サーバーワークスがガイドラインに必要な項目をまとめたドラフト版をベースに、週に1回の頻度でレビューと更新を重ねていく進め方です。
「レビューでは、東宝側からはITインフラ担当の私とセキュリティ担当の2名が、開発、運用、セキュリティという異なる視点で入念にチェックしました。ただし、サーバーワークスからご提供いただいたドラフト版は、以前から当社の環境をサーバーワークスに支援していただいていましたので、初版の時点で当社の環境が的確に反映されており、ガイドラインの準備は非常にスムーズでした」（田野倉氏）
AWSガイドラインを策定し、アカウント管理、セキュリティ設計、ネットワーク設計などの基本的なポリシーが固まった後は、2025年1月から3月までの3カ月間でAWS Organizationsを導入し、統合管理基盤を構築しました。
「ガイドラインを策定した段階で、AWSのベストプラクティスに則った設計思想は確立できましたので、基盤設計、組織（OU）設計、環境構築、セキュリティガードレールの設定、セキュリティの有効化などはサーバーワークスに委託し、短期間で統合管理基盤を構築できました」（田野倉氏）
その後、2025年8月には各AWSアカウントの複数VPC間を相互にネットワーク接続するため、中継ハブとなるAWS Transit Gatewayを構築しています。

AWSガイドラインの策定からAWS Organizationsによる統合管理基盤の構築まで約1年にわたるプロジェクトによって、AWSアカウント、ネットワーク、ユーザーIDの統合管理が実現し、セキュリティとガバナンスのレベルは飛躍的に向上しました。
「ガイドラインを整備して、AWSのベストプラクティスに則った運用が実現したことは大きな成果です。これにより、セキュリティリスクの軽減と高い運用品質を維持することが可能になりました。外部のパートナーに対して、ガイドラインを開発の指針として示せるようになった点もメリットです」（田野倉氏）
プロジェクト全般におけるサーバーワークスの支援についても、次のように評価します。
「初期段階から支援をお願いしてきた経緯もあり、当社の環境を熟知している安心感がありました。本番環境が反映されたAWSガイドラインのドラフトは精度が高く、プロジェクトでのコミュニケーションもスムーズで、円滑に進めることができました」（田野倉氏）

2026年2月現在、統合管理基盤上では新規追加を含めて多くのAWSアカウントを運用しています。AWSアカウントは増えていくことが想定されることから、今後は統合管理基盤を運用するためのコードや手順書、ドキュメントなどを整備し、ルールを明確化する方針です。
「現在、AWSアカウントの払い出しをサーバーワークスに依頼していますが、簡単なPoC環境などの払い出しは自社で対応することで、リードタイムの短縮を図りたいと思っています。そのために開発時にサーバーワークスにまとめていただいたコード類や運用手順書を引き継いでいく予定です」（田野倉氏）
一方、AWSガイドラインは策定したら終わりではありません。AWSの技術やサービスの進化に応じて改善していく必要があります。同社では、今後もサーバーワークスと密に連携しながらガイドラインをブラッシュアップしていく方針で、さらなる支援に期待を寄せています。
「AWSを運用していく過程では、ここを改善しておけばよかったといった課題が次々と出てきます。AWSの技術は日々進化し、当社の運用体制も変わっていきますので、ガイドラインは定期的に見直していきます。さらに、AWSの新しいサービスの活用も見据えていますので、サーバーワークスにはさまざまな技術領域で力をお借りしたいと考えています」（田野倉氏）