【クラウドセキュリティ入門】インシデントの9割が「ミス」によるもの?

クラウドでは、オンプレミスと違う視点でのセキュリティ対策が必要だ。複数のIaaSにまたがるリソースを一元管理する体制や、セキュリティ機能のクラウド化が今後のポイントになる。

クラウドを第一に考える――。政府は2018年6月に「政府情報システムにおけるクラウドサービスの利用に係る基本方針」を公表。政府情報システムにおいて、まずはクラウドサービスを第一候補として考える「クラウド・バイ・デフォルト原則」を打ち出した。クラウドというとセキュリティを危惧する声がいまだ根強いが、セキュリティ意識の高い官公庁がこうした指針を打ち出したことで、民間企業でのクラウド活用もさらに加速しそうだ。

一方、市場にはクラウドサービスが多く存在しており、ユーザーからすれば「どのクラウドサービスが安全なのか」が分かりづらい状況なのも事実だ。

米国ではこうした課題にいち早く対応し、政府がクラウドサービスの安全評価基準プログラム「Fed RAMP(Federal Risk and Authorization Management Program)」を制定し、運用している。「(米国では)IaaS/PaaS/SaaSを問わずクラウドサービスはFedRAMPの認定を受けて展開できる。大手企業もソリューションがFedRAMPの認定を受けたことを積極的にプレスリリースなどでアピールするようになっている」とIDC Japanソフトウェア&セキュリティグループリサーチマネージャーの登坂恒夫氏は解説する。

実際にAWS、グーグル、マイクロソフトなどはもちろん、アドビシステムズ、Box、パロアルトネットワークス、ServiceNow、Zscalerなど多くのクラウド事業者のサービスが認定を受けており、ユーザーが選ぶ際の基準になっている。日本でもFed RAMPなどを参考に安全評価基準の設計が進む。制度が確立されれば、ユーザーも事業者もセキュリティ面を意識するようになり、日本全体でセキュリティレベルの底上げにつながることが期待できる。

IDC Japan ソフトウェア&セキュリティグループ リサーチマネージャー 登坂恒夫氏
IDC Japan ソフトウェア&セキュリティグループ リサーチマネージャー 登坂恒夫氏

重要なのは“使い方”ただ、セキュリティを確保するには安心できるクラウドを選ぶだけでは十分でない。「どうすればクラウドを安全に使えるのか」という意識も重要だ。調査会社ガートナーの予測によると、2023年までに起こるセキュリティインシデントの9割以上がユーザー起因の設定ミスだという。グーグルが「G Suite」のパスワードを平文で保管していたというような事例も存在するが、ユーザー側の運用に問題があるケースの方が多い(図表1)。設定ミスの例としては、AWSのAmazon S3バケット(オブジェクトストレージ)に格納していた機密データが、設定により公開状態になっているといったものが挙げられる。

図表1 ユーザー企業をとりまくクラウドのリスク
図表1 ユーザー企業をとりまくクラウドのリスク

例えば、2017年11月に米国防省がAWS上に収集していた市民の個人情報が、設定ミスにより世界中に公開されていたことが判明。AWSに認証されたユーザーであれば誰でもダウンロードできる状態だったという事件もあった。ささいな過ちが大きなインシデントに繋がった事例であるといえよう。登坂氏は「クラウドとオンプレミスで大きく違う点は、設定ミスが1番の命取りになることだ」と警告する。

>>この記事の読者におすすめのコンテンツ
▼DX加速させるクラウドセキュリティ 「100ms以下」の遅延で快適に利用
▼パブリッククラウドのセキュリティ対策 開発のライフサイクル全体で保護

月刊テレコミュニケーション2019年11月号から一部再編集のうえ転載
(記事の内容は雑誌掲載当時のもので、現在では異なる場合があります)

続きのページは、会員の方のみ閲覧していただけます。

RELATED ARTICLE関連記事

SPECIAL TOPICスペシャルトピック

スペシャルトピック一覧

NEW ARTICLES新着記事

記事一覧

FEATURE特集

WHITE PAPERホワイトペーパー

ホワイトペーパー一覧
×
無料会員登録

無料会員登録をすると、本サイトのすべての記事を閲覧いただけます。
また、最新記事やイベント・セミナーの情報など、ビジネスに役立つ情報を掲載したメールマガジンをお届けいたします。