現代のアジャイルな世界では、企業がデータの保存と管理にクラウドインフラに依存しているため、これらのクラウド環境のセキュリティを確保することが極めて重要な課題となっています。クラウドセキュリティとは、ユーザーデータ、クラウドベースのアプリケーション、クラウドベースのインフラを保護することを目的とした、幅広い戦略と対策を含みます。脅威への対応から規制順守の確保まで、強固なクラウドセキュリティは、貴重な情報を保護し、組織の円滑な運営を維持するために不可欠です。
本総合ガイドでは、組織がクラウド上のリソースを守るために活用できる様々なクラウドセキュリティの種類について掘り下げます。これらの異なるクラウドセキュリティの種類を理解することで、組織はより優れた防御戦略を構築し、デジタル資産を潜在的な脅威から保護できます。
クラウドセキュリティとは？
クラウドセキュリティとは、クラウド上のシステム、データ、インフラストラクチャを保護するために連携して機能するポリシー、制御、手順、および技術を指します。これらのセキュリティ対策は、規制順守を支援しながら侵害から保護するために実施されます。さらに、個々のユーザーやデバイスに対する認証ルールを確立し、顧客のプライバシーを保護します。
クラウドセキュリティは、データ転送の保護からユーザーアクセス権限の厳格な管理まで、幅広い活動をカバーします。これには、データ侵害、システム脆弱性、ハッキングインシデント、ベンダーリスク管理への対応策を含みます。
堅牢なクラウドセキュリティの実現には、適切なツールの導入と、クラウドコンピューティングに内在する絶えず進化する脅威環境を踏まえたリスクを考慮した戦略の策定が不可欠です。以降のセクションでは、多様なクラウドセキュリティの種類とその特徴について解説し、クラウド環境における機能と利点に関する理解を深めます。
クラウドセキュリティの重要要素
クラウドセキュリティは、安全で保護された環境を構築するために調和して機能する様々な重要な要素を含みます。以下の構成要素が重要な役割を果たします：
#1 データプライバシーとコンプライアンスの保護
この側面では、機密性の高い情報を不正アクセスや潜在的なデータ侵害から保護するための対策を実施します。これには、データ暗号化、トークン化、効果的な鍵管理手法の採用が含まれます。さらに、コンプライアンスでは、包括的なデータ保護を確保するため、GDPRやHIPAAなどの組織が定めた規制基準への準拠が求められます。
#2 本人確認とアクセス制御の確保
本人確認とアクセス制御は、システム内の特定リソースへのアクセスを許可された個人のみに限定することを目的としています。認証手段としては、パスワードから二要素認証（2FA）や生体認証といった高度な技術まで、様々な方法が採用されています。さらに、ユーザーIDの管理、アクセス権限の設定、および継続的な活動監視もこの構成要素に含まれます。
#3 脅威の検知と対応策の実施
この部分では、侵入検知システム（IDS）や侵入防止システム（IPS）などのツールを用いて、クラウドフレームワーク内の潜在的な脅威や悪意のある活動を特定します。検知後は、影響を受けたシステムの隔離、攻撃に対する対策の実施、侵害やネットワーク侵入からの復旧など、適切な対応を講じる必要があります。
#4 ネットワークセキュリティの維持
クラウド環境におけるネットワークセキュリティは、ネットワークインフラ全体の完全性と、権限を持つ主体による利用可能性の防御に重点を置きます。これには、ネットワークベースの攻撃に関連するリスクを軽減するため、プライベートクラウド、パブリッククラウド、ハイブリッド環境間の接続を保護することが含まれます。さらに、基盤となるネットワークインフラは、あらゆる潜在的な脆弱性から適切に保護される必要があります。
#5 堅牢なセキュリティ構成の策定
セキュアな構成の実装とは、ソフトウェア、ハードウェア、仮想マシン、APIなど、クラウドプラットフォームの様々な側面を、脆弱性を効果的に低減すると同時に攻撃対象領域を最小化する方法で整えることを指します。これには、仮想マシンの強化、APIのセキュリティ確保、堅牢なファイアウォールの設定などが含まれます。
CNAPPマーケットガイドクラウドセキュリティの6つの種類
以下に、クラウドセキュリティの6つの種類を説明します –
- インフラストラクチャ・アズ・ア・サービス（IaaS）セキュリティ
- プラットフォーム・アズ・ア・サービス（PaaS）セキュリティ
- サービスとしてのソフトウェア（SaaS）セキュリティ
- ファイアウォールセキュリティ
- ハイブリッドクラウドセキュリティ
#1 インフラストラクチャ・アズ・ア・サービス（IaaS）のセキュリティ
インフラストラクチャ・アズ・ア・サービス（IaaS）は、クラウドコンピューティングにおいてよく知られた用語です。このモデルでは、企業はストレージ、ハードウェア、サーバー、ネットワーク機器など、業務を支える重要な設備をリースします。
IaaS環境において、セキュリティは一方の当事者の単独責任ではありません。むしろ、それは共同の取り組みです。サービスプロバイダーは、基本的なインフラストラクチャのセキュリティ確保の責任を担います。これには物理的なセキュリティ面、サーバーハードウェア、仮想化レイヤーが含まれます。一方、クライアント組織は、IaaSプラットフォームの自社側部分において、オペレーティングシステム、アプリケーション、データ、ネットワークトラフィックを保護することで、自社の領域を守ります。IaaS向けのセキュリティツールボックスには、アクセス制御、ネットワークファイアウォール、暗号化、侵入検知システムなどの要素が含まれる可能性があります。
#2 プラットフォーム・アズ・ア・サービス（PaaS）のセキュリティ
Platform as a Service（PaaS）は、クラウドコンピューティング領域におけるもう一つのモデルです。このモデルは、アプリケーションの開発、管理、提供を支援するプラットフォームと環境をユーザーに提供します。代表的な例としては、Google App Engine、AWS Elastic Beanstalk、Microsoft Azureなどが挙げられます。
IaaSと同様に、PaaSのセキュリティも責任分担モデルに基づいています。クラウドサービスプロバイダーはプラットフォーム、基盤インフラ、OS、バックエンドサービスの保護を担当しますが、顧客はPaaSプラットフォーム上で開発・展開するアプリケーションと、それらのアプリケーションが処理または保存するデータの保護を担います。
PaaSにおけるセキュリティ対策には、セキュアコーディングの実践、アプリケーションセキュリティテスト、アプリケーションレベルでのアクセス制御などが含まれます。
#3 サービスとしてのソフトウェア（SaaS）のセキュリティ
サービスとしてのソフトウェア（通称SaaS）は、サービスプロバイダーがアプリケーションをホストし、インターネット経由で顧客に提供するクラウドコンピューティングモデルです。この分野でおなじみの顔としては、Google Workspace、Salesforce、Microsoft 365 などがあります。
SaaS では、セキュリティに関してはサービスプロバイダーがその負担の多くを負います。インフラストラクチャ、プラットフォーム、ソフトウェアアプリケーションのセキュリティを確保するのが彼らの役割であり、データ暗号化やユーザー認証といった組み込みセキュリティ機能をさらに統合することも多い。顧客側のセキュリティ対策としては、自社データの管理と適切なユーザーアクセス制御の実施が求められる。
#4 ファイアウォールセキュリティ
ファイアウォールセキュリティは本質的に、ネットワークトラフィックの監視システムとして機能し、事前設定された安全基準に基づいて入出の活動を監視・管理します。これらのファイアウォールは、安全な内部システムと、インターネットなどの潜在的に有害な外部ネットワークとの間に保護層を形成します。
クラウドプラットフォームでは、クラウドサービスが提供する専用のクラウドベースのファイアウォールや、そのような導入向けに設計されたサードパーティ製ソリューションを通じて、セキュリティを強化できます。これらのファイアウォールには、アクセス規制、侵入検知、仮想プライベートネットワーク（VPN）などの追加機能を備えていることがよくあります。
#5 ハイブリッドクラウドセキュリティ
ハイブリッドクラウドセキュリティは、ハイブリッドクラウドとマルチクラウドの両方の戦略を活用します。これにより、組織はプライベートクラウドとパブリッククラウドのリソースを組み合わせて利用できます。ハイブリッドクラウドはベンダーロックインを軽減し、特定のニーズに最適化。機密データやワークロードに対する制御とセキュリティを維持します。必要に応じてスケールアップ/ダウンし、パブリッククラウドリソースを活用可能です。
プライベートクラウド上で稼働するプロジェクトが追加リソースを必要とする場合、パブリッククラウドのリソースを利用でき、追加費用を発生させることなく運用フローを維持できます。そして、ハイブリッドクラウドのセキュリティはマルチクラウドセキュリティです。
ビジネスに適したクラウドセキュリティの選択方法
ビジネスに適したクラウドセキュリティ形態の選択は極めて重要であり、様々な要素に依存します。情報に基づいた意思決定を支援する主な考慮事項を以下に示します：
1. ビジネス要件の理解
各企業には固有のニーズと要件が存在します。保護が必要なデータ、利用している具体的なクラウドサービス（IaaS、PaaS、SaaS）、および必須の規制やコンプライアンス義務を把握しましょう。これらの要件がセキュリティへのアプローチを決定づけます。
2.クラウド環境の評価
クラウド環境が異なれば、必要なセキュリティ戦略も異なります。例えば、ハイブリッドクラウドを利用する場合、パブリッククラウドとプライベートクラウドの構成要素をシームレスに統合するセキュリティ対策が必要となります。複数のクラウドを採用している場合、多様な環境を跨いだデータの保護とアクセス管理が極めて重要になります。
3.管理するデータの種類を考慮する
データの機密性と性質がセキュリティ計画の指針となります。例えば、機密性の高い顧客情報を扱う場合、データ損失防止のための強力な戦略が必要となる可能性があります。同様に、医療や金融など規制の厳しい業界で事業を行う場合、コンプライアンス管理のための高度なツールの導入が求められる場合があります。
4. チームの能力を評価する
クラウドセキュリティオプションを選択する際には、チームの技術的専門性を考慮してください。導入や管理に専門的なスキルを必要とするソリューションもあります。社内にこうしたスキルが不足している場合は、マネージドセキュリティサービスの利用や、専門家のサポートを提供するソリューションの選択を検討する必要があります。
5.ベンダー評価
クラウドセキュリティソリューション を選択する際には、検討対象となるベンダーの評判、信頼性、実績を考慮してください。” 堅牢なセキュリティ機能を提供すると同時に、システム保護への深いコミットメントを体現しているベンダーを探してください。” さらに、情報セキュリティにおける実績を知ることも考慮すべき重要な要素です。
クラウドセキュリティFAQの種類
クラウドセキュリティは主に6つの領域に及びます。アイデンティティとアクセス管理（IAM）は、ログインできるユーザーと実行可能な操作を制御します。ネットワークとデバイスセキュリティは、ファイアウォール、VPN、暗号化を用いて、転送中のデータとエンドポイント上のデータを保護します。セキュリティ監視とアラート（例：SIEM、CSPM）は不審な活動を監視します。
ガバナンスはチーム横断でポリシーと基準を適用します。災害復旧と事業継続は必要な時にバックアップとフェイルオーバーが機能することを保証します。法令・規制コンプライアンスはGDPR、HIPAA、PCI DSSなどの規則をカバーし罰金を回避します。
クラウドセキュリティポスチャ管理（CSPM）は、IaaS、PaaS、SaaSの設定を継続的にスキャンし、ベストプラクティスのベンチマークに対する設定ミスを検出します。ドリフトが発生した時点（例：S3バケットが公開状態になった、ポートが開かれた）を追跡し、リアルタイムでフラグを立てます。
CSPMツールはまた、PCIやGDPRなどの基準に制御をマッピングし、コンプライアンスレポートを生成します。これにより、監査人が到着する前にギャップを確認し、是正措置を講じることができます。
クラウドワークロード保護プラットフォーム（CWPP）は、仮想マシン（VM）、コンテナ、サーバーレス関数上でエージェントまたはAPIを実行し、実行時動作を監視します。オンプレミスとクラウドの両ワークロードで脆弱性スキャン、実行時エクスプロイト防止、構成チェックを実施します。
CWPPは異常なプロセス注入や権限昇格を監視し、ワークロードが実行される場所を問わず脅威を自動封じ込めできます。
クラウド検知・対応ツールは、AWS CloudTrailやGCP Audit Logsなどのサービスから監査ログを取り込み、API呼び出しや設定変更のイベント履歴を構築します。分析と脅威ハンティングルールを適用し、IAMポリシーの急な変更や異常なコンソールログインといった悪意のあるパターンを検知します。これによりアラートを発信したり自動化されたプレイブックを実行し、侵害されたリソースを隔離します。
クラウドインフラストラクチャ権限管理は、クラウドアカウント全体で人間またはマシンを問わず全てのIDとその権限を継続的に検出します。CIEM は過剰な特権を持つロールを評価し、権限の調整を推奨し、過剰な権限を自動削除することができます。
必要最小限のアクセスを強制し、権限のドリフトを警告することで、CIEM はアイデンティティの拡散と内部者リスクの悪用を阻止します。
IAM（Identity and Access Management）はユーザー認証（パスワード、MFA）を提供し、クラウドリソースへのアクセスを認可します。これにより、サービスの読み取り、書き込み、設定を実行できる者を強制します。
PAM（特権アクセス管理）はIAMの上に位置し、セッション仲介、時間制限付き認証情報、認証情報保管庫を通じて、rootやサービスプリンシパルログインなどの特権アカウントを制御・監査し、不正使用を防止します。
エージェントレススキャンはインストール型ソフトウェアではなくAPIを利用するため、エージェントのデプロイや更新なしに新規リソースを即座に評価できます。複数のクラウドにまたがるストレージ、データベース、ネットワークルールをスキャンする広範なカバレッジを提供しつつ、エージェント関連のパフォーマンス低下やデプロイ遅延を回避します。ドリフトやセキュリティギャップを迅速かつスケーラブルに可視化できます。
シークレットスキャンツールは、コードリポジトリやパイプラインログを監視し、APIキー、トークン、証明書、パスワードに一致するパターンを探します。ソース管理やビルドログに認証情報が混入すると、即座に警告を発するか、コミットをブロックします。
これにより、ビルドが本番環境にデプロイされる前に、攻撃者がハードコードされたシークレットを発見するのを防ぎます。
IaaS（仮想マシン、ネットワーク）にはホストの強化、パッチ管理、ネットワークのマイクロセグメンテーションが求められます。PaaS（コンテナ、アプリケーションプラットフォーム）には、ランタイム保護、イメージスキャン、構成検証が必要です。SaaSは、強力なIAM、データ暗号化、ベンダー提供の制御に依存します。
パブリッククラウドはマルチテナント分離に重点を置き、プライベートクラウドは物理的セキュリティとネットワーク境界制御を重視します。ハイブリッド環境では、両環境にわたるポリシーの統一が必須です。
