【Bizクリニック】クラウド型セキュリティーの課題に対処


【拡大】

 □グレスアベイル代表取締役・澤井祐史

 ネットワーク経由で呼び出して活用する「クラウド型システム」には、セキュリティー対策の課題が存在する。その対策として、どのようなポイントの検討が必要なのかをまとめてみる。

 まず、これまで自社運用型で扱われていた情報資産を、クラウド環境へ移行したとしても、扱う場所が変わるだけで、その重要度が変わるわけではない。すなわち自社運用型のときと同等またはそれ以上のセキュリティー対策を、クラウド型システムでも検討する必要があることは大前提となる。

 加えて、クラウドサービスは共有型が大半であり、クラウドサービス事業者が運用する共通基盤自体を利用者側は変更できない。また、クラウドサービスはインターネットに接続されるため、ネット上への情報流出リスクを常にはらむ。これらを踏まえてまとめると、次のような観点が必要になる。

 (1)クラウド環境上で自社に割り当てられたリソース(インスタンスなど)に導入もしくは連携して利用できるセキュリティー対策を選定・採用する。

 具体的にネットワーク通信の観点では、通信制御・可視化を行うファイアウオール、悪意のある通信の不正侵入検知(IDS)/不正侵入防御(IPS)、ウイルスの侵入を防御するアンチウイルス、標的型攻撃を防御するサンドボックスなどがある。データ保護の観点では、情報漏洩(ろうえい)ブロックやデータの暗号化を行うことなどである。

 これらの機能を持つ製品はこれまで自社運用型システムのために多く提供されてきたが、近年はクラウド環境上でも利用できるようになっている。これにより、クラウド環境上に配置した自社の情報資産をサイバー攻撃から防御することが可能になる。各製品を自社の要件に合わせて導入できれば、クラウド環境での安全性は極めて高くなるだろう。

 (2)クラウドサービス事業者側が提供するセキュリティー対策を確認する。

 共通基盤として持つ部分で実施する対策は利用者側が変更できないため、サービス事業者の対応に任せなければならない。具体的には、強固なログイン認証(多要素認証や高度な暗号方式など)や、利用者側のリソースに到達する前に防ぐ必要がある分散サービス拒否(DDoS)攻撃の対策などがこのケースだろう。また、クラウドサービスは共有型のため、他社リソースに自社リソースの情報が漏洩しない論理的な仕組みが実装されているかも確認する必要がある。このような対応の範囲や機能は利用するクラウドサービスによって異なり、サービス事業者に対応状況を確認しなければならない。

 このようなポイントを確認・検討することで、セキュリティーの課題に対処した安全なクラウド型システムの運用が実現できる。

                   ◇

【プロフィル】澤井祐史

 さわい・ゆうじ ITインフラ、セキュリティー技術を専門領域として数々のプロジェクトを経験し、コンサルティング企業の立ち上げ、経営に携わる。2015年6月グレスアベイルを設立し、現職。クラウド対応の次世代セキュリティー対策製品の開発および関連サービスの展開をリード。35歳。兵庫県出身。