クラウドセキュリティとは？対策やリスクについて解説

クラウドセキュリティとは？ その概念を理解する

「クラウドセキュリティ」とは、何を意味する？

クラウドセキュリティについて解説する前に、クラウドサービスについて簡単におさらいしておきます。クラウドサービスは、インターネットを介してソフトウェアやアプリケーション、データや、リソースなどを利用するサービスです。かつて主流だったオンプレミスシステムが社内に構築され、LANやWANを介して利用する専用環境であるのに対し、誰もが利用できるインターネット環境で提供されるサービスという点で大きく異なります。

そして、クラウドセキュリティは、クラウドサービスを利用するなかで、クラウド上（すなわち社外）に置かれる情報やデータを保護するために必要なセキュリティ対策ということになります。クラウドサービスには、サービスの提供範囲に応じ、IaaS/PaaS/SaaSといった種類があり、それぞれユーザーとクラウド事業者のセキュリティに関する責任範囲が異なります。一般的には、IaaSが最もユーザーの責任範囲が多く（クラウド事業者の責任範囲が少なく）、クラウドセキュリティに求められる機能も変わってきます。

クラウドサービスの安全性を表すセキュリティ基準

多くのクラウド事業者は、自社サービスの安全性を証明する“セキュリティ基準”を公表しています。強固なクラウドセキュリティを実現するには、認証制度のセキュリティ基準をクリアしているクラウドサービスを選ぶのも1つの方法です。下記では、代表的なセキュリティ基準をいくつか紹介します。

ISMSクラウドセキュリティ認証：ISO発行の国際規格で、多くのクラウド事業者が取得しています。

CSマーク：特定非営利活動法人日本セキュリティ監査協会（JASA）による情報セキュリティ監査制度です。

CSA STAR認証：米国のセキュリティ団体（Cloud Security Alliance）によるセキュリティ成熟度の評価制度です。

StarAudit Certification：EuroCloud Europeによる認証制度です。

FedRAMP：米国政府機関が採用するクラウドセキュリティのガイドラインです。

クラウドセキュリティで考慮すべき主な事項

クラウドセキュリティでは、従来のオンプレミスシステムのデータセキュリティにはなかった、新たな課題やアプローチが求められます。特に、下記のようなリスクを踏まえて運用する必要があります。

クラウドもオンプレミス同様の攻撃を受ける：IaaSの場合、実際に事業者が責任を負うのは仮想サーバーのOSまでで、ファイアウォールの設定ミスやパッチ適用の漏れなどは、ユーザーの責任となります。

共有リソースは、リスクを高める：アプリケーションとデータが、仮想サーバー上の共有環境に保存されるため、セキュリティ対策がより複雑になります。

動的な性質に対応するセキュリティ運用が必要：動的なクラウド環境の保護では、セキュリティ運用とチェックポイントを導入プロセスに組み込み、すべてのワークロードを本番環境に移行する前に保護する必要があります。

マルチクラウド環境は、さらに複雑：クラウド間でデータが往き来し、ログインの資格情報の適正管理が欠かせないマルチクラウド環境の管理は、極めて複雑になります。

クラウドコンピューティングにおいて、セキュリティが重要な理由

多くのワークロードとデータが、クラウドへと移行し続けるなか、サイバー攻撃者の戦略がクラウドに特化した攻撃にシフトし、ますますクラウドセキュリティの重要性が増しています。クラウド事業者を直接標的とした攻撃に成功した例がいくつか報告されており、実際に不正アクセスを許したあるクラウドサービスは4年間もの間、そのことに気づかず、最終的に全ユーザーのアカウントをリセットせざるを得なくなりました。