クラウドセキュリティとは

企業がクラウドサービスの価値について議論していたのはそう昔のことではありません。多くの組織が、データ制御におけるトレードオフが、クラウドソリューションがもたらす付加価値、スケーラビリティ、柔軟性に見合うものかどうか懸念していました。

近年では、企業は複雑なセキュリティソリューションやモデルを複数のクラウドソリューションに実装して管理することを検討しています。

クラウドセキュリティのしくみ

クラウドセキュリティは、ビジネスのデータとサービスを保護するための技術的および組織的な対策を組み合わせて実装します。クラウドサービスに応じたカスタムファイアウォールまたはVPNを導入することで、リソースへのアクセスを制御して安全な接続を確立できます。 クラウドとオンプレミスの環境のセキュリティにはいくつかの類似点がありますが、大きな違いもあります。これらの違いを完全に把握するには、クラウドコンピューティングに関する現状を理解することが役立ちます。

クラウドコンピューティングの説明

クラウドコンピューティングとは、オンプレミスのインフラストラクチャを導入して維持するのではなく、インターネット経由でコンピューティングリソースにアクセスすることを指します。極めて投資対効果の高いアプローチであり、柔軟性とスケーラビリティが向上します。

クラウドコンピューティングの最も一般的なアプローチには、以下のようなものがあります。

• Software as a Service（SaaS）：ブラウザからアクセスするWebベースのアプリケーションです。ブラウザの向こうで、必要なすべてのハードウェアやインフラストラクチャを含めた全体が、アプリケーションを提供する企業によって管理されます。
• PaaS（Platform-as-a-Service）：このクラウドサービスは、基盤となるインフラストラクチャの複雑さなしにアプリケーションを開発、実行、管理するためのプラットフォームです。アプリケーションを作成およびデプロイするための完全な開発環境が含まれています。
• IaaS（Infrastructure-as-a-Service）：このモデルでは、組織はWeb経由でアクセスされるインフラストラクチャを設計および構築できます。カスタムネットワーク設定や、仮想マシンやデータストレージなどのリソースへのアクセスが含まれます。

クラウドコンピューティングが広く普及していることを考えると、テクノロジーフットプリントの大きな企業のほぼすべてがマルチクラウドアプローチを採用しているのも不思議ではありません。厳格なデータ管理を必要とする組織やセキュリティ上の懸念を抱える組織でも、機密データをオンプレミスに維持しつつ、機密性の低い情報やワークフローをクラウドサービスに移行することで、ハイブリッドクラウドインフラストラクチャを導入しています。クラウドソリューションであっても、脆弱性に対処するためのアップデートとパッチは必要です。

クラウドセキュリティの種類

クラウドコンピューティングにはメリットがあるものの、クラウドソリューションに移行する際はセキュリティ上の影響も考慮する必要があります。たとえば、ローカルのドメイン権限ではなく、デジタルIDをユーザーに割り当てることで、オンプレミスとクラウドベースのサービスの両方にIdentity and Access Management（IAM）ツールを使用します。これらのIDにより、データのやり取り中の監視と制限が可能になります。

データに関する懸念については、クラウドセキュリティはデータ損失防止（DLP）ソリューションに依存し、アラート、暗号化、その他の予防策を提供することでデータ侵害を防止します。一方、セキュリティ情報およびイベント管理（SIEM）システムは、クラウド環境での脅威の検出と対応を自動化します。

障害から迅速に復旧するには、事業継続性とディザスタリカバリ（BCDR）ソリューションが不可欠です。ミッションクリティカルなシステムを迅速にリストアすることで、セキュリティイベントを最小限に抑えるのに役立ちます。一部のBCDRソリューションには、データのバックアップとレプリケーションなどの機能に加えて、ダウンタイムを最小限に抑えるためのフェールオーバー機能も含まれています。

クラウドコンピューティングの課題とリスク

ほとんどのクラウドサービスはベストプラクティスに準拠していますが、データの保存と移動における透明性が本質的に欠如しているため、サイバー脅威の格好の標的となっています。大量のデータを処理して転送する企業にとって、この問題はクラウドバックアップのセキュリティと並んで最大の課題および懸念事項の一つとなっています。

その他の懸念事項は次のとおりです。

• アクセス管理：オンプレミスのアクセス管理と比較して、WebベースのプラットフォームやSaaSサービスでは、マルチクラウド環境でユーザーやデバイス間で一貫したアクセスを確保することが困難です。
• コンプライアンス：クラウドプラットフォーム全体のコンプライアンス要件は改善されていますが、クラウド内のデータに対する完全かつ透過的アクセスがなければ、こうしたコンプライアンスを順守して一貫した監査を行うことは難しくなる場合があります。
• 人為的ミス：クラウドサービスはインフラストラクチャに特化することでメリットを提供しますが、人為的ミスに起因する誤設定の可能性が排除されるわけではありません。

クラウドのセキュリティ管理とベストプラクティス

クラウドのセキュリティ管理は、技術的および組織的という2つのカテゴリに分類できます。組織側では、ポリシー、手順、災害計画を再考する必要があります。また、業界の要件がある企業は、コンプライアンスを維持し、監査プロセスを実装する上でハードルに直面しています。幸いなことに、クラウドのセキュリティにアプローチするための確立されたモデルとフレームワークがあります。

責任共有モデル

責任共有モデルには、クラウドリソースの保護におけるクラウドサービスプロバイダーの責任と顧客の責任が概説されています。このモデルでは、クラウドサービスプロバイダーが基盤となるインフラストラクチャのセキュリティ保護の責任を負います。一方で、インフラストラクチャ上で実行されるアプリケーションやデータを保護する責任は顧客にあります。

責任共有は一般的なセキュリティ フレームワークですが、その実装はプロバイダーごとに異なります。その範囲を確認するには、AWS責任共有モデルを参照してください。

ゼロトラストのアプローチ

従来のセキュリティモデルは、境界内にあるリソースへのアクセスを制御するフェンスとして機能します。一方、ゼロトラストのアプローチでは、境界は常に侵害されることを前提とし、個々のリソースの保護に重点が置かれます。

この「全か無か」のアプローチはクラウドコンピューティング環境において特に重要です。リソースがどこでどのように実装およびアクセスされるかに関わらず、組織がリソースへのアクセスを安全に保護できるようになるためです。SaaSアプリケーションでも、VMware環境内のミッションクリティカルなワークロードでも、アプローチは概ね同じです。

堅牢なクラウドセキュリティ戦略の柱

すべての組織のセキュリティ要件は使用するデータやテクノロジーによって異なりますが、構築するレベルのセキュリティ基盤を確保するために利用できるフレームワークがあります。米国国立標準技術研究所（NIST）は、企業が予防と復元の両領域における自社のセキュリティ対策を測定するのに役立つ評価を開発しました。この評価は、識別、保護、検出、対応、復元という、NISTのサイバーセキュリティの5本の柱に基づいて構築されています。

ソリューションの選び方

クラウド ソリューションを調査するアプローチは、次のように進める必要があります。

1. セキュリティのニーズを特定する。ソリューションを選択する前に、保護を必要とするリソースの種類や、規制、コンプライアンス要件など、組織のセキュリティ要件を特定することが不可欠です。
2. 責任共有について理解する。問題の各クラウドサービスに責任共有がどのように適用されるかを理解することは、組織が適切なアプローチを開発するのに役立ちます。
3. 導入モデルについて検討する。組織の導入モデルでパブリック、プライベート、ハイブリッドのいずれのアプローチを採用しているかが、クラウドサービスプロバイダーの選択に影響を及ぼします。
4. 統合を確認する。ネットワーク監視ツールやデータの冗長性ためのソリューションといった既存のセキュリティソリューションが、クラウドプロバイダーに対応できることを確認する必要があります。
5. スケーラビリティと柔軟性を考慮する。企業は、提供されるリソースが柔軟かつスケーラブルであり、進化するセキュリティ要件に容易に適応できることを確認する必要があります。

Amazon Web Services（AWS）、Microsoft Azure、Google Cloudを利用している組織は、各プロバイダーが提供するセキュリティプラットフォームをそれぞれ確認することができます。AWS Security Hub、Azure Security Center、Google Cloud Security Command Centerは、それぞれ、複数のクラウドデプロイ全体のセキュリティを一元的に自動化および管理する場所を提供するものです。

使用開始の方法

クラウドセキュリティソリューションの選択は、クラウドプロバイダーの選択と同じくらい複雑になることもあります。利用可能なソリューションの数は膨大で、ニーズも企業ごとに異なるため、万能のアプローチはありません。クラウドに移行する組織は、既存のセキュリティおよびデータ保護戦略のあらゆる側面を慎重に検討することが不可欠です。

AWSとAzureのデフォルトのセキュリティオファーが機能する企業もあるかもしれませんが、そうではない多くの企業は、アプローチを強化するために追加のソリューションが必要だと気付くでしょう。クラウドコンピューティングの世界では、機密性の高い顧客情報のためのクラウドバックアップソリューションや、脆弱性を緩和するためのランサムウェア対策が大きな違いを生みます。