クラウドセキュリティとは？対策やリスクについて解説

クラウドセキュリティの脅威リスク

クラウドの保護は難しいのか

クラウドサービスは、事業者がセキュリティ運用の一部を担うほか、クラウド事業者が提供するセキュリティシステムを用いた効率的なセキュリティ管理が可能です。一方で、「クラウドによってセキュリティオプションが異なる」「データやサービスの場所がわかりにくい」「クラウドの機能が常に変化している」「運用の民主化でリスクが高まる」「データ損失に対する責任は限定される」といった特徴を理解して対策する必要があります。

クラウド環境で考えられるリスクとは？

クラウドベースでのシステム運用では、「パッチ適用の漏れによるマルウェアなどの攻撃」「アクセス制御を含む設定ミス」「フィッシングによるアカウントの乗っ取り」「保護されていないAPIを悪用した不正アクセス」といったリスクがつきまといます。

クラウドのセキュリティによる保護

クラウドセキュリティのベストプラクティス

強固なクラウドセキュリティフレームワークを構築する上で、企業は、下記のような項目におよぶベストプラクティス戦略を策定する必要があります。

リスクを定量化する：クラウド上のすべての情報資産およびその保存場所を文書化し、暗号化を適用します。

アクセス制御を評価する：誰が、どのデータやサービスにアクセスできるのか、本当にそれが必要なのか、を評価します。

責任共有モデルを理解する：セキュリティに関する自社の責任を把握します。

請負業者のセキュリティも確認する：クラウドリソースへのアクセスを、第三者に許可している場合に必要です。

クラウドベースのセキュリティ監視：SIEMツールを導入し、複雑なセキュリティ環境の管理を簡素化します。変化を見逃さない：新しいサービスや機能による影響を理解し、必要に応じてユーザーに注意喚起をします。

変化を見逃さない：新しいサービスや機能による影響を理解し、必要に応じてユーザーに注意喚起をします。

クラウドセキュリティを強化するための3つの対策方法

広範囲におよぶクラウドセキュリティですが、「不要なクラウドサービスを整理し、退職者のアカウントは速やかに削除する」「保管中のデータのほか、移動中のデータについても暗号化する」「パスワードの最小セキュリティ要件を確実に満たした上で、2要素認証を導入して認証を強化する」の3つは最低限の対策として急ぐ必要があります。

クラウドセキュリティの実施のためのガイドライン

「クラウドサービス利用のための情報セキュリティマネジメントガイドライン（経済産業省）」では、8項目についてクラウドサービス利用におけるリスクと対策や、サービス事業者が提供すべき情報などについて紹介しています。このほか、「クラウドサービスの安全・信頼性に係る情報開示指針（総務省）」や「中小企業のためのクラウドサービス安全利用の手引き（独立行政法人情報処理推進機構セキュリティセンター）」などもあり、参考にするとよいでしょう。

一般的なクラウドセキュリティソリューション

SIEMツールの導入は、マルチクラウド環境の保護において効果的な方法です。SIEMを利用すると、1つのダッシュボードで複数のクラウド環境のワークロードを監視でき、運用環境の全体を可視化できます。単一のダッシュボード上でセキュリティアラートを監視して、生成されたセキュリティイベントを一元管理することも可能です。SIEMがもたらす情報は、インシデント発生時の調査プロセスの簡素化にも効果を発揮します。

クラウドセキュリティの導入方法

クラウドセキュリティエンジニアとは

クラウドセキュリティエンジニアは、クラウドベースの資産に関するセキュリティを担当する要員のことです。クラウドセキュリティエンジニアの仕事は、ユーザーアカウントとパスワードの監査、クラウド資産への侵入テストや、シミュレートした攻撃の実施、クラウドシステムにデプロイされたコードの監査、インシデントレポートの分析や攻撃の振る舞いのパターンの調査など多岐にわたり、クラウドセキュリティのさまざまな側面について組織に専門知識を提供します。

クラウドセキュリティを導入する方法

クラウドセキュリティのベストプラクティス戦略を策定したうえで、クラウドベースのSIEMなどによりセキュリティのベースラインレベルを設定し、監視計画を作成する流れが一般的です。次のステップでは、SIEMを使ってクラウド環境の全体を可視化してセキュリティリスクの全体像を把握し、基本的なレベルの保護をもたらすセキュリティルールとプロトコルを確立します。また、各クラウド事業者が提供するセキュリティツールや設定オプションを十分に理解し、セキュリティ担当者が迅速に対応できるようにトレーニングを実施することも重要です。

クラウドセキュリティとクラウドセキュリティエンジニアリングの将来

企業がより多くの業務をクラウドに移行するなか、攻撃による被害も拡大しています。また、IoT製品などのエッジデバイスへのワークロードの移行やサーバーレスアーキテクチャの増加にともなうコードセキュリティの複雑化など、コンピューティングのトレンドがもたらす様々な課題にも対処しなければなりません。加えて、規制が厳格化された顧客のプライバシーに配慮しながら、すべての組織がクラウドセキュリティへの取り組みを強化する必要があります。

結論：クラウド環境のセキュリティには、オンプレミスと同等の注意が必要

サイバーセキュリティについて考えるとき、クラウドセキュリティは、オンプレミスのセキュリティよりも優先されるようになってきました。マルウェアなどの攻撃は、価値の高いクラウドベースの資産を標的にすることが増えていますが、クラウドセキュリティの戦略や戦術がよく理解されていないために、これらの資産は十分に保護されていないことが少なくありません。

• ビデオ「クラウド環境のセキュリティモダナイゼーション」