業種別でIT企業のクラウドセキュリティが機能しない理由
クラウドセキュリティを導入しても、守る対象に含まれていないサービスは点検されません。IT企業では利用するクラウドの種類が広がりやすく、検知の範囲とのずれが生じる場合があるため、その背景を見ていきましょう。
検知の対象外となるクラウドサービスの存在
クラウドセキュリティは、製品ごとに対応しているクラウドやサービスの範囲が決まっています。主要なクラウドの代表的なサービスには対応していても、新しいサービスや利用者の少ないサービスは対象外となる場合があります。
対象外のサービスに設定ミスがあっても、製品は何も知らせてくれません。導入したのに効果を感じにくいという状況は、こうした対応範囲のずれが原因の一つです。利用中のサービスを把握しないまま契約すると、この問題に気づくのが遅れます。
開発環境やSaaSの利用が広がる影響
IT企業では、開発や検証のために、多様なクラウドサービスを組み合わせて使う場合があります。担当者の判断で新しいサービスを試す機会も多く、利用中のサービスの種類は短期間で変わりやすい傾向があります。
導入時に確認した対応範囲が、数か月後には実際の利用状況と合わなくなる場合もあります。部署ごとに独自にサービスを契約している組織では、特に注意が必要です。導入後の見直しの担当者と時期は、導入前から決めておきましょう。
対象外に気づきにくい運用上の背景
管理画面に警告が表示されていなければ、問題はないと受け取ってしまいがちです。しかし、警告がないことは、点検の対象が正しく設定されていることを意味するとは限りません。
対象のクラウドやアカウントが登録されているかを、定期的に確認する仕組みが必要です。担当者が交代すると、登録の経緯が引き継がれず、対象外の状態が続くケースもあります。登録の状況を一覧で見られる製品だと、確認の手間を抑えられ、引き継ぎの際にも役立ちます。
業種別に見るクラウドセキュリティの懸念点
業種によって、扱う情報や守るべき基準、使うクラウドの種類は異なります。自社の業種に近い例を知っておくと、製品の対応範囲を確認する際に、見るべき項目を絞り込みやすくなります。
医療や介護で問われる個人情報の扱い
医療や介護の分野では、患者や利用者の機微な個人情報を扱います。クラウド上にデータを置く場合は、業界が定めるガイドラインに沿った管理が求められます。漏えいした場合の影響が大きく、慎重な対応が必要な分野です。
クラウドセキュリティを選ぶ際は、データの保管場所や、アクセスの記録を残せるかを確認しましょう。ガイドラインへの対応は製品ごとに異なるため、提供会社に問い合わせるのが確実です。回答は文書でもらっておくと、社内の説明にも使えます。
金融や保険で求められる基準への対応
金融や保険の分野では、業界団体や監督官庁の指針にもとづく安全対策が求められます。点検の履歴や、設定の変更の記録を、監査に備えて残しておく必要がある場合もあります。保存の期間や形式も、指針によって定められている場合があります。
そのため、報告書の出力や、記録の保存期間を確認することが大切です。自社が従う指針の名称を提供会社に伝え、対応状況を具体的に確認するとよいでしょう。口頭ではなく、資料で裏づけをとると確実です。
製造業や小売業で異なるクラウドの使い方
製造業では、工場の設備や生産管理のデータをクラウドへ集める場合があります。小売業では、販売や在庫、顧客のデータを複数のサービスで扱う場合があります。データの種類によって、適したサービスも変わります。
業種によって、使うクラウドサービスの種類や守る対象が違うため、検知の対象に含まれるかを個別に確認する必要があります。一つの業種の成功例が、自社に当てはまるとは限りません。自社の構成を踏まえた確認が大切です。
検知の対象外を防ぐための確認項目
対象外の問題を避けるには、導入前の確認が欠かせません。製品の資料に書かれた「対応」の表記を、自社が使うサービスにあてはめて具体的に確かめることが、選定の基本です。
対応サービスの一覧と更新状況の確認
まず、自社が利用しているクラウドサービスの名称を一覧にします。そのうえで、製品の対応サービスの一覧と照らし合わせ、対象に含まれていないものがないかを確認しましょう。利用者の少ないサービスほど、見落としやすい点に注意が必要です。
新しいサービスへの対応を、どのくらいの頻度で追加しているかも重要です。対応の追加の履歴や、今後の予定を、提供会社に尋ねてみてください。更新情報が公開されているかも、参考にできます。
自社独自のシステムやAPIの扱い
IT企業では、自社で開発したシステムや、独自のAPIをクラウド上で動かしている場合があります。こうした独自の構成は、汎用的な製品の点検の対象にならない場合があります。標準的な機能では守れない部分が、そのまま残りかねません。
独自のシステムを点検するには、ルールを追加できるか、別の仕組みと組み合わせるかの検討が必要です。対象外となる範囲は、あらかじめ明らかにしておきましょう。補う手段を決めておくと、導入後に慌てずに済みます。
検知対象を追加する方法と手間の確認
対象外のサービスが見つかった場合に、どのように追加できるかを確認します。提供会社への依頼が必要なのか、利用者自身で設定できるのかで、対応にかかる時間が変わります。急ぎで必要になる場合は、特に重要な点です。
追加にかかる費用や、対応の期間も、契約前に確かめておくと安心です。追加できない場合の代替手段について、提供会社の考えを聞いておきましょう。他の製品との併用を提案される場合もあるため、費用の総額も確認してください。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でクラウドセキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
導入後に対象外を見つける運用の工夫
導入時に対象を確認しても、利用するクラウドは変わっていきます。対象外を早く見つけて埋める運用が、クラウドセキュリティを機能させ続けるために必要です。
クラウド利用状況の定期的な棚卸し
契約中のクラウドサービスやアカウントを、定期的に一覧にして見直します。経理の支払い記録や、各部署への聞き取りを手がかりにすると、情報システム部門が把握していなかった利用が見つかる場合があります。
見つかったサービスは、点検の対象に含まれているかを一つずつ確認し、含まれていなければ追加の手続きを進めましょう。棚卸しの頻度は、四半期ごとなど、組織の事情にあわせて決めるとよいでしょう。新しい部署ができたときも、実施の好機です。
新しいサービスを使う際の申請と登録の流れ
新しいクラウドサービスを使い始めるときは、事前に申請する仕組みを設けるのが有効です。申請の際に、セキュリティ製品の点検の対象に加える手続きもあわせて行います。これにより、登録の漏れを防ぎやすくなります。
申請の流れが複雑だと、現場が申請をせずに使い始めるおそれがあります。必要な項目は少なくして、承認から登録までの担当者を明確にしておきましょう。例外の扱いも決めておくと、無理なく運用を続けられます。
検知範囲を見直す定期的な点検
棚卸しとは別に、製品の設定を点検する機会を、年に数回は設けましょう。対象のアカウントや、除外の設定が意図せず残っていないかを確認します。一時的に外した設定が戻されていないケースもあるため、注意が必要です。
点検の結果は記録に残し、除外した理由も書き留めておくと、後で判断の根拠を確認できます。製品の更新で対応範囲が広がった場合は、その内容を反映して守る範囲を広げましょう。担当者の間で、更新情報を共有しておくと確実です。
業種別にIT企業が検知範囲を確かめたい製品
検知される範囲は製品ごとに異なります。コンテナやSaaS、IDやWebサービスの防御など、対象の異なる製品を紹介します。
GMOトラスト・ログイン
- 社内システム、業務アプリ、複数SaaSのIDを効率的に一元管理
- シングルサインオンで情報漏えいのリスクを減らし、利便性も向上
- 迅速に多要素認証を導入し、セキュリティを強化
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、複数のSaaSや業務アプリ、社内システムのIDを一元管理できるクラウド型のID管理（IDaaS）です。アクセス管理に対応し、多要素認証を迅速に導入できます。利用するクラウドサービスが増えやすいIT企業では、サービスごとに分かれがちなアカウントの管理を整理する手段として検討できます。提供形態はクラウド、SaaSです。問い合わせは電話、チャット、メールで行えます。
Cloudbric WAF+
- 特許取得のロジック＆AIエンジンを搭載、高い攻撃検知力
- WAF/DDoS攻撃遮断/API保護/ボット対策/Malicious IP遮断
- 24時間365日監視体制と専門家にお任せのマネージドサービス付帯
ペンタセキュリティ株式会社が提供する「Cloudbric WAF+」は、特許取得のロジックとAIエンジンを搭載した、クラウド型のWAFサービスです。DDoS攻撃遮断、API保護、ボット対策、Malicious IP遮断も備え、不正アクセスの検知に対応します。自社のWebサービスやAPIを公開しているIT企業では、クラウド設定の点検とは別に、外部からの攻撃を防ぐ層として検討できます。提供形態はクラウド、SaaS、サービスです。
TrendAI Vision One Container Security （トレンドマイクロ株式会社）
- ビルド時にコンテナイメージの脆弱性や機密情報を検出
- ポリシーに基づきデプロイを制御し安全なコンテナのみ稼働
- 稼働中コンテナの不審な挙動を監視し脅威を検知
CrowdStrike Falcon Cloud Security （クラウドストライク合同会社）
- クラウド環境の設定ミスをリアルタイムで検知できる
- クラウド上のワークロードやコンテナを脅威から守れる
- AWS・Azure・GCPなど複数のクラウドに対応する
Cloud Access Security Broker (CASB) （Netskope Japan株式会社）
- クラウドアプリの利用状況を可視化・制御
- セキュリティポリシーで機密データを保護します。
- シャドーITやクラウドのリスク可視化と対策
AppOmni （株式会社日立ソリューションズ）
- SaaSの権限や設定の不備を自動で診断
- 自社のセキュリティポリシーに沿った診断が可能
- 疑わしいアクセスを検知し管理者へ通知
クラウドセキュリティに関するよくある質問
クラウドセキュリティの業種別の懸念点について、導入前に寄せられやすい質問と回答をまとめました。
- ■Q1：クラウドセキュリティを導入したのに、検知されないサービスがあるのはなぜですか？
- A：製品ごとに対応するクラウドやサービスの範囲が決まっており、範囲外のサービスは点検されないためです。導入前に、自社が使うサービスが対象に含まれているかを確認しましょう。
- ■Q2：IT企業は特にどんな点に注意すべきですか？
- A：開発や検証で使うクラウドの種類が増えやすいため、対応範囲とのずれが生じる場合があります。定期的な棚卸しと、新しいサービスを使う際の登録の流れを整えておくと、対象外を見つけやすくなります。
- ■Q3：業種によって選ぶ製品は変わりますか？
- A：扱う情報や従うべき指針が異なるため、確認する項目は変わります。医療や金融など指針のある業種では、報告書や記録の保存への対応も、製品選びの材料です。
- ■Q4：対象外のサービスが見つかったら、どうすればよいですか？
- A：提供会社に、対象へ追加する方法と期間、費用を問い合わせます。追加が難しい場合は、別の仕組みで補うか、製品の見直しを検討しましょう。
まとめ
クラウドセキュリティは、検知の対象に含まれないサービスがあると、うまく機能しない場合があります。IT企業では利用するクラウドが増えやすく、業種ごとに従うべき指針も異なります。導入前に対応サービスを具体的に確認し、導入後も棚卸しを続けましょう。まずは資料請求で複数製品の対応範囲を比べてみてください。
