今や多くの企業が、当たり前のようにパブリッククラウドを利用するようになりました。手軽に使えて便利な魔法の仕組みのように見えますが、使い方を誤るとあっという間に大きなセキュリティーホールが開いてしまいます。

 今回は、パブリッククラウドを安心かつ安全に使うためのアプローチの1つとして、各種クラウドへのアクセス権限設定やログ出力設定などに関する脆弱(ぜいじゃく)性を排除するCSPM(Cloud Security Posture Management)を取り上げ、その必要性と具体的な内容、実装方法を解説します。

(出所:123RF)

手軽なパブリッククラウドの安全をどう担保するか

 ここ数年、企業では当たり前のようにクラウドの活用が進んでいます。情報システムを新たに開発する際には、よほどの理由がない限りはパブリッククラウドがその選択肢として浮かぶはずです。

 クラウドベンダーは米Amazon Web Services(アマゾン・ウェブ・サービス、AWS)の一強でしたが、米Microsoftや米Googleが追い上げ、さらには中国のAlibabaや米IBM、米Oracleといったベンダーも規模を拡大しています。企業は各ベンダーの強みを基に適材適所でクラウドを選択し、マルチクラウドと呼ぶ複数ベンダーを組み合わせた活用も当たり前のように実践しています。

 一方で、パブリッククラウドを利用しているシステムへの攻撃や、ここで発生するセキュリティーインシデントが増えてきています。

 オンプレミスのシステムが物理的にもネットワーク的にも自社内の閉じた環境にあって、安全な運用が可能だったのとは異なり、パブリッククラウドは手軽に使える一方で、社外の環境でインターネットに接続していることが大前提となります。適切なセキュリティー実装を施さないと、たった1つの設定ミスだけで、世界中の攻撃者からの格好の標的になる危険性をはらんでいるのです。

 パブリッククラウド利用に関するセキュリティーのアプローチは、以下の3種類に分けられます。

  • クラウドアクセスセキュリティーブローカー(CASB:Cloud Access Security Broker)…各種クラウドサービスへのアクセスを、組織として一元管理するセキュリティー対策
  • クラウドセキュリティーポスチャー管理(CSPM:Cloud Security Posture Management)…各種クラウドリソースのアクセス権限設定や各種パラメーターの脆弱性を排除するセキュリティー対策。ポスチャーとは「考え方」や「気構え」という意味
  • クラウドワークロード保護プラットフォーム(CWPP:Cloud Workload Protection Platform)…パブリッククラウドに実装した「ワークロード」、つまりサービスや業務、処理、挙動の脆弱性を排除するセキュリティー対策

この先は日経クロステック Active会員の登録が必要です

日経クロステック Activeは、IT/製造/建設各分野にかかわる企業向け製品・サービスについて、選択や導入を支援する情報サイトです。製品・サービス情報、導入事例などのコンテンツを多数掲載しています。初めてご覧になる際には、会員登録(無料)をお願いいたします。