クラウド セキュリティとは?

クラウド セキュリティはクラウド サービス プロバイダーとその顧客が共同で責任を負うものです。責任範囲は、提供されるサービスの種類によって異なります。

サービスとしてのインフラストラクチャ。このモデルでは、クラウド サービス プロバイダーがコンピューティング、ネットワーク、ストレージのリソースをオンデマンドで提供します。中核的コンピューティング サービスのセキュリティの責任はプロバイダーにあります。顧客はオペレーティング システムとその上にあるものすべて (アプリケーション、データ、ランタイム、ミドルウェアなど) をセキュリティで保護する必要があります。

サービスとしてのプラットフォーム。多くのプロバイダーは、開発とデプロイのための環境全体をクラウドの中で提供することも行っています。プロバイダーは中核的コンピューティング サービスに加えてランタイム、ミドルウェア、オペレーティング システムの保護の責任を負います。顧客はアプリケーション、データ、ユーザー アクセス、エンドユーザー デバイス、エンドユーザー ネットワークを安全に守る必要があります。

サービスとしてのソフトウェア。組織は、Microsoft Office 365 や Google ドライブなどの従量課金制モデルのソフトウェアにもアクセスできます。このモデルでは、顧客はデータ、ユーザー、デバイスに対するセキュリティを提供する必要があります。

次の 4 つのツールがクラウド内で企業のリソースを保護するのに役立ちます。

• クラウド ワークロード保護プラットフォームは、クラウド内のアプリケーションに必要なコンピューティング、ストレージ、ネットワーキングの機能をセキュリティで保護するのに役立ちます。具体的な機能は、パブリック、プライベート、ハイブリッドのクラウド環境内のワークロードを特定し、スキャンして脆弱性を探すことです。脆弱性が発見された場合は、その問題の修復方法が提案されます。
• クラウド アプリ セキュリティ ブローカーは IT チームがクラウド アプリの使用状況を可視化するのに役立ち、各アプリのリスク評価を行う機能もあります。このようなソリューションは、クラウド内のデータの移動を示すツールを備えており、データの保護とコンプライアンス目標の達成にも役立ちます。クラウド アプリ セキュリティ ブローカーは、通常とは異なるユーザーの行動を検出して脅威を修復するのにも使用されます。
• クラウド セキュリティ態勢管理ソリューションでは、侵害につながるおそれのある構成のエラーを継続的に探すことでリスクの縮小を実現します。このプロセスを自動化することによって、手作業のプロセスにおける誤りのリスクを縮小するとともに、多数のサービスとアカウントを持つ環境の可視性を高めます。脆弱性が検出された場合は、問題の修正方法が提案され、開発者はこれを参考にして修正することができます。
• ID およびアクセス管理のソリューションには、ID を管理し、アクセス ポリシーを適用するためのツールがあります。組織はこれらのソリューションを使用して機密性の高いリソースへのアクセスを制限するとともに、多要素認証と最小特権アクセスを適用します。
• クラウドネイティブ アプリケーション保護プラットフォーム (CNAPP) は、セキュリティ チームがコードからクラウドまでセキュリティを組み込むのに役立ちます。CNAPP では、クラウド セキュリティの脅威の防止、検出、対応を開発から実行時まで行うために、コンプライアンスとセキュリティの機能が統合されています。
• 統合型の DevOps セキュリティ管理を利用すると、セキュリティ チームは、複数パイプラインのセキュリティを統合、強化、管理し、セキュリティのシフト レフトによってコード自体にセキュリティを組み込み、単一のコンソールでコードからクラウドまでの保護をサポートできるようになります。

組織のクラウドを保護するための手順とポリシーを制定するときに考慮する必要がある領域は次の 4 つです。

• アクセスを制限する: クラウドによってあらゆるものがインターネットでアクセス可能になるため、適切な人物だけが適切なツールにアクセスできることと、アクセスできる時間の長さが適切であることは、きわめて重要です。
• データを保護する: 組織は保有するデータがどこにあるかを理解して適切なコントロールを実施することによって、データをホストし保存するインフラストラクチャとデータそのものの両方を安全に守る必要があります。
• データ回復: 優れたバックアップ ソリューションとデータ回復計画は、侵害が発生した場合にきわめて重要になります。
• 対応計画: 組織が侵害を受けたときに、その影響を減らすとともに他のシステムのセキュリティ侵害を防ぐための計画が必要です。
• セキュリティのシフト レフト: セキュリティ チームと開発チームが協力してコード自体にセキュリティを組み込むことで、クラウドネイティブ アプリケーションが最初からセキュリティを維持できます。
• DevOps セキュリティ態勢の可視化を統合する: DevOps プラットフォーム全体における DevOps セキュリティ態勢の分析情報を 1 つのビューに表示することで、死角を最小限に抑えることができます。
• セキュリティ チームを新たな脅威に集中させる: クラウド リソースの構成をコードで強化すると、セキュリティの問題が運用環境に持ち込まれるケースを減らすことができます。

組織が警戒する必要があるクラウド リスクは次のとおりです。

• アカウントの侵害: 従業員のパスワードを盗んでシステムと会社の貴重な資産へのアクセスを獲得するために、フィッシングという攻撃がよく使われます。
• ハードウェアとソフトウェアの脆弱性: 組織が使用するクラウドがパブリックかプライベートかにかかわらず、ハードウェアとソフトウェアにパッチが適用されて最新の状態であることはきわめて重要です。
• 内部の脅威:人的エラーは、セキュリティ侵害の大きな要因です。構成の誤りによって、攻撃者が付け入る隙が生まれます。従業員は悪意のあるリンクをクリックしてしまうことや、不注意でデータを安全ではない場所に移動してしまうこともあります。
• クラウド リソースの可視性の欠如: このようなクラウドのリスクは、セキュリティの脆弱性や脅威の検出と対応を困難にし、侵害やデータの損失につながる可能性があります。
• リスクの優先度の欠如: セキュリティ管理者がクラウド リソースを可視化すると、セキュリティ態勢を改善するための推奨事項の数に圧倒されるかもしれません。リスクの優先度を決めることで、セキュリティに最大の効果をもたらすためにどこに重点的に取り組むべきかを管理者が知ることが重要です。
• リスクの高いクラウド アクセス許可: クラウド サービスや ID の普及によって、リスクの高いクラウド アクセス許可の数が増加し、想定される攻撃面が拡大しています。アクセス許可クリープ インデックス (PCI) というメトリックは、ID がアクセス許可に基づいてどれだけの損害を与えることができるかを測定するものです。
• 新たに出現する脅威の状況: クラウド セキュリティのリスクは常に変化しています。セキュリティ侵害やデータの損失から保護するには、新たな脅威が出現しても常に状況を把握しておくことが重要です。
• クラウドネイティブの開発とセキュリティ間での統合の欠如: アプリがクラウドに展開される前に、セキュリティ チームと開発チームが協力してコードの問題を特定し、修正することがきわめて重要です。

クラウド セキュリティとは、クラウドベースのシステムとデータの保護を目的としたテクノロジ、手順、ポリシー、コントロールのことです。クラウド セキュリティのいくつかの例を以下に示します。

• 組織が使用するアプリとデータを可視化する、クラウド アクセス セキュリティ ブローカーなどのツール。
• 構成エラーの特定と修正に役立つクラウド セキュリティ態勢管理。
• セキュリティ チームと開発チームが協力してコード自体にセキュリティを組み込むのに役立つツール。
• セキュリティを開発プロセスに組み込むためのクラウド ワークロード保護プラットフォーム。
• 定期的にソフトウェアにパッチを適用するなど、従業員のデバイスを常に最新状態にするためのポリシーの実装。
• 最新の脅威やフィッシングの手口を従業員に周知徹底するためのトレーニング プログラムの確立。

クラウド セキュリティでは、クラウドのシステムとデータを内外の脅威から保護することで、サイバー攻撃のリスクを縮小します。また、クラウド セキュリティでは、従業員、請負業者、ビジネス パートナーが業務を社内で行うかリモートで行うかにかかわらず、リソースにアクセスできる人を制御できるので、ハイブリッド作業モデルがサポートされます。クラウド セキュリティには、データ プライバシーが強化されて、GDPR や HIPAA などの規制を遵守するのに役立つという利点もあります。これらの規制を遵守できなかった場合は、高額の罰金が科せられて評判が損なわれるおそれがあります。

クラウド セキュリティのベスト プラクティスは、以下のように、組織のテクノロジ、プロセス、コントロールに及びます。

• エラーを減らし、セキュリティを強化し、効果的にアクセスを管理するのに役立つよう、クラウドネイティブのアプリケーション プラットフォームにクラウド ワークロード保護プラットフォーム、クラウド インフラストラクチャ エンタイトルメント管理、クラウド セキュリティ態勢管理が含まれるようにします。
• 従業員がフィッシングの攻撃活動や他のソーシャル エンジニアリングの手法を認識できるよう、定期的なトレーニングを実施します。また、機密データの暗号化、ソフトウェアやハードウェアの定期的なパッチ適用、強いパスワードのポリシーの作成など、攻撃の防止、検出、対応に役立つプロセスを実装します。
• すべてのアクセス要求を明示的に検証するゼロ トラスト フレームワークを導入します。これには、最小特権アクセスの方針に従って、ユーザーにはその人が必要としているリソースに限定してアクセス権を付与することが含まれます。
• DevOps パイプラインにおけるセキュリティのシフト レフトによって、セキュリティ チームと開発チームが協力してコード自体にセキュリティを組み込むことで、クラウドネイティブ アプリケーションが最初からセキュリティを維持できるようにします。