クラウドを第一に考える――。政府は2018年6月に「政府情報システムにおけるクラウドサービスの利用に係る基本方針」を公表。政府情報システムにおいて、まずはクラウドサービスを第一候補として考える「クラウド・バイ・デフォルト原則」を打ち出した。クラウドというとセキュリティを危惧する声がいまだ根強いが、セキュリティ意識の高い官公庁がこうした指針を打ち出したことで、民間企業でのクラウド活用もさらに加速しそうだ。

一方、市場にはクラウドサービスが多く存在しており、ユーザーからすれば「どのクラウドサービスが安全なのか」が分かりづらい状況なのも事実だ。

米国ではこうした課題にいち早く対応し、政府がクラウドサービスの安全評価基準プログラム「Fed RAMP（Federal Risk and Authorization Management Program）」を制定し、運用している。「（米国では）IaaS/PaaS/SaaSを問わずクラウドサービスはFedRAMPの認定を受けて展開できる。大手企業もソリューションがFedRAMPの認定を受けたことを積極的にプレスリリースなどでアピールするようになっている」とIDC Japanソフトウェア＆セキュリティグループリサーチマネージャーの登坂恒夫氏は解説する。

実際にAWS、グーグル、マイクロソフトなどはもちろん、アドビシステムズ、Box、パロアルトネットワークス、ServiceNow、Zscalerなど多くのクラウド事業者のサービスが認定を受けており、ユーザーが選ぶ際の基準になっている。日本でもFed RAMPなどを参考に安全評価基準の設計が進む。制度が確立されれば、ユーザーも事業者もセキュリティ面を意識するようになり、日本全体でセキュリティレベルの底上げにつながることが期待できる。

IDC Japan ソフトウェア＆セキュリティグループ リサーチマネージャー 登坂恒夫氏

重要なのは“使い方”ただ、セキュリティを確保するには安心できるクラウドを選ぶだけでは十分でない。「どうすればクラウドを安全に使えるのか」という意識も重要だ。調査会社ガートナーの予測によると、2023年までに起こるセキュリティインシデントの9割以上がユーザー起因の設定ミスだという。グーグルが「G Suite」のパスワードを平文で保管していたというような事例も存在するが、ユーザー側の運用に問題があるケースの方が多い（図表1）。設定ミスの例としては、AWSのAmazon S3バケット（オブジェクトストレージ）に格納していた機密データが、設定により公開状態になっているといったものが挙げられる。

図表1　ユーザー企業をとりまくクラウドのリスク

例えば、2017年11月に米国防省がAWS上に収集していた市民の個人情報が、設定ミスにより世界中に公開されていたことが判明。AWSに認証されたユーザーであれば誰でもダウンロードできる状態だったという事件もあった。ささいな過ちが大きなインシデントに繋がった事例であるといえよう。登坂氏は「クラウドとオンプレミスで大きく違う点は、設定ミスが1番の命取りになることだ」と警告する。