スマートワーク総研ITの活用で働き方を変える!スマートワーク総研は、ITを活用したワークスタイルの変革を応援する法人様向けサイトです。クラウドって結局危険なのか安全なのか?...クラウドセキュリティの考え方Tweet2019/03/281ランク上の企業セキュリティを目指そう!クラウドって結局危険なのか安全なのか?...クラウドセキュリティの考え方クラウドの普及が進む中、まだセキュリティに漠然とした不安を抱く人は多い。パブリッククラウド自体の安全性と、ユーザーの運用の中に潜む危険を検証し、クラウド活用で考えるべきセキュリティ戦略について解説する文/中尾真二クラウドは安全なのか危険なのか。この問題は、SaaSやクラウドコンピューティングが市場で話題になり始めた2005年ごろから何度となく議論されてきた。現在ではAWSやAzureといったパブリッククラウドを利用する企業は多く、大手都市銀行さえ基幹業務システムにパブリッククラウドの基盤を利用するようになっている。1月に発生したファイル転送サービスの情報漏えい事件で、そのサービスにAWSが使われていたと聞くと「やはりクラウドは安全ではないのか」と不安に思うかもしれない。パブリッククラウドのセキュリティはどう考えればいいのか。総体的にはクラウドは安全・安心セキュリティ関していえば、現在、オンプレミス環境を構築して維持・管理を自前で行うより安全と言っていいだろう。サイバー攻撃が今ほど高度化、多様化していなかった時代なら、業務システムやメールシステム、Webサーバーのために、自社のサーバールームにハードウェアを設置したり、データセンターのハウジングサービスを利用したりしても、ウイルス対策ソフトやファイアウォールで一定のセキュリティは確保できた。現在、企業において安全にサーバーを管理しようとしたら、上記の対策に加え、UTMのようなセキュリティアプライアンスの導入、システムの監視、トラフィックの監視、各種ログの管理と保管、サーバールームの入退室管理など考慮すべき点は多い。(UPSや非常用電源)、システムやデータのバックアップおよび冗長化なども求められる。これらの対策には人と時間と予算というコスト(リソース)がかかる。クラウド利用をすれば、これらの対策がすべて解決するわけではないが、多くの部分をクラウド管理事業者に委託することができる。AWSやAzureといったクラウドサービスは、規模のメリットを生かしてシステム全体のセキュリティや信頼性を高めている。一般的な大企業でも、同じレベルのセキュリティをオンプレミス環境で確保するのは現実的ではない。パブリッククラウドとはいえ、実体は巨大なデータセンターだ。耐震設備、ガス消火設備(スプリンクラーや薬剤消火は燃えていない機器にもダメージを与える)、24時間体制のオペレーションセンター、厳重な入退室管理などがそろっている。各クラウドベンダーはセキュリティに注力し、サイトでも詳しく説明している(Azureの例)https://docs.microsoft.com/ja-jp/azure/security/クラウドで重要な責任分界点クラウドは安全だが、注意すべき点がある。それは責任分界点の認識と把握だ。AWSでは「責任共有モデル」などと表現している、クラウド事業者がどこまでセキュリティやサービスレベルを保証しているかという点を考える必要がある。別の言い方をすれば、利用するクラウド環境のうち、どのリソースや機能が事業者から提供され自分で設定や制御ができないものか。どのリソースや機能が自分たちでカスタマイズできるかを考えることでもある。建物の堅牢性(耐震性、耐火性)やサーバーやネットワークなどの信頼性やセキュリティの一部は、クラウド事業者の責任で管理されている。これらの詳細を利用者から指定することはできないが、一般的に十分なレベルで安全性は確保されている。OSのセキュリティパッチ、サーバーやネットワークの設定、インストールするミドルウェアやアプリケーションのセキュリティなどは、ユーザー側が担保する必要がある。サービス、監視・監査機能を持っており、ユーザーが利用できるようにしている。これらの機能を正しく安全に設定・運用するのはユーザーの責任だ。先ほどのファイル転送サービスの情報漏えいインシデントでいえば、ファイル転送のためにAWSを利用していたとしても、侵入された(と思われる)のはAWSを契約して利用しているユーザー企業(ファイル転送サービスのサービスプロバイダ)がインストールして構築したシステムだ。個人情報が漏えいしたのも、パスワードファイルの運用に問題があった(ハッシュ化せず平文で保存)ことも指摘されている。AWSの内部的なサーバーやシステムが侵入されたわけではなく、ユーザーが構築したシステム環境がセキュアでなかったから発生したものだ。Amazonは責任分界点を「責任共有モデル」として説明しているhttps://aws.amazon.com/jp/compliance/shared-responsibility-model/パブリッククラウドで提供される機能AWSやAzureなど、多くのパブリッククラウドで提供される仮想サーバーは、一般的なイントラネットで構成される業務サーバーやデータベース、Webサーバー、メールサーバーなどDMZに設置するサーバー類、ECサイトのような外部向けのビジネスサーバー(データベース含む)を任意に構成できる。DirectoryやLDAP)、ロードバランサー、バックアップシステム、DNS、ルーターやスイッチ、システムのオーケストレーション(統合管理環境)に相当する機能は、クラウド上の管理サービス機能として提供される。自動バックアップやデータの暗号化、ログの収集、トラフィックの監視、脆弱性診断なども、同様にクラウドのサービスとして提供される。パブリッククラウドは一般的にIaaSという説明をしたが、PaaS、SaaSといったレベルの機能提供もされている。PostgreSQLやMySQLといった主だったデータベース管理システム、メッセージツールやスケジューラー、グループウェア、VDIのようなアプリケーションもメニューから選ぶ形で仮想サーバーインスタンスにインストール、または自社開発アプリケーションからAPIで利用できる。パートナー企業がさまざまなアプリケーションを提供するアプリマーケットのような仕組みも用意されている。クラウドセキュリティ:4つのポイントでは、パブリッククラウドを利用するとき、ユーザー側はどんなセキュリティ対策を考えればいいのだろうか。通常、パブリッククラウドは仮想サーバーによるIaaSとして利用する。サーバーハードウェアとOSまでがクラウド事業者が管理する範囲として、ユーザーがその存在を意識する必要は、原則としてない。OSについては、クラウド上に仮想サーバー(インスタンスという)を立ち上げたあとのメンテナンス、セキュリティアップデートはユーザーが行う必要がある。事業者によっては、自動アップデートのようなマネージドサービスを提供する場合もあるが、その管理主体はユーザーとなる。パブリッククラウドのセキュリティでは、主に次の4つについて考えるとよい。・ネットワーク・データ・監視と監査セキュリティポリシーや対策技術について、クラウドだからということで本質が変わるものではない。自社の情報システムやリソース、守るべき情報資産から、どういうリスクに対して、どんな対策をすればいいかを考える基本は変わらない。ネットワーク構成、アカウント管理ポリシーなどは自然に決まる。クラウド環境ならではのセキュリティ戦略クラウド環境ということで、意識するとしたら次の点だ。システムのクラウド化を考えるなら、業務プロセスに合わせてクラウドの設定やシステムの作り込みをするより、提供されているサービスや機能の組み合わせで手順やプロセスを柔軟に対応させることを考えるべきだ。セキュリティポリシーやコンプライアンス上、どうしても譲れないルールや機能がある場合、それがクラウド事業者が提供する機能で実現できないならば、無理にクラウド利用にする必要はない。サーバーやネットワークの構成、ルーティングやアクセス制御が煩雑になり、かえって危険だ。アカウントの管理でも注意点がある。パブリッククラウドを利用するための管理者アカウントは、インスタンスの生成やネットワークの設定などすべての権限(ルート権限)を持つもので、厳重な管理が必要だ。一般的なサーバーのアカウントと同様に、ルート権限を持つ管理者アカウントは、通常の設定、管理作業には使わない。インスタンスの生成やセキュリティの設定など、管理作業ごとに必要な権限だけを付与した別のアカウントを作成して、これを使うようにする。クラウドの管理作業に使用するアカウントは、IDとパスワードによる保護だけでなく2要素認証を利用したい。主だったクラウド事業者は、2要素認証のための機能を提供しているので、設定を有効にしておく。アカウント情報が漏れると、クラウド内のファイアウォールの設定やサーバー・ストレージのアクセス制御などが勝手に変更されてしまうことになる。業務サーバーなどイントラネットの環境を、パブリッククラウドに移行する場合、会社のネットワークからクラウドまでの接続には、インターネットVPNを利用するか、通信事業者が提供するVPNサービスを利用する必要がある。様々な課題解決に役立つソリューションは「ソリューションファインダー」で見つけられます!様々な課題解決に役立つソリューションは「ソリューションファインダー」で見つけることができます。真二(なかおしんじ)フリーランスのライター、エディター。アスキーの書籍編集から始まり、翻訳や執筆、取材などを紙、ウェブを問わずこなす。IT系が多いが、たまに自動車関連の媒体で執筆することもある。Protocol)の頃から使っている。掲載の関連記事をご紹介。ご覧になりたい記事をお選びください。Business中小企業のシステム管理者の負荷が高まっている。モバイルワークの普及は管理すべきデバイスの数を膨れ上がらせ、作業量と複雑さを増大させている。対策としてまず取り組むべきは、OSと主要アプリケーションの標準化、そしてデバイスの一括管理だ。セキュリティ対策も所有から利用へ:クラウド型セキュリティサービスとは?セキュリティ対策をクラウドサービスに移行する動きが活発になっている。ITシステムや業務機能のクラウドシフトは今に始まったトレンドではないが、アンチウイルスだけでなくファイアウォールやWAF、侵入検知、AIによる攻撃検知など、セキュリティ対策をクラウドサービスとして提供するベンダーが増えている。対策が急がれるIoTセキュリティ...押さえるべきポイントはなにか?爆発的に増加するIoTデバイスはコンシューマ利用からビジネス活用まで幅広い普及を見せている。IoTで必要とされるセキュリティは従来のITセキュリティが通用しないことがある。現在、企業の対応が急がれているIoTセキュリティの基本となるポイントを解説する。シングルサインオンや2段階認証、2要素認証といった現在主流のセキュリティ管理から今後の普及が予測される生体認証まで、脱パスワードの潮流を解説する。現在ネット上に流布している脅威の状況を的確に把握し、時代に沿ったエンドポイントセキュリティを構築することが、企業の情報セキュリティを実現していく上で重要なポイントになる。中小企業にとって、情報セキュリティ対策はなかなかハードルが高い。人手の問題も予算の問題もあるし、まずどこから手をつけていいのかわからない。最初から100%を目指すのではなく、可能なところから始めるのがいい。そのために利用できる便利な取り組みを紹介する。Vol.4スマートワーク関連の気になるニュースをピックアップし深掘りする「スマ研・ニュース解説」の第4回。今回は「さくらインターネットのデータセンターBCP」を中心に、「中小企業庁の生産性向上などの支援教育『ビジログ』」「グローバル5か国休暇意識調査」をピックアップしました。たかまつ」で常に賑わっていたのが「四国ゾーン」。開催地の香川を含む四国四県から出展した学校・企業が集まり、独創的なソリューションを展示していた。ここではスマートワーク総研的に気になった出展物をいくつか紹介しよう。海外の事例に学ぶフレキシブルな働き方とは?8【第6回】もう議事録は古い。最新の会議記録方法(1)9【第29回】GoogleマップにExcelのデータを表示する(1)10【第12回】Excelから簡単に分析できるPowerBI超入門(2)1Surfaceとケーブル1本ですっきり接続。生産性が上がるSurface専用EIZOモニター2Wordで作成した重要文書の改訂作業を効率化!マイクロソフトWordのプラグインソフトなので便利に使える3ケーブル1本でモニター接続と充電が同時にできる働き方改革の必需品4手書きノートをデジタルファイルに変換するスマートパッド5温泉地特有の故障で客室のテレビが見られない!硫化対策ブラビアで宿泊客に快適な旅のひとときを提供6カメラとモニターだけで監視システムを構築!PC不要、ソフトウェア不要ですぐに使える7帳票業務をタブレットでペーパーレス化!ワークスタイル変革の第一歩として効果的8インクジェット対応プラスチックカードで社員証などの発行を内製化しよう9空気清浄機ではない。ついてダイワボウ情報システム株式会社スマートワーク総研はダイワボウ情報システム株式会社によって運営されています。会員ログインIDとパスワードを入力してください。IDまたはパスワードが違います。会員ログインIDとパスワードを入力してください。IDまたはパスワードが違います。※パスワードを忘れた方はこちらログイン一般会員の方はこちら×お気に入り機能を使うには会員登録が必要です。ダウンロードするには会員登録が必要です。ログイン新規会員登録CLOSEITの活用で働き方を変える!スマートワーク総研は、ITを活用したワークスタイルの変革を応援する法人様向けサイトです。インタビュートレンドレビューテクノロジーイベント情報ソリューション。