中小企業のクラウドセキュリティ対策一覧
中小企業が取り組みやすいクラウドセキュリティ対策は以下の５つです。
- ●多要素認証の導入
- ●共有設定やアクセス制御の見直し
- ●データのバックアップ
- ●監査ログの確認
- ●クラウドセキュリティツールの導入
利用中のクラウドサービスで簡単に導入できる機能もあるかもしれません。対応しやすい対策から取り組んでいきましょう。
多要素認証の導入
多くのクラウドサービスは「多要素認証」の機能を使用できます。多要素認証とは、知識情報・生体情報・所持情報の３つの認証要素のうち、２つ以上の異なる要素で認証を行うことです。各認証要素の具体例は以下のとおりです。
- ●知識情報：ID・パスワード、秘密の質問など
- ●生体情報：指紋や静脈、顔、声など
- ●所持情報：スマートフォンのSMSやアプリ、USBトークンなど
従来の文字列だけで構成された静的なパスワードには、パスワードの解析による不正アクセスのリスクがあります。多要素認証の導入により、万が一パスワードを知られても悪意のあるアクセスを防げる可能性が高まります。
一方で、「認証フローの追加で、従業員の利便性が損なわれる」という理由から多要素認証を敬遠する企業も少なからずいます。しかし、簡単に導入でき効果も大きいため、中小企業にとっては最初に取り組むべき対策といえるでしょう。
共有設定やアクセス制御の見直し
クラウドサービスにおいて、共有設定のミスで外部企業や一般従業員に機密情報が公開されていた情報漏えい事故が多くあります。正しい共有設定がされているか改めて確認するだけで、セキュリティリスクの軽減が可能です。
重要な情報は一部の従業員しか見られないよう、アクセス制御を施しましょう。これにより、万が一従業員アカウントが乗っ取られても、重要な情報にアクセスされるリスクを軽減できます。アカウントや端末、IPアドレス単位で細かくアクセス制御を設定することが重要です。
データのバックアップ
ランサムウェアなどへの感染で万が一データが使用できなくなった場合に備え、データのバックアップを取っておきましょう。
クラウドサービスは「データを保管してくれている安心感」があるかもしれません。しかしデータセンターのトラブルや、自社を踏み台にしたサービス事業者への攻撃が原因で、データが利用できなくなるリスクも存在します。
自社でも複数の拠点でバックアップを取ったり、オンラインストレージサービスを活用してデータを保管しておいたりすることで、事業の継続性を高められます。したがって、データのバックアップは非常に基本的なセキュリティ対策ですが、災害など有事の際にも有効です。以下の記事では、クラウド上のデータバックアップに便利な無料のオンラインストレージを紹介しているのでぜひ参考にしてください。
監査ログの確認
クラウドサービスによっては、以下のような監査ログを取得・閲覧する機能が搭載されています。
- ●ログイン情報
- ●ゲストユーザーの招待情報
- ●共有設定の変更情報
１週間に１回、１か月に１回などの頻度で監査ログを定期的に確認することで、早期に不正アクセスの兆候に気付き対策が可能です。ただし、監査ログを個別に人力で確認するのは手間がかかるうえ、不正を検知するには専門の知識が必要になります。リソースを割くのが難しい中小企業では、効率化・自動化できるクラウドセキュリティツールを使うのもおすすめです。
クラウドセキュリティツールの導入
クラウドセキュリティツールとは、通信の暗号化やアクセス制御などの方法で、自社のクラウド環境を守るツールのことです。導入すれば、データの消失や情報漏えいなどのリスクを軽減できます。
クラウドセキュリティツールの多くは初心者でも扱えるように設計されており、専任者がいなくても手軽に運用できるのがポイントです。また、ログの確認など手間がかかるフローを短縮できるため、空いたリソースを別の業務に充てられます。
クラウドセキュリティツールは、リソース不足や専任者の不在で悩む中小企業にとって、手軽に自社クラウド環境のセキュリティを強化できる有用な手段といえます。
中小企業におけるクラウドセキュリティツールの選定ポイント
中小企業のクラウドセキュリティツールの選定ポイントは、専任者が在籍しコストやリソースが潤沢にある大企業とは異なります。製品選定時における３つのポイントを解説します。
担当者の操作や管理のしやすさ
人手不足の傾向がある中小企業において、セキュリティの専門知識をもつ人材がいることは少ないでしょう。そこで、ほとんど知識がなくても簡単に操作・管理が可能なツールを導入するために、以下のポイントを確認してください。
- ●操作画面で専門用語が使用されていない
- ●グラフなどで視覚的に情報を確認できる
- ●マニュアルが充実し改めて作る必要がない
知識のない従業員に対し、ゼロの状態からセキュリティを覚えさせるにも限界があります。画面を見れば、誰もが何をすればよいか分かるツールがおすすめです。体験デモや無料トライアルを活用し、導入前に製品を試してみるとよいでしょう。
必要なセキュリティ機能の充実度
クラウドセキュリティツールの機能は多岐にわたるため、既存の環境でカバーできていない部分を補える充実度があるかが重要です。主要な機能は以下のとおりです。
- ●バックアップ
- ●不正アクセス防止
- ●アクセスログ管理
- ●通信の暗号化
- ●脆弱性検知
- ●改ざん検知
- ●自動通知
例えば、利用中のクラウドサービスでログの管理ができない場合は、クラウドセキュリティツールにログ管理機能が必要です。
また、クラウドサービスや端末の状況をダッシュボードで一元管理できる機能があれば、担当者の負担も軽減されるでしょう。
オールインワンな高性能のツールもありますが、当然機能が多いほど値段が高くなる傾向があります。ベンダーにも自社の環境を確認してもらいながら、必要な機能を見極めるのがポイントです。
ニーズに合致した料金プランとライセンス形態
クラウドセキュリティツールは、従来のオンプレミス型（自社サーバにインストールするタイプ）と比較すると低コストなのがメリットです。しかし、クラウドセキュリティツールの料金プランは月額制であったり、トラフィック（通信料）に応じた従量課金制であったりと多岐にわたります。
また、最低契約ライセンス数に制限があり、自社にとって過剰なライセンス数を契約しなければいけないツールも少なくありません。使いやすさや機能の要件を満たしたうえで、自社のニーズに適した料金プランがあるツールを選択し、コストを最小化しましょう。
中小企業におすすめのクラウドセキュリティツール
中小企業におすすめのクラウドセキュリティツールをピックアップしました。機能をチェックして、自社のニーズに合致するものがあれば導入を検討しましょう。
《BLUE Sphere》のPOINT
- WAF/DDoS防御/DNS監視/サイバー保険がオールインワン
- ドメイン無制限で複数サイトを１つの契約で守る！
- 三井住友海上火災保険「サイバープロテクター」が無償で付帯！
株式会社アイロバが提供する「BLUE Sphere」は、主にWebサイトを守るセキュリティツールです。不正アクセスや改ざん防止など多数のセキュリティ機能がオールインワンに。さらにサイバーセキュリティ保険が無償付帯されるため、Webサイト以外を標的としたサイバー攻撃による被害から、従業員の過失による情報漏洩まで幅広く対応します。
製品・サービスのPOINT
- IPS・WAF機能＋クラウド監視の高機能を提供。月次報告書を付与
- 他社製品とは異なり、導入先サーバがダウンするリスクがない
- 面倒な設置工事、追加料金不要。官公庁、上場企業様採用実績多数
株式会社ロケットワークスが提供する「イージスWAFサーバセキュリティ」は、NTTセキュリティ・ジャパン社および国立研究機関の量子暗号技術チームと協業するファイアウォールシステムです。現在のクラウド環境をほぼ変えずに、27種類以上ものサイバー攻撃に対応可能。契約前には30日間の無料診断で、自社へのサイバー攻撃の状況をチェックできます。
《Cloudbric WAF＋》のPOINT
- 特許取得のロジック＆AIエンジンを搭載、高い攻撃検知力
- 5 in 1セキュリティ：WAF/DDoS/脅威IP/悪性ボット遮断/SSL証明書
- 24時間365日監視体制と専門家にお任せのマネージドサービス付帯
ペンタセキュリティ株式会社が提供する「Cloudbric WAF＋」は、特許取得のロジックとAIエンジンを搭載し、高精度でサイバー攻撃を検知できるWAFです。24時間・365日体制で専門家が監視を行うため、不正アクセスの兆候を瞬時に特定し遮断します。グラフを用いた専用コンソールで、専門家でない従業員でも視覚的に検出履歴やセキュリティ状況のチェックが可能です。
製品・サービスのPOINT
- CISが提供する業界ベストプラクティスにてクラウド設定を確認
- 診断後も永続的なクラウド環境設定の監視を実現できる
- 自動診断と手動診断を組み合わせた診断
株式会社神戸デジタル・ラボが提供する「クラウドセキュリティ設定診断」は、自社のクラウド環境におけるあらゆる設定がセキュアに保たれているか確認するサービスです。自動診断と専門エンジニアによる手動診断を組み合わせ、暗号化の設定や共有設定・権限設定に問題がないか確認します。専任者の不在で、何から取り組めばよいか判断できない企業におすすめです。
より多くのクラウドセキュリティ製品が知りたい方は、以下の記事もご覧ください。
まとめ
中小企業が取り組みやすいクラウドセキュリティ対策を紹介しました。多要素認証や監査ログ機能は、自社の既存クラウドサービスにも搭載されている可能性があるので試してみてください。
既存の環境で対策できない部分は、クラウドセキュリティツールで補うのがおすすめです。リソース不足や専任者の不在で悩む中小企業は、クラウドセキュリティツールを活用して手軽にセキュリティを強化しましょう。
