AWSなどクラウドのセキュリティリスクについて教えてください。どのようにクラウドのセキュリティを維持できるのでしょうか？

AWSなどクラウドには多くのメリットがある反面、リスクもあると指摘されています。中でも多くの方が懸念されるのが「セキュリティリスク」でしょう。クラウドのセキュリティリスクを恐れてAWSなどクラウドへの移行・構築に躊躇している企業もあります。その一方で、クラウドサービスの安全性を過信して、セキュリティリスク対策をなおざりにしている企業もあるようです。
そこで、クラウドにはどのようなセキュリティリスクと対策があり、何を重視するべきかを整理して解説いたします。

AWSなどクラウドのセキュリティリスクとは

個人情報などの機密情報を社外に保存することに懸念を示す人は多いと思います。大切な情報であれば、手元に置いておきたいはずですし、機密情報をAWSなどクラウド上で保管することに不安を覚えるのではないでしょうか。
しかし、最近のセキュリティインシデントには「クラウドだから」という要因は見受けられません。クラウドに限らずオンプレミスと同じく、不特定多数あるいは会員向けにオープンにしているサービスの場合に攻撃を受けやすくなり、セキュリティリスクにつながっています。
以下はその代表的な例となります。

・学生のクラウドサービスへの不正アクセス

地方大学の学生向けクラウドサービスアカウントが不正アクセスを受け、2,500件ほどのメールアドレスが流出しました。乗っ取られたアカウントからなりすましメールも送信されています。

・オンラインショップへの不正アクセス

ある企業が運営するクラウド上のオンラインショップに不正アクセスがあり、数千件のクレジットカード情報が流出しました。その中にはカード番号、有効期限、名義人名、セキュリティコードが含まれていたため、二次被害が懸念されています。

・Webサービスへの不正アクセス

クラウドで人気の動画サービスに不正アクセスが発生。IDとパスワードを含む数千件の個人情報の流出が確認されました。

通常のセキュリティリスク対策と一緒 ？ クラウドセキュリティでやるべきこと

では、クラウド上に移行・構築したサービスでは、どのようなセキュリティリスク対策を講ずるべきなのでしょうか。AWSなどクラウドには「サービス」として多くのセキュリティリスク対策が提供されています。その具体的なサービスを紹介しましょう。

・侵入検知・防御（クラウドからの入口対策）

クラウドからの悪意ある侵入を防ぎます。具体的にはファイアウォール（防御壁＝不正侵入防止）、IDS・IPS（不正侵入検知・防御）、WAF（Webアプリケーションの保護）などがあります。
また、これらのサービスを個々に導入するのではなく、UTM（統合脅威管理）として、複数の対策をまとめて提供するサービスもあります。

・通信やデータの暗号化（内部対策）

クラウドでの入口対策でいくつかの対策を講じても、システム内部に入り込まれてしまうケースもあります。そのような場合でも、通信やデータを暗号化することで、悪意ある他者が解読できないようにします。サーバやパソコン内の機密データも、暗号化することで流出や拡散を防止できるのです。

・情報流出対策（クラウドへの出口対策）

外部対策および内部対策でも防止しきれなかった情報流出を、クラウドへの出口で防止します。WAFはデータ内部までチェックできることから、出口対策としても利用されています。また、URLフィルタリングも情報を持ち出す怪しいサイトへのアクセスをブロックできることから、出口対策になります。

クラウドのセキュリティリスク対策も運用が重要！アウトソーシングならば安心

ご紹介したように入口、内部、出口のそれぞれにさまざまなサービスが用意されています。これらを適切に選択し導入することで、セキュリティレベルの向上が図れるのです。
しかし、セキュリティリスク対策はツールやサービスの導入だけで完了しません。クラウドセキュリティでは「監視」が不可欠です。この「監視」が、高いハードルとなっています。クラウドセキュリティは24時間365日の監視が必要ですが、これを可能とするスタッフィングは中堅・中小企業では難しいからです。
また、クラウドの最適なセキュリティレベルを維持するよう、定期的な設定の見直しも必要になります。
サイバー攻撃は進化が激しいため、新たな攻撃への対処が求められますが、そのためには高度な専門知識が不可欠であり、この点に関しても中堅・中小企業では人材の確保が大きな課題となっています。
そこでオススメなのがクラウドのセキュリティ監視のアウトソーシングです。具体的には次のようなサービスがあります。

・セキュリティ監視

多層防御を可能とするソリューションや各種の出口・入口対策の提供はもちろん、24時間365日の運用監視までワンストップで対応します。

・脆弱性診断

AWSなどクラウド上のシステムの脆弱性を定期的に診断しレポートするサービスです。専門的な第三者の視点で診断し、アドバイスします。

まとめ　セキュリティリスク対策は、ベンダーにまかせましょう

AWSなどクラウド上のシステムだけではセキュリティリスク対策に限界があります。システム同士は連携されていて、オンプレミス側の脆弱性がクラウドシステムに影響します。セキュリティレベルの向上には、企業内のシステム全体の対策が必要なのです。それを行うことができる専門のベンダーに任せることが得策といえます。

システム運用担当者さま必見！お役立ち資料

今の運用現場には、多くの悩みを生む「負のスパイラル」があります「システム運用、負のスパイラルから脱却するには」システムの維持保守をするだけで手一杯なのに要求は増えるばかり。でもコスト削減で体制は増強できないから改善が進まない。そんな負のスパイラルから抜け出すヒントをまとめた資料です。

この記事の著者

ReSM（リズム）サービス担当者

ReSMサービスはシステム運用の「 {re} design 」をコンセプトに、 「最適な運用」を「最適な価格」でご提供するマネージド・サービス・プロバイダーです。 クラウドの導入支援から安心の運用監視・保守までをトータルでご提案できます。