クラウドセキュリティとは？
考えられるリスクと対策方法、選び方を解説！

クラウドセキュリティとは何か

「クラウドセキュリティ」は、まだあまり聞き慣れない単語かもしれません。インターネットを介したクラウド環境の利用が進むなか、従来とは異なるクラウド環境特有のリスクに対するセキュリティの必要性、具体的なセキュリティ対策を表す言葉です。クラウドが登場した当初は「クラウドはセキュリティが不安」などという声もありましたが、ネットワーク技術の進展はもちろん、ワークスタイルの多様化、リモートワークの普及などで、クラウドの利用は加速しています。クラウド環境の積極的な活用はビジネスの競争力を高めること、さらには従業員に快適で、フレキシブルな仕事環境を提供するために不可欠となっています。企業には、クラウドセキュリティを十分に理解し、適切な対策を行っていくことが求められています。

クラウドセキュリティの重要性

クラウドセキュリティの重要性は、クラウドの利用が進み、その利用形態が多様化するにつれて、ますます重要になっています。インターネットを介して、企業のICTシステムに必要なコンピュータリソースを提供するクラウドは、自社でハードウェアやソフトウェアなどのリソースを保有する手間やコストがかからず、必要なときにすぐに導入でき、社内で運用や保守を行わずに済み、システム担当者の負担を減らすことができます。クラウドセキュリティはインターネット接続環境さえあれば、どこからでも利用でき、リソースの追加・拡張が容易などの理由から、利用が進んでいます。当初はWebサーバなどの利用からスタートしましたが、今では金融機関が勘定系システムをクラウドで構築したり、行政もクラウドでのシステム構築を進めています。クラウドの活用が進むとともに、クラウドセキュリティの重要性は大きくなっています。

またクラウド環境の使い方も多様化しています。オフィスからクラウドに接続するだけでなく、営業先や出張先はもちろん、リモートワークの自宅から日常的に社内システムにアクセスするようになってきています。従来は、オフィスからクラウドにアクセスする際のセキュリティに配慮していればよかったのですが、現状では例えば、リモートワークの社員が自宅からクラウドにある社内システムにアクセスする際のセキュリティにも配慮しなければなりません。
働き方の多様化が進むにつれて、クラウドセキュリティの範囲は広がっています。

クラウドセキュリティのメリット

クラウドセキュリティは、クラウド環境特有のリスクに対してセキュリティ対策を行うことですが、それはつまり、セキュリティ対策をクラウドサービスを利用して行うことともいえます。例えば、自社でITシステムを保有し、運用するオンプレミス環境では、社員からのリモートアクセスに対応するには、ネットワーク機器の追加やネットワーク回線の増加が必要になるうえ、セキュリティ対策の強化も必須でした。
しかし、クラウド環境であれば、それらはクラウド事業者がサービスとして揃えており、すぐに利用可能。利用が増えた場合にも、すぐに対応可能です。

クラウドセキュリティのデメリット

一方、クラウドセキュリティのデメリットはクラウド環境も、クラウドを使ったセキュリティ対策も完全にクラウド事業者に依存してしまうことです。万一、クラウド事業者にトラブルや障害が発生した際には、クラウド環境もセキュリティ対策も機能しなくなります。
また当然ですが、インターネットに依存することもクラウドのデメリットとなります。特に社員がリモートワークで自宅からアクセスする場合、インターネット接続は社員が用意したものを利用するケースが多く、帯域が十分ではなかったり、接続が不安定になるケースもあります。

クラウド環境におけるセキュリティリスク

クラウド環境におけるセキュリティリスクには、どのようなものが考えられるでしょうか。
クラウド環境は、インターネットを介して、ITリソースを利用します。インターネットは不特定多数が利用する公衆網であり、さまざまなリスクが存在しています。ここでは、クラウド環境における代表的なセキュリティリスクとして、不正アクセス、情報漏えい、サイバー攻撃、データ消失を取り上げます。

リスク1.不正アクセス

不正アクセスとは、正規のユーザではない（悪意を持った）第三者がシステムへの侵入を試みて、システムにアクセスすることをいいます。クラウド環境におけるセキュリティリスクの大部分は、不正アクセスと言っても過言ではありません。第三者の不正アクセスの目的はさまざまです。単に愉快犯的にITシステムへの侵入を試みて、社内のデータなどを盗み見る者から、より重要な情報・機密情報などの入手を狙ってマルウェアを仕込む者、サイバー攻撃の踏み台として利用するためにシステムへの侵入を試みる者もいます。
従来、社内でITシステムを運用している際には、社内システムが外部のネットワーク環境と接している部分を厳重に管理することがセキュリティ対策のポイントでしたが、クラウド環境ではアクセス手段がより多様化し、守るべきポイントも多様化しています。

リスク2.情報漏えい

情報漏えいは、不正アクセスなどによって発生するセキュリティリスクのうち、最もわかりやすいものといえるでしょう。クラウド環境にある社内システムにアクセスする際は、ほとんどの場合、ID、パスワードを使ってアクセスすることになります。このID・パスワードが外部に漏れてしまった場合、例えば、カフェなどでリモートワークをした際に盗み見られてしまった場合、第三者に簡単にシステムに侵入されてしまうことになります。機密情報や個人情報の漏えいは、顧客などに直接的な被害を与えてしまうことはもちろん、損害賠償として多額の賠償金を支払うことになりかねません。また取引先や外注先に損害を与えてしまうことは、会社の信頼性や評判を大きく傷つけることにもつながります。クラウドというインターネットを介して、アクセスできる環境にデータを置いていることを意識し、ID・パスワードは厳重に管理することが大切になります。

リスク3.サイバー攻撃

インターネットに接続されているサーバには、サイバー攻撃を受けるリスクがあります。クラウド環境に置かれた社内システムは一般に公開されているわけではありませんが、一般向けに公開しているWebサーバやクラウド事業者自体がサイバー攻撃を受けてしまうと、業務で使用するシステムにアクセスできない状態になってしまいます。
サイバー攻撃にはさまざまな種類がありますが、例えば、DDoS攻撃は、ターゲットとなるサーバに対して、複数のコンピュータから大量のデータを送信して、サーバをダウンさせる攻撃です。DDoS攻撃自体は、システムへの侵入を試みる攻撃ではありませんが、サーバやネットワークがダウンし、正常に稼働しなくなっているところを狙って、不正アクセスを行うケースもあります。また不正アクセスによって、DDoS攻撃にサーバが利用されてしまうこともあります。その場合は、被害者であると同時に、サイバー攻撃の加害者になってしまいます。

リスク4.データ消失

クラウド環境は、従来のITシステムと比べると、使い勝手が良く、情報やデータの共有などが行いやすいというメリットがあります。その一方で、簡単に、気軽に利用できるからこそ、ユーザのエラーを誘発しやすくなっているともいえます。「クラウドで共有していたデータを誤って消去してしまった」「どこかに移動させてしまい、場所がわからなくなった」などは、比較的よく聞くトラブルです。特にクラウドへの移行直後は、ユーザが新しい環境になれていないこともあり、注意が必要です。
またクラウド事業者のサーバに社内システムやデータを預けることになるので、事業者の信頼性はきわめて重要になります。事業者の作業の不手際などでデータが失われるといったことがないよう、クラウド事業者のバックグラウンドや経験、スキルをはじめ、万一の際のデータのバックアップ体制を確認しておくようにしましょう。

クラウドサービスの利用によるセキュリティ対策

クラウドサービスは、従来、社内でハードウェアやソフトウェアを保有し、構築、運用してきた基幹システムや情報システムなどを利用する場合と異なり、インターネットを介して利用するという特徴に応じたセキュリティ対策が必要になります。
まず、一番に意識すべき点は、クラウド事業者がすでに準備しているサーバを利用するということ。サーバの運用やデータの保管は、完全にクラウド事業者に依存することになります。クラウド環境を実際に利用する際には意識することはなくても、クラウド事業者と契約し、クラウドサービスを利用する前には、「サーバはどのような場所に置かれているのか」「サーバルームのセキュリティ対策はどうなっているのか」「データのバックアップはどのように行われているのか」などを確認することが不可欠です。

クラウドサービスの利用は、自社でITシステムの運用や保守を行う必要がなくなり、コスト面や運用負荷の面で大きなメリットがありますが、事前にクラウド事業者の信頼性、運用スキルなどを十分に精査することが必要です。
クラウドサービス事業者が行うべき主なセキュリティ対策には、次のようなものがあります。それぞれの項目について、複数のクラウドサービス事業者を比較・検討するとよいでしょう。

クラウドサービス事業者が行うべき主なセキュリティ対策
・データセンターの物理的なセキュリティ対策（災害対策や侵入対策など）
・データのバックアップ体制（手段や頻度）
・ハードウェアの障害対策
・仮想サーバの脆弱性対策
・不正アクセス対策
・アクセスログの管理
・通信の暗号化の有無

また、クラウドサービス事業者の精査とともに、利用する社員の情報セキュリティ教育も不可欠となります。

クラウドセキュリティガイドラインによるクラウドセキュリティのリスクと対策

「クラウドセキュリティガイドライン」は、経済産業省が2011年4月に公開した「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」の通称です。
ガイドラインでは、国際規格「ISO/IEC 27002」（情報セキュリティマネジメントの実施においてのベストプラクティス）をもとに、クラウドサービスを利用するユーザ、そしてクラウドサービスを提供する事業者の双方にとって、安心・安全な情報セキュリティを実現するために必要なことが、双方の視点からまとめられています。

2014年3月には、クラウドサービスの普及と多様化、それに伴う情報セキュリティリスクの増大・多様化に合わせて内容の追加・改訂が行われました。
クラウドサービスにおける情報セキュリティは、クラウド事業者のみ、ユーザのみの取り組みや努力だけでは実現できません。双方が高いセキュリティ意識を保ち、日々対策を実施していくことが重要です。
「クラウドセキュリティガイドライン」の中で「クラウドサービスのリスクと対策」として、次の8つの項目があげられています。

・インフラ
・仮想化基盤
・サービス基盤
・統合管理環境
・データ管理
・データ分類
・ID管理
・人員

1.インフラ

クラウドサービスの利用にあたっては、まずクラウド事業者のインフラについてのリスクを精査することが第一となります。この場合、インフラとはネットワーク、ネットワーク機器、データセンタ施設、そしてデータセンタの人員もインフラといえます。ガイドラインにあげられている具体的なリスクと、対策は次のとおりです。

［セキュリティリスク：対策］
通信の傍受：通信の暗号化
中間者攻撃やなりすまし：証明書などを活用した認証
内部ネットワーク管理の不備：ネットワーク機器の物理的な保護、ネットワークの構成管理・容量管理
VLAN上のトラブル：ネットワーク機器の構成管理・キャパシティ管理
データセンターへの不正な入退館：建物・敷地への入退室管理
機器への直接的な攻撃：重要な機器に対する多層防御
意図しない操作ミス：手順書の作成、運用者の訓練
内部関係者による意図的な攻撃：入室や機器へのアクセスの認可レベルの明確化
電源喪失によるサービス停止：バックアップ電源の確保と定期的なテスト

2.仮想化基盤

クラウドサービスは、一般的なデータセンターとは異なり、コンピュータリソースが仮想化して提供されます。仮想化基盤のセキュリティリスクは、クラウドサービス特有の問題。比較的新しい技術のため、仮想化基盤の事故に備えた対応の不備が課題となります。

［セキュリティリスク：対策］
事故に備えた対応の不備：インスタンスのバックアップ、システム構成のテンプレート作成、バックアップデータのリストア体制

3.サービス基盤

サービス基盤に関するセキュリティリスクは、単一障害点となるサービス（ID管理サービス、ストレージサービスなど）に関する脅威と、共有サービスに関する脅威があります。共有サービスに関する脅威とは、同じ物理サーバを共有している利用者への攻撃、ストレージサービスへの攻撃などです。決済サービスも共有サービスにあたります。また、他社サービスと連携させたサービスを利用する際には、他社サービスへの依存も検討する必要があります。

［セキュリティリスク：対策］
単一障害点となるサービスに関する脅威：単一障害点の明確化、サービスの冗長化
共有サービスに関する脅威：リージョンの確認、共有サービスの理解・対応

4.統合管理環境

クラウドサービスを利用する際には、統合管理環境、つまりはコントロールパネルを使ってさまざまな機能を利用したり、処理を実施します。コントロールパネルが攻撃されると、サービスをすべて止められてしまう可能性があります。監視環境にも同じようなことが当てはまり、監視サービスへの攻撃やシステムログの改ざんなどの脅威があります。

［セキュリティリスク：対策］
統合管理環境に関する脅威：適切なアクセス管理
監視環境に関する脅威：IDS（不正侵入検知システム）などホストレベルでの監視

5.データ管理

クラウドサービスでは、多くのユーザがデータを共有できるようになり、従来よりも使いやすくなる反面、データ管理が不明確になることがあります。さらに不要なデータをクラウドに保存したり、データを不正にダウンロードするといったガバナンスの喪失が発生します。またクラウドサービスはデータを一元化することが可能ですが、ウイルス感染などをした場合の被害も大きくなる可能性があります。

［セキュリティリスク：対策］
データ管理におけるガバナンスの喪失：情報資産の分類方針の明確化、アクセス権の設定
不正なデータの取得によるウイルス感染：ウイルススキャン

6.データ分類

新たにクラウドサービスを利用した場合、従来のデータ分類方針とクラウドサービスのアクセス権限の設定が一致しないこともあります。その場合は適切なルールを作成し直さなければなりません。データを適切に分類できないために適切なアクセス権を設定できないリスクがあります。また適切なアクセス権が設定できていないことで、データの作成、保管、利用、共有、廃棄といったライフサイクル管理ができなくなるリスクもあり、データの漏えいや流出を招く可能性があります。

［セキュリティリスク：対策］
適切なアクセス権の設定不能：データの利用に関するアクセス権を工夫
データ管理におけるライフサイクル管理の欠如：手順の明確化
データ漏えい・流出：適切なアクセス管理

7.ID管理

クラウドサービスでは、ユーザのアクセス権に基づいてデータ管理をおこなっているため、ID管理がより重要になります。さまざまなデータを結びつけるキーにもなります。またクラウドサービスの1形態であるSaaSなどでは、他のサービス（SNSなど）のIDを使ってログインするIDフェデレーションが可能なものもあります。ただし、ID管理のもととなるサービスにトラブルが発生した場合、IDフェデレーションを利用していたサービスにアクセスできなくなったり、万一、IDやパスワードが漏えいした場合、被害が拡大してしまうので利用する場合は注意が必要です。

［セキュリティリスク：対策］
クラウドにおけるID管理：二要素認証や二段階認証
IDフェデレーションのトラブル：サービスごとのID管理レベルの設定

8.人員

クラウドサービスに限らず、どのようなサービスやシステムも、利用したり、運営するのは人間です。クラウドサービスでは、利用者のリテラシー不足、クラウドサービスの構築・運用・管理に関するリテラシー不足が人員に関する主なセキュリティリスクとなります。

［セキュリティリスク：対策］
クラウド利用者のリテラシー不足：セキュリティ教育・研修
クラウドサービスの構築・運用・管理に関するリテラシー不足：手順の明確化・研修、監視体制の構築

クラウドセキュリティで暗号化を活用する際のポイント

クラウドサービスは、ID・パスワードが漏れてしまったり、サーバの公開設定ミス、利用者の誤った使い方などで、データが漏えいしてしまう可能性があります。そうした懸念への対策として有効になるのがデータの暗号化です。

暗号化を活用するメリット

クラウドセキュリティにおいて暗号化を活用するメリットは、具体的にどのような点でしょうか。クラウドに保存するデータを暗号化しておくことで、万一、不正アクセスなどで情報が漏えい・流出しても、データの内容を第三者が閲覧することは難しくなります。
またインターネットを介してクラウド環境とデータをやり取りする際も、データが暗号化されていれば、仮に途中でデータが不正に傍受された場合でも、内容を理解することができなくなります。クラウドサービスは、不特定多数が利用するインターネットを使ってアクセスします。クラウドセキュリティの観点から、データの暗号化はますます重要になってくるでしょう。

暗号化を活用する際のポイント

クラウドサービスでの暗号化の活用は、セキュリティの向上という大きなメリットがある反面、暗号化に手間がかかる、暗号化ツールでコンピュータに負荷がかかり、動作が遅くなる。暗号化通信を行うことで、通信が遅くなるなどのデメリットもあります。また、暗号を復元するためのパスワードを紛失してしまった場合、データを復元できなくなります。暗号化のメリット、デメリットを理解したうえで暗号化を活用する事が重要です。

また暗号化は万能ではありません。暗号化のためのパスワードや暗号キーを厳重に管理しておかなければ、暗号化の意味がなくなります。また、暗号を解読する技術も日々進化しているため、定期的に情報をアップデートしておくことが欠かせません。
暗号化といっても、ファイル、データベース、ハードディスクなど、何を暗号化するかによって、使い勝手やセキュリティは変わってきます。自社の使用状況に合わせて、暗号化を活用してください。