クラウド利用で変わる前提
必要性を見る前に、何が変わるのかを押さえておきましょう。従来の考え方をそのまま持ち込むと、備えに抜けが生じます。
クラウドセキュリティが問われる背景
業務システムやファイルの保管をクラウドサービスに移す動きが広がり、社内のネットワークの中だけを守る考え方では対応しきれなくなりました。データが社外の環境に置かれ、社外からも接続される前提に変わったためです。
利用するサービスの数が増えると、それぞれで設定や権限を管理することになります。どこにどのような情報を置いているかを把握できていない状態では、確認が必要になった際にも対応が遅れます。利用が広がるほど、まとめて把握する仕組みの必要性が高まります。
責任分界点という考え方
クラウドサービスでは、事業者が担う範囲と利用者が担う範囲が契約によって分かれています。この分かれ目を責任分界点と呼びます。どこまでを事業者に任せられるかは、サービスの形態によって変わります。
機器や基盤の部分は事業者が担うことが一般的ですが、利用者のアカウント管理、権限の設定、保存する情報の内容は利用者側の範囲に残ります。この区分を確認しないまま利用すると、誰も見ていない領域が生じます。契約の際に、どこまでが事業者の責任かを書面で確かめておきましょう。
必要性が高まる理由
利用者側に残る範囲で、どのようなリスクが生じ得るのかを三つに整理して確認します。
設定の誤りによる情報公開のリスク
共有の範囲を広く設定したまま運用すると、意図しない相手が閲覧できる状態になる可能性があります。リンクを知っていれば誰でも開ける設定にしたことを忘れる、といった状況も起こり得ます。
設定は利用者が行うため、事業者側の対策では防げません。定期的に公開の範囲を確認する運用や、初期の設定を制限しておく方法が備えになります。利用者が自由に共有設定を変更できる状態が適切かどうかも、あわせて検討しましょう。
認証情報の管理に関わるリスク
クラウドサービスの画面はインターネットに公開されているため、IDとパスワードが判明すれば社外からでも接続されます。他のサービスと同じ組み合わせを使い回している場合、流出した情報が使われる可能性があります。
IDとパスワードだけに頼らず、もう一つの要素で本人を確認する仕組みを組み合わせることが備えになります。管理者の権限を持つアカウントは影響が大きいため、優先して対応する進め方が採られます。退職者のアカウントを確実に停止する運用も欠かせません。
利用状況の把握が難しくなるリスク
部署ごとに必要なサービスを契約していくと、情報システム部門が把握していない利用が生じます。どのサービスにどのような情報が置かれているかが分からなければ、確認が必要になった際に対応できません。
契約の窓口を整理する、利用を申請する手順を設けるといった運用面の整備が必要です。あわせて、社内から利用されているサービスを把握する仕組みを導入する方法もあります。管理を厳しくしすぎると業務の妨げになるため、必要な範囲を見極めて進めましょう。
事業者側と利用者側の役割
責任分界点の考え方を、それぞれの立場から具体的に確認します。
事業者が担う範囲
設備の運用、基盤となる仕組みの更新、物理的な安全の確保といった部分は、一般的に事業者が担います。障害への対応や、提供する機能の脆弱性への対処も含まれます。
どこまでが含まれるかはサービスによって異なります。契約書や公開されている資料で、担う範囲と対応の水準を確認しておきましょう。第三者による認証の取得状況や、過去の稼働状況が公開されているかも、判断の材料になります。
利用者が担う範囲
アカウントの発行と削除、権限の設定、共有範囲の管理、保存する情報の内容、利用者への教育といった部分は利用する側に残ります。ここを整えなければ、事業者側の対策があっても情報が外に出る可能性があります。
誰がこの管理を担うのかを決めておくことも必要です。部署ごとに契約している場合、その部署が管理を担うのか、情報システム部門がまとめて見るのかを整理しておきましょう。担当者一人に集中する体制では、休暇や異動の際に確認が止まる要因になります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でクラウドセキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
対策を進める際の考え方
利用者側に残る範囲での備えを、二つの観点から整理します。
設定と権限の見直し
まず、現在の設定がどうなっているかを把握することから始めます。共有の範囲、外部との共有の可否、管理者権限を持つ人の一覧といった項目を確認します。
異動や退職があった際に権限を見直す手順も定めておきましょう。定期的に棚卸しを行い、不要になった権限を解除する運用が必要です。設定の状態を一覧で確認できる仕組みがあれば、この作業を進めやすくなります。利用しているサービスが複数にわたる場合は、まとめて確認できるかも検討点になります。
利用状況の把握と記録
誰がいつどこから接続し、どのような操作を行ったかを記録として残す設定を確認します。記録があれば、通常と異なる動きに気づける可能性が高まり、確認が必要になった際の調査にも使えます。
記録を残していても、確認する担当が決まっていなければ気づけません。確認の頻度と担当を決め、通知を受け取る仕組みとあわせて整えましょう。記録の保存期間はサービスによって異なるため、必要な期間を保持できるかも確認しておく必要があります。
クラウドセキュリティ製品の選び方
ここまでの内容を踏まえ、製品を選ぶ際の確認事項を整理します。
対象サービスと守りたい範囲の整理
最初に、どのクラウドサービスを対象にするのかを決めます。ファイル共有が中心なのか、業務システム全般か、基盤として利用している環境も含めるのかによって、選ぶべき製品が変わります。
あわせて、何を優先して守るのかを整理しましょう。設定の誤りを見つけたいのか、認証を強くしたいのか、利用状況を把握したいのかによって、必要な機能が異なります。すべてを一度に整えようとすると費用も工数も膨らむため、優先順位を決めて着手することをおすすめします。
検知と通知の仕組み
設定の変更や通常と異なる接続を検知できるか、検知した際に管理者へ通知が届くかを確認します。通知の届け方も、運用の実態にあわせて選びましょう。
通知が増えすぎると確認が追いつかなくなります。条件を調整できるか、対応が必要なものと参考情報を分けられるかもあわせて確かめておきましょう。検知した後にどう対処するかの手順も、あらかじめ決めておく必要があります。
費用とサポート範囲の確認
料金は、利用者数に応じた月額制、対象サービスの数によるプラン分け、機能ごとの追加契約など、製品によって考え方が異なります。対象を段階的に広げる計画であれば、追加時の費用も確認しておきましょう。
サポートについては、どこまで対応してもらえるのかを具体的に確かめます。操作方法の案内にとどまるのか、初期設定や設定の見直しを支援してもらえるのか、検知時の判断を相談できるのかは製品ごとに差があります。専任の担当を置けない場合は、監視を委託するサービスも含めて検討しましょう。
クラウド利用における対策に役立つセキュリティ製品
事業者側・利用者側の役割の分担を踏まえて検討できる製品を紹介します。
GMOトラスト・ログイン
- 社内システム、業務アプリ、複数SaaSのIDを効率的に一元管理
- シングルサインオンで情報漏えいのリスクを減らし、利便性も向上
- 迅速に多要素認証を導入し、セキュリティを強化
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、複数のクラウドサービスへのログインを一元管理できるIDaaSです。多要素認証の設定に対応しており、利用者側で管理すべきアカウント情報の管理負担を軽減できます。クラウド利用時の認証まわりの対策として活用されます。
Cloudbric WAF+
- 特許取得のロジック＆AIエンジンを搭載、高い攻撃検知力
- WAF/DDoS攻撃遮断/API保護/ボット対策/Malicious IP遮断
- 24時間365日監視体制と専門家にお任せのマネージドサービス付帯
ペンタセキュリティ株式会社が提供する「Cloudbric WAF+」は、クラウド上で稼働するWebアプリケーションを保護するクラウド型のWAFです。導入した企業側で設定・運用する対策として位置づけられ、事業者が提供する基盤のセキュリティに加えた備えとして活用されます。
Cloud Access Security Broker (CASB) （Netskope Japan株式会社）
- クラウドアプリの利用状況を可視化・制御
- セキュリティポリシーで機密データを保護します。
- シャドーITやクラウドのリスク可視化と対策
ZscalerZeroTrustExchange （ゼットスケーラー株式会社）
- クラウドネイティブな安全アクセス
- TLS/SSL含む全通信を検査し、脅威と漏えいを防止。
- 最小特権アクセスで攻撃対象領域の縮小を支援。
クラウドセキュリティに関するよくある質問
備えを検討する担当者から寄せられることの多い質問と回答をまとめました。
- Q1： クラウド事業者に任せておけば安全ではないのですか？
- 設備や基盤の運用は事業者が担いますが、アカウントの管理や共有範囲の設定は利用する側の役割として残ります。契約で定められた責任の分かれ目を確認し、自社が担う範囲を明確にしたうえで備えることが必要です。
- Q2： 何から着手すべきですか？
- まず利用しているサービスを洗い出し、どこにどのような情報が置かれているかを把握することから始める進め方が現実的です。そのうえで、共有範囲の設定と管理者権限の確認を優先する例が多く見られます。
- Q3： 小規模な企業でも対策は必要ですか？
- クラウドサービスの画面はインターネットに公開されているため、規模にかかわらず接続を試みられる可能性があります。まずは追加の認証を有効にする、共有範囲を確認するといった費用のかからない対応から始めることもできます。
- Q4： 部署ごとに契約しているサービスはどう管理すればよいですか？
- 契約の窓口を整理し、利用を申請する手順を設けることが基本になります。すでに広がっている場合は、まず一覧を作成して把握することから始めましょう。管理を厳しくしすぎると業務の妨げになるため、必要な範囲を見極めて進めることが望まれます。
まとめ
クラウドセキュリティが必要とされるのは、事業者に任せられる範囲と自社が担う範囲が分かれているためです。アカウントの管理、権限や共有範囲の設定、利用状況の把握は利用する側に残ります。設定の誤りや認証情報の管理、把握できていない利用が課題として生じ得ます。対象サービスと守りたい範囲を整理し、設定の見直しと記録の確認を仕組みとして組み込んだうえで、製品を比べて選びましょう。
