クラウドセキュリティの誤解と事実：代表的な12の誤解
クラウドセキュリティに関する誤解は、油断や侵害につながります。「クラウドは本質的に安全ではない」「セキュリティはクラウドプロバイダーの責任」といった誤解を解けば、組織はクラウド環境の保護に積極的に取り組めます。
15年前、クラウドがインフラのホスティングに現実的な選択肢となって以来、IT業界にはクラウドセキュリティに関する誤解が広がっています。数多くのクラウドセキュリティに関する誤解は、セキュリティと規制遵守を維持しながらクラウドでサービスを運用できるのか、という点に関わっています。
当初からIT業界もクラウドも大きく変わり、現在ではクラウドコンピューティングモデルの有用性と強みが広く認められています。
クラウドは変化しましたが、クラウドセキュリティに関する誤解は、特にセキュリティをめぐって今も広まっています。かつての誤解は過度に悲観的でした。現在は逆に、クラウドのコンプライアンスとセキュリティを過度に楽観視しがちです。
クラウドセキュリティとは？
クラウドセキュリティとは、外部と内部の脅威から組織を守るための手順とツールの総称です。企業がデジタルトランスフォーメーションを進め、クラウドベースのツールやサービスをインフラに取り入れるなか、強固なクラウドセキュリティは欠かせません。組織の業務とデータ管理に安全なクラウドコンピューティング環境を確保し、機密データ、アプリ、リソースを潜在的な危険から守ります。
デジタル環境の急速な変化により、特にクラウドコンピューティング企業にとって、セキュリティリスクは複雑化しています。組織は、クラウド上でのデータへのアクセスや転送を十分に制御できないことが少なくありません。クラウドセキュリティの強化に積極的に取り組まなければ、顧客情報を扱う際のガバナンスとコンプライアンスに大きなリスクが生じます。
クラウドセキュリティに関する誤解と事実とは？
クラウドセキュリティに関する誤解をいくつか紹介します。
誤解1：セキュリティツールは多いほど安全
ツールが増えるほどクラウドセキュリティも向上するというクラウドセキュリティに関する誤解は、一般に広まっています。
実際には、セキュリティツールを増やしても、安全性が自動的に高まるわけではありません。OracleとKPMGの「Cloud Threat Report 2020」によると、回答者の70%がパブリッククラウド環境の保護には多すぎる技術が必要だと答えています。利用するセキュリティ制御は平均で100種類を超えます。複数のセキュリティプロバイダーや異なる製品、さまざまな攻撃経路への対策が、保護の隙間を生みます。その隙間が攻撃者の侵入機会になります。
複雑なクラウドインフラに多すぎるセキュリティ対策と連携しない製品が重なると、インテリジェンスを共有できず、リスクの高い構成になります。
こうした隙間を埋めるには、クラウドセキュリティ管理を簡素化し、セキュリティを制御するためのツールとリソースが不可欠です。
誤解2：セキュリティはCSPだけの責任
クラウドセキュリティに関する大きな誤解の一つは、セキュリティの全責任をクラウドプロバイダーが負うというものです。
広く知られる「責任共有モデル」によると、クラウドの利用者である組織には、サービスにアップロードしたデータを保護する責任が引き続きあります。利用するサービスによって責任範囲は異なるため、クラウドネイティブインフラの保護において自組織が何を担うのか、正確に把握することが重要です。
多くの組織は、クラウド上のデータを保護するさまざまな方法の大半を実施していません。
誤解3：侵害が成功するのは攻撃が複雑だから
侵害は複雑な攻撃によって起こるというクラウドセキュリティに関する誤解は正しくありません。高度な手法を使う攻撃者は存在しますが、成功した攻撃の多くが、必ずしも手法の高度化によるものではありません。攻撃の大半は、エンドユーザーのミスや設定の誤りに起因します。
誤解4：クラウドの可視化は簡単
クラウドの状況は簡単に可視化できる、というのも誤解です。クラウドリソースの利用料金を支払っている以上、アカウント数、開発者が公開した新機能、設定の適切さ、脆弱性など、関連する詳細をすべて把握する必要があります。
しかし、これらの情報をすべて追跡するのは、多くの人が考えるよりはるかに困難です。リソースの正常な動作が見えなければ、逸脱も発見できません。一元化されたダッシュボードがなければ、脅威を見つけて迅速に対応することは極めて困難です。
誤解5：クラウドセキュリティサービスを使えばコンプライアンスが確保される
クラウドセキュリティサービスを使えばコンプライアンスが確保される、という誤解も取り上げます。多くのクラウドサービスプロバイダーは、自社サービスが情報セキュリティ関連法に準拠していると強調しています。
例えば、AmazonのストレージサービスであるS3は、SOC、PCI DSS、HIPAAなどの法規制や要件への準拠認証を取得しています。しかし、これは何を意味するのでしょうか。S3を使用したデータストレージシステムが、自動的にこれらの基準に準拠するわけではありません。S3自体がPCIに準拠しているため、PCI準拠システムの構成要素として利用できます。ただし、そのためには適切な設定が必要です。S3上に構築したシステムは、単純な設定ミスでも準拠要件を満たさなくなる可能性があります。それを防ぐ責任は利用者にあります。
一方、SentinelOneのクラウドセキュリティツールは、コンプライアンスへの対応を支援します。
誤解6：クラウドセキュリティ監査は必要ない。
CSPMや脆弱性管理・スキャン機能は、実質的にはクラウドセキュリティ監査の一種です。しかし、それだけでは不十分で、ほかの領域を見落とします。より広い視点から、クラウドセキュリティのベストプラクティスを実践する必要があります。主要なクラウドセキュリティツールやプラットフォームなら、徹底した監査を効果的に実施できます。セキュリティ監査は全体として捉え、脆弱性管理やコンプライアンスだけに限定しないことが重要です。クラウドセキュリティのツールや技術が対象とする領域や要素はさまざまです。最良の結果を得るには、優れたセキュリティ製品と対策、ベストプラクティスを組み合わせることが重要です。
誤解7：サーバーレス関数とコンテナは本質的に安全性が高い
クラウドセキュリティに関する誤解の一つ、サーバーレス関数とコンテナは本質的に安全性が高いという考えは誤りです。コンテナやサーバーレス関数は一時的に動作し、存続時間が短い傾向があるため、セキュリティが高まります。攻撃者がシステム内に長く潜伏することは困難です。は誤りです。コンテナやサーバーレス関数の短命性や一時的な性質はセキュリティを高めます。攻撃者がシステム内に長期間滞在するのは困難です。
この説明は基本的に正しいものの、さまざまなソースからのイベントベースのトリガーにより、攻撃者が狙える対象や攻撃手段も増えます。こうしたクラウドネイティブ技術は、適切に設定してこそセキュリティを高めます。
誤解8：クラウドは一般的に安全性が高い
このクラウドセキュリティに関する誤解 は、事実と虚構が混ざった話に近いものです。
一般に、クラウドプロバイダーはサーバーのパッチ適用などの運用で高い信頼性を発揮します。こうした作業を任せるのは理にかなっており、クラウドサービスプロバイダーが高い信頼を得ているのも当然です。
ただし、複数のクラウド全体を保護するには、ID管理、アクセス保護、定期監査など、さまざまな対策が必要です。ワークロードが多数のパブリッククラウドとプライベートクラウドに分散するにつれ、リスクを端から端まで把握するための情報が一層重要になります。一貫性のない対策によって避けられないセキュリティ上の欠陥は、こうした問題をさらに悪化させます。
誤解9：犯罪者はクラウドを標的にしない
サイバー犯罪者がクラウドを標的にする理由は次のとおりです。
- 比較的新しい技術であり、セキュリティ上の隙が存在します。クラウドは設計上も初期設定でも安全とは限りません。
- クラウドインフラは複雑化することがあります。組織は規模を拡大・縮小し、新規または既存のクラウドサービスを利用・停止できます。クラウドの相互接続性と組織の規模が重なることで、脆弱性がさらに高まります。
- 攻撃者が重視するのは、必ずしも攻撃対象領域ではありません。目的の達成です。顧客のリソースを悪用し、機密データにアクセスし、間接的または直接的に働きかけて機密情報を引き出そうとします。2025年には、パブリッククラウドでもプライベートクラウドでも、こうした事態がさらに増えると考えられます。
誤解10：企業はパブリッククラウドから離れている
ワークロードがクラウドから戻っているという誤解は、主にその見方が広まることで経済的な利益を得る従来型のサプライヤーが生み出しています。実際には、大半の企業はクラウドのワークロードを戻していません。移行元の多くはクラウドインフラ（IaaS）ではなく、SaaS、コロケーション、アウトソーサーです。
これは、すべてのクラウド移行が成功するという意味ではありません。企業はクラウド戦略を放棄してアプリを元の場所に戻すよりも、問題が生じるたびに対処する傾向があります。
CNAPPバイヤーズ・ガイド
お客様の組織に最適なクラウドネイティブ・アプリケーション保護プラットフォームを見つけるために必要なすべての情報をご覧ください。
誤解11：優れたサービスにはクラウドが不可欠
クラウドではないものをクラウドと呼ぶ「クラウドウォッシング」は、正当な混同から意図せず生じる場合もあります。しかしIT企業やサプライヤーは、資金調達や売上拡大、曖昧なクラウドへの期待や目標を満たすため、幅広い製品を「クラウド」と呼びます。その結果、ITサービスや製品が有効であるにはクラウド上にあるべきだという誤解が生まれます。
クラウドウォッシングに頼らず、実態に即した名称を使いましょう。仮想化や自動化は、それぞれ単独で価値を発揮する数多くの機能の一例にすぎません。
誤解12：すべてをクラウドで行うべき
クラウドは、変動が大きい、予測が難しいワークロードや、セルフサービスでのプロビジョニングが不可欠な場合に適しています。ただし、すべてのワークロードやアプリに適しているわけではありません。たとえば、レガシープログラムの移行は、明確なコストメリットを示せない限り、通常は適切なユースケースとはいえません。
すべてのワークロードがクラウドから同じように恩恵を受けるわけではありません。適切な場合は、クラウド以外の選択肢も提案しましょう。
誤解13：クラウド侵害は必ずクラウドの脆弱性から始まる
クラウドでの侵害は必ずクラウドの脆弱性から始まるというのは、よくある誤解です。実際、大規模な侵害の多くはクラウド自体から始まるわけではありません。攻撃は、リソースのホスティング先にかかわらず、侵害されたエンドポイント、盗まれたID、露出したシークレットから始まることがよくあります。重大なインシデントが繰り返し報道されるのは、クラウドインフラ固有の欠陥が原因ではありません。攻撃者がハイブリッド環境、エンドポイント、IDにまたがるデジタルセキュリティの隙を突くためです。従来のセキュリティツールはこうした脅威を見逃すことがあり、小さな弱点でさえ攻撃者の侵入口になります。効果的なクラウドセキュリティには、クラウドワークロードだけでなく、環境全体の保護が必要です。攻撃がどこから始まっても阻止し、脅威がどこに現れても対応する、統合された自動防御を提供します。
誤解14：クラウドはオンプレミスのインフラより安全性が低い
こうしたクラウドセキュリティに関する誤解は、主に認識の問題です。パブリッククラウドでのセキュリティ侵害はごく少なく、侵害の大半は今もオンプレミス環境に関係しています。
ITシステムの安全性は、導入された保護策次第です。クラウドサービス企業にとってセキュリティは中核事業に関わるため、強力な保護策に投資し、より安全なインフラを構築しやすいといえます。
誤解15：マルチテナント（パブリック）クラウドはシングルテナント（プライベート）クラウドより安全性が低い
クラウドセキュリティに関するこの誤解には、一見もっともらしい理由があります。1つの組織だけが利用する環境は、複数の組織が利用する環境より安全だという考えです。
しかし、必ずしもそうとは限りません。クラウドセキュリティに関する誤解を扱ったCIOの記事によると、マルチテナントシステムは「コンテンツを保護する層を追加します…建物に入る鍵と自室に入る鍵を使い分ける集合住宅の入居者と同様に、マルチテナントシステムでは境界と『各部屋』の両方に固有のセキュリティが必要です」。そのため、外部のハッカーがシステムにアクセスするのはより困難になります。
クラウドセキュリティに SentinelOne を選ぶ理由は？
今日のクラウド環境には、統合されたAI駆動型のセキュリティが求められます。SentinelOneの Singularity™ Cloud Security はAIを活用したエージェントレスCNAPPで、この課題に応えます。 単一のプラットフォームで環境全体—コンテナ、Kubernetes、VM、サーバーレスワークロード—を詳細に可視化し、セキュリティチームはリアルタイムで脅威を検知・無力化できます。エージェントレスCSPMなら数分で導入でき、設定ミスを解消してマルチクララウド環境のコンプライアンスを確保できます。さらにAI-SPMでAIパイプラインやモデルを検出し、高度な設定チェックとVerified Exploit Paths™を使ってAIサービスを評価できます。これだけではありません。
- CWPPは、あらゆるクラウド環境とオンプレミス環境でAIを活用した能動的な防御を提供します。一方、CDRは詳細なフォレンジックテレメトリとカスタマイズ可能な検知機能を提供し、迅速な封じ込めと専門家による インシデント対応サービス. CIEMで権限を絞り込みシークレットの漏洩を防ぎ, EASMで未知の資産を発見して外部の攻撃対象領域の管理を自動化し, Graph Explorerでクラウド, エンドポイント, アイデンティティ資産にわたるアラートを視覚的に関連付けて脅威の影響を一目で評価します. CI/CDパイプラインと円滑に連携し, SentinelOneは早い段階からシフトレフト型のセキュリティを適用します. 1,000+の標準搭載ルールとカスタムルールで脅威を継続的に監視・検知します. KSPMはコンテナ化された環境とKubernetes環境の継続的な保護とコンプライアンスを確保します.
- SentinelOneは、ノーコードのHyperautomationとAIセキュリティアナリストを備え、優れた脅威インテリジェンスを提供します。
- ひとつのプラットフォーム。あらゆる攻撃対象領域。死角なし。誤検知ゼロ。
サーバー、VM、コンテナ向けのAI搭載クラウドワークロード保護（CWPP）。実行時の脅威をリアルタイムで検知・阻止します。
まとめ
クラウドコンピューティングのセキュリティを担う組織のリーダーは、その分野でよくある誤解を理解する必要があります。事実と クラウドセキュリティに関する誤解 を区別できれば、クラウドコンピューティングの価値をさらに引き出し、安全かつ持続可能な形で事業を発展させ、顧客を支援できます。
クラウド技術を導入する企業は、クラウド固有のリスクに備え、クラウド全体の攻撃対象領域、データ、資産を守るために適切なセキュリティ対策を構築する必要があります。
クラウドセキュリティに関する誤解：よくある質問
いいえ。クラウドプラットフォームは、物理データセンター、ハイパーバイザー、ネットワークなどのインフラ保護に多額の投資をしています。担当チームは24時間体制でシステムにパッチを適用します。実際、多くのパブリッククラウドはISO 27001やSOC 2などの高い保証基準を満たしています。重要なのはサービスの設定と利用方法です。侵害の多くはクラウド自体ではなく、設定ミスによって起こります。
いいえ。責任共有モデルでは、プロバイダーが基盤となるインフラを保護し、利用者がデータ、ID、設定を管理します。暗号化キー、アクセスポリシー、ネットワーク制御も利用者が選択します。適切に設定すれば、データが社外にあっても、誰が閲覧・変更できるかを完全に管理できます。
いいえ。プロバイダーは、ハードウェア、ホストOS、仮想化レイヤーなど「クラウド自体」を保護します。一方、ワークロード、データ、ユーザー権限、ネットワーク設定など「クラウド内」の保護は利用者の責任です。利用者側の責任を怠ると、攻撃者に悪用される隙が生じます。セキュリティのベストプラクティスの適用と継続的な監視が必要です。
パスワードは役立ちますが、保護策の一層にすぎません。認証情報の窃取を防ぐにはMFAが不可欠です。侵害された認証情報の悪用に備え、ロールベースのアクセス制御、ジャストインタイムの権限付与、セッション監視も必要です。ログインパターンの継続的な可視化と異常アラートが、防御をさらに強化します。
いいえ。コンプライアンスの枠組みは必要な管理策や監査を定めますが、要件を満たしても新たな脅威からの安全は保証されません。リアルタイム監視、脆弱性の修正、インシデント対応も必要です。コンプライアンスは出発点です。セキュリティは、攻撃者の手口の変化に合わせて続ける取り組みです。
ログとアラートは重要ですが、その性質上、事後対応にとどまります。インシデントを未然に防ぐには、設定の強化、設定ミスの自動スキャン、セキュリティ態勢の継続的な管理が必要です。アラートをXDRまたはSOARのプレイブックと連携させ、脅威が拡大する前に封じ込めて隔離します。
クラウドネイティブのセキュリティツールは従量課金制が多く、中小企業でも導入しやすい価格です。ハードウェアやソフトウェアに多額の初期費用をかける必要もありません。多くのプロバイダーは、IAM、暗号化、基本的な脅威検知などのセキュリティ機能を追加料金なしで提供しています。これらを活用し、必要な機能だけを追加すれば、コストを抑えられます。
シフトレフトセキュリティはクラウドにも有効です。Infrastructure as CodeのテンプレートやCI/CDパイプラインにセキュリティチェックを組み込めば、リソースの起動前に設定ミスを発見できます。稼働中の環境で費用のかかる緊急修正を避け、新しいサービスを初日から安全な設定で立ち上げられます。
さらに詳しく見る クラウドセキュリティ
クラウドセキュリティを30分で完全評価。
SentinelOneのエキスパートとのミーティングで、マルチクラウド環境全体にわたるクラウドセキュリティ態勢を評価し、クラウド資産、設定ミス、シークレットスキャンを明らかにし、Verified Exploit Paths™でリスクの優先順位を付けます。
