クラウドのセキュリティは安全？責任分界点の視点からも解説！

クラウドのセキュリティとは

クラウドのセキュリティ対策とは、主に情報漏えい対策です。マルウェアなどへの感染も脅威となりますが、懸念すべきはその結果として社内のデータが流出・喪失するリスクです。そして、このセキュリティ対策はベンダーにゆだねられます。

オンプレミスの場合は、データを自社のサーバや端末内に保存し、それらを自社で管理します。そのため、端末の紛失などによりデータが流出する可能性があります。

一方、クラウドは端末内にデータを保存しないため、その心配はありません。その分、クラウドにデータを保存する性質上、ベンダーのセキュリティ対策に注意が必要です。

クラウドのセキュリティが安全な理由

クラウドサービスは堅牢なセキュリティ体制が整っているため、オンプレミスより安全だといわれています。詳しく見ていきましょう。

大規模データセンターで管理

クラウドのデータは大規模なデータセンターに保存されます。同じサービスを利用する顧客の情報がまとめて管理されます。

クラウドサービスベンダーにとっては、このデータセンターの情報を守り切ることが信用につながるため、高度なセキュリティ対策を施している可能性が高いです。

以前は、クラウドの外部にデータを預けるという性質が、セキュリティ対策上不安視されていました。しかし、近年では自社で管理するより安全性が高いといわれています。

複数のプロフェッショナルが監視

クラウドのデータセンターは複数のプロフェッショナルが監視しているため、堅牢だといえます。具体的には、以下のようなセキュリティ体制を構築しています。

• ●物理的に堅牢な管理施設
• ●データセンターやセキュリティの専門家が監視

こうした環境に守られたデータセンターから情報を盗み出すのは困難です。仮に侵入できたとしても、すぐに発覚するでしょう。発覚が早ければ迅速に対処できるため、被害を最小限に抑えられます。

このように、データセンターは複数のプロフェッショナルにより厳重に保護されています。そのため、自社でデータを管理するよりも安全性が高いといえるでしょう。

また、クラウドのセキュリティには政府が発行している「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」があります。このガイドラインに準拠しているかも、クラウドサービスを比較検討する際の判断基準になるでしょう。

クラウドセキュリティの責任分界点とは

クラウドセキュリティに対して負う責任は、ユーザー（企業）とベンダーで違いがあります。また、どこまでがどちらの責任になるかは、クラウドの種類によっても異なります。種類ごとに詳しく見ていきましょう。

IaaS：インフラまでベンダーが管理

IaaSは、インフラのみを提供するサービスです。ユーザーはそこにOSやアプリケーションを用意して利用します。IaaSの責任は以下のように分かれています。

【ユーザー】

• ■ユーザー管理
• ■アプリケーション
• ■ミドルウェア

【ベンダー】

• ■OS
• ■ハードウェア／ネットワーク
• ■サービス運用

ベンダーが責任を持つのはインフラのみです。それ以外はすべてユーザー側で責任を持ちます。

PaaS：アプリ開発環境までベンダーが管理

PaaSはアプリケーションが稼働するための環境を提供する形式です。ユーザーはここでアプリケーションを開発し、利用します。PaaSの責任は以下のように分かれます。

【ユーザー】

• ■ユーザー管理
• ■アプリケーション

【ベンダー】

• ■ミドルウェア
• ■OS
• ■ハードウェア／ネットワーク
• ■サービス運用

ただし、一部のサービスではアプリケーションはベンダー側が担うものもあります。また、ミドルウェアは基本的にベンダーの管轄ですが、ミドルウェアがアプリケーションに及ぼす影響など、ユーザー側で管理すべきこともあります。

SaaS：アプリケーションまでベンダーが管理

SaaSはベンダーがアプリケーションまでを提供し、ユーザーはそれを利用するのみという形式です。SaaSの責任は以下のように分かれます。

【ユーザー】

• ■ユーザー管理

【ベンダー】

• ■アプリケーション
• ■ミドルウェア
• ■OS
• ■ハードウェア／ネットワーク
• ■サービス運用

アプリケーション層以下はすべてベンダーにゆだねられます。ユーザーはログインIDやパスワード、コンテンツに対するアクセス権限のみを管理します。

ユーザー管理の徹底も必須

クラウドの種類に関係なく、ユーザー管理はユーザー側が徹底しなければなりません。そのためには、社内で以下のような点をチェックしましょう。

• ●アクセス権限が設定されているか
• ●社員が推測されにくいIDやパスワードを利用しているか
• ●パスワード再発行時の体制は適切か
• ●サイバー攻撃に対する社員教育ができているか

データの閲覧や編集、プログラムの実行など、ユーザーごとに細かく権限を設定することで、内部犯行や誤操作による情報流出を防止できます。

また、ログインIDやパスワードを第三者に知られないことも大切です。定期的なパスワード変更の推奨や、サイバー攻撃に関する教育の実施など、セキュリティレベルを高める体制を整えましょう。

堅牢なセキュリティのクラウドを利用して安全なビジネスを！

クラウドのセキュリティは専門家によって守られるため、オンプレミスよりも堅牢と言われています。具体的な体制はベンダーによって異なるので、監視体制の詳細やガイドライン準拠などの点に注目して選定しましょう。

セキュリティの責任はクラウドの種類により異なります。ユーザー管理はどの種類でも必要となるため、社内で体制を整えることが大切です。ぜひ、クラウドサービス導入で安全にビジネスを行う参考にしてください。