クラウドを活用するあらゆる組織にとって、クラウドデータセキュリティは最優先事項となっています。適切に実行するためには、クラウドの専門知識、組織的な行動トレーニング、そしてテクノロジースタックと戦略の継続的なデジタルトランスフォーメーションが必要です。
クラウドにおけるデータ保護とは？
クラウドデータ保護とは、クラウドベースのリソースを利用する際に、データとプライバシーを保護するために確立されたポリシ、プロセス、導入済みの技術的コントロールを総合したものです。
これには、以下が含まれますが、これらに限定されません。
データセキュリティへの脅威は、常に存在し、絶えず変化しています。クラウドコンピューティングは現在、大企業における主要なインフラ手法となっているため、クラウド上のデータ量はこれまでになく増えています。その結果、クラウドセキュリティと、そこに保存されるデータの保護は、健全な事業運営にとって極めて重要です。
— ガートナー
Verizon社の2022年版「Data Breach Investigations Report」は、データ侵害に関する知見の宝庫です。そこでは、侵害につながる4つの主要な経路として、認証情報の盗難、フィッシング、脆弱性の悪用、ボットネットが特定されています。
注目すべき攻撃の種類
コンサルティング会社のPonemon Institute社によると、米国の組織におけるデータ侵害の平均コストは9.44百万ドルでしたが、ヘルスケア分野ではその額が1,000万ドルを超えています。
企業がクラウド上で展開されるソリューションを導入する場合、自社データを保護する責任の一部をクラウドプロバイダーに委ねることになります。しかし、クラウドプロバイダーが約束した水準でクラウドデータセキュリティを実行できず侵害が発生した場合、評判へのダメージはクラウドプロバイダーにとどまりません。その損害は、評判面を含めてさらに広がり、そのクラウド環境に資産を預けていたソリューションプロバイダーや企業、さらには影響を受けた消費者にも波及する可能性があります。
クラウドサービスプロバイダーのコンプライアンス要件に加えて、企業には業界固有または地域ごとに定められたコンプライアンス要件が存在する場合もあります。一般的に、コンプライアンスは二本立てのアプローチとなります。
クラウドデータセキュリティは、企業が必要とする各種認証を取得し維持するうえで不可欠です。その認証がヘルスケア、政府、金融サービスなどの業界で義務づけられているものであれ、あるいは取引の一環として顧客から要求されるものであれ、適切なクラウドセキュリティ対策は欠かせません。サイバーセキュリティ保険からデータ処理のベストプラクティスに至るまで、認証とクラウドセキュリティの強固さは密接に結びついています。
名門私立大学がHyland Cloudを活用して運営を改革し、わずか1年余りで114％という驚異的な投資収益率を達成した事例をご覧ください。同大学は年間275,000ドルの節約やプロセスの合理化を実現し、デジタルファーストのアプローチを採用しました。イノベーションにより重大な成果を促進して、高等教育を変革するプロセスについてこの事例で学びましょう。
クラウドデータセキュリティのベストプラクティスには、複数の防御手法を重ね合わせた多層的な防御アプローチが求められます。この多層アプローチにより、組織が直面する変化し続ける脅威に対して、セキュリティを成功させる可能性を最も高めることができます。
多層アプローチを例えると次のようになります。まず、あなたの組織を中世の城だと想像してみましょう。最高レベルのセキュリティを実現するには、城を多様な防御を重ねた複数の層で守る必要があります。
物事が変化すればするほど、変わらないことがあります。承知しました。もっと読みやすく意訳しますね。クラウドデータを守るためのベストプラクティスは、昔からあるセキュリティの原則と同じ考え方に基づいています。ただし現在は、それをデジタルに特化して強化しています。
多層防御型のクラウドセキュリティ戦略は、さまざまなレイヤーのデータ保護とプライバシー保護を組み合わせて、クラウド上のデータを守ります。フィッシングや認証情報の盗難など、脅威の種類ごとに異なる保護層が必要です。複数の層を重ねることで、より多くの脅威に対応でき、1つの層が失敗しても別の層が攻撃を阻止する可能性があります。
いいえ、あの「CIA」ではありません。
CIAの三大要素は、これら3つのセキュリティを優先事項として位置づけるモデルを示しています。結局のところ、クラウドデータセキュリティはこの三大要素で成り立っています。
クラウドコンピューティングを活用する企業は、次のような多層防御を備える必要があります。
方針と手順
物理的セキュリティ
境界防御
内部ネットワークセキュリティ
ホストセキュリティ
アプリケーションセキュリティ
データセキュリティ
どのセキュリティ戦略も完全ではないことに留意することが重要です。クラウドデータセキュリティのベストプラクティスには、継続的な維持、進化、革新、そして投資が欠かせません。
クラウドデータ保護の完璧な実績は、数カ月から数年にわたって絶え間なく続く脅威を阻止し、組織に数十億ドル規模のコスト削減をもたらすことができます。
しかし、セキュリティの失敗が一度でも起きれば、組織は大きな代償を払うことになります。データ侵害による直接的な影響に加え、罰金の支払いや評判の失墜といった長期的な影響を受ける可能性があります。
組織には、セキュリティの文化と、セキュリティを理解する文化の両方が必要です。これには、保守担当者、ベンダー、契約社員から、CEO、ITリーダー、テクノロジーパートナーに至るまで、すべての人が関与する必要があります。
クラウドデータセキュリティの文化を築く
セキュリティの成功は、まさに猫とネズミのゲームです。攻撃は常に進化しており、組織も進化する必要があるため、今月テストする内容は来月にはまったく異なる可能性があります。組織が時代に遅れないようにするためには、次のことを行う必要があります。
全員を巻き込む
組織のすべての人が、多層防御戦略の重要な一部です。セキュリティは最も弱い部分と同じ強さしか持たないため、クラウドデータを守るために、企業全体のあらゆるチームメンバーをセキュリティの維持と強化に関与させることが重要です。
継続的なトレーニングを通じて、チームを積極的に指導してください
すべてのチームメンバーに対して定期的かつ必須のトレーニングを実施しましょう。実際の脅威にどのように対応するかを確認するために、チームメンバーをテストし教育する積極的な取り組みを展開するチームを編成します。これらのテストは、ハッカーが攻撃や脆弱性の確認に用いる実際の脅威に近いものにする必要があります。その結果は、どのような攻撃が有効となり得るかをセキュリティチームに示し、今後最優先とすべきセキュリティトレーニングをより適切に定義するのに役立ちます。
クラウドに精通した専門家を起用してクラウドに取り組む
クラウドセキュリティチームのメンバーが必要なクラウドの専門知識を持たずに業務を遂行した場合、自ら招いたセキュリティ侵害が発生する可能性があります。Verizon社の2022年版「Data Breach Investigations Report」によると、設定ミスによるクラウドストレージの誤設定が影響するエラーは依然として支配的な傾向であることが明らかになっています。
— Dylan Border、Hyland、サイバーセキュリティ担当ディレクター
上記のベストプラクティスに加えて、これらの方法を使用することでクラウドデータ保護を効果的に行うことができます。
クラウドを自動化する
自動化によってクラウド内のリソースに対する人の関与を減らすことで、クラウド上のデータを保護するのに役立ちます。これは、脅威や異常の検知だけでなく、対応においても役立ちます。自動化がクラウドインフラに組み込まれていれば、変更や更新を日単位や週単位、月単位ではなく、数秒で開始し完了することができます。
たとえばAWSでは、APIと連携し、1行のコマンドを送るだけで、一連のスクリプトを実行し、クラウド環境全体に必要なインスタンスやコンテナを起動できます。時間効率の向上に加えて、クラウド自動化は人為的なミスやクラウドの設定ミスも排除します。
サードパーティのサイバーセキュリティリスク管理チームと連携する
組織のセキュリティ体制を分析し報告する、独立した中立的なツールを精査して導入します。たとえばBitSightは、組織のオンライン上における公開フットプリントを監視するのに役立ちます。
クラウドプロバイダーと、そのサービスを利用する企業の双方が、これらのサードパーティによる評価ツールのメリットを享受できます。そのフィードバックは、予防的にも、事後対応的にも活用できます。
一流のクラウドサービスプロバイダーは、これらのサードパーティ評価機関を活用し、自社だけでなく、顧客、ベンダー、決済処理業者のスコアも監視します。
インフラストラクチャー・アズ・コード（IaC）
クラウドインフラを手作業ではなくコードとして管理・展開することで、人為的なミスや、内部外部を問わず悪意ある行為者の侵入を抑制できます。IaCは、クラウド管理をアプリケーションコードと同じセキュリティライフサイクル開発プロセスに従わせることで、悪意が含まれていないことを保証します。
クラウドインフラストラクチャはビジネスを加速し、組織がどこでもリアルタイムで作業できるようにします。これにより、コスト削減、物理スペースの解放、現代のリモートワークのサポート、災害復旧準備の支援が可能になります。
しかし、クラウドコンピューティングには次のような問題や課題があります。
アクセス管理
クラウド環境で誰がどのデータにアクセスできるかを把握することは、データセキュリティにとって重要です。クラウドサービスの利用者は、誰がアクセスを検証しているのかを把握し、データレベルでのアクセスや暗号鍵に強固な対策を求める必要があります。また、クラウドサービスプロバイダーが、文化づくりから多層防御まで、これまで述べてきたベストプラクティスを順守していることを確認しなければなりません。
残念ながら、アクセス制御の可視性が不十分だと、悪意ある行為者（多くの場合は内部脅威）がクラウド環境に侵入する可能性があります。
サプライチェーン攻撃
これらの攻撃は、もともと大規模組織の小規模なパートナー企業のソフトウェアを標的として仕組まれるものです。大企業がデータ保護においてより巧妙になるにつれて、悪意ある行為者は、自社製品を大企業に販売している可能性のある小規模ベンダーへの攻撃を増加させています。検知されないまま感染したパートナーソフトウェアが標的となる企業のクラウド環境に導入されると、そのアプリケーションのすべての利用者に感染が広がります。
これらのサプライチェーン攻撃は、まずサプライヤーに影響を及ぼし、さらにそのサプライヤーのサプライヤーへと広がり、悪意あるコードによる連鎖的な感染を引き起こします。また、こうした攻撃は連鎖が長いため、追跡が困難になることもあります。
資産の棚卸し
資産管理のプロトコルが不十分な組織は、自社がクラウドにどのような資産やデータを保有しているのか把握できていない可能性があります。あるいは、今日のクラウドの特性として、リソースが高速で立ち上げられたり削除されたりするため、クラウドセキュリティチームが環境内で起きていることに追いつけない場合もあります。
この脆弱性に対処するために、組織はクラウドに何があり、なぜ存在し、誰が管理しているのかを把握しておく必要があります。これはフォレンジック分析にも役立ち、侵害が発生した場合にクラウドセキュリティチームが短命なシステムを追跡できるようになります。
結論：存在を把握していないものを守ることはできない。
クラウド専門知識の不足
業界はクラウドの専門知識の不足に直面しており、それに伴って最大級のセキュリティ課題が生じています。重要なクラウドの専門知識を持たない従業員が、従来のデータセンターと同じ方法でクラウドに資産を展開しようとすると、セキュリティの観点から深刻な問題が発生する可能性があります。両方のスキルセットは相互に補完し合うことはできますが、同一のものではありません。
さらに、クラウドのスピードや、クラウドプロバイダーが自社サービスをどれほど迅速に変更・置き換えできるかを考えると、クラウドの専門家でない人にとってはもちろん、専門家にとっても追随するのは非常に困難です。
クラウドコンピューティングとオンプレミスのデータセンターにおけるセキュリティの違いは、本質的には誰が責任を負うかにあります。
クラウドを利用しないオンプレミスのデータセンターでは、サーバーは企業が所有し管理します。その場合、セキュリティに対する責任はすべて組織が負います。
企業がクラウドプロバイダーを活用するクラウド対応ソリューションを導入した場合、データセンターのセキュリティ責任はクラウドプロバイダーに移ります。
しかし、組織は、クラウドインフラ、利用するアプリケーション、調達するサービスに関与するすべてのサプライヤー、ベンダー、プロバイダーを精査し、十分なデューデリジェンスを行わなければなりません。理想的には、企業はAWSのような大手プロバイダーを選択することになります。そこには最高レベルのクラウドセキュリティ人材が従事しており、セキュリティにおける成功実績も証明されています。
クラウドはデータセンターに取って代わるでしょうか？
いいえ、クラウドがデータセンターに取って代わることはありません。クラウドソリューションも、データの保存には依然としてデータセンターを利用します。しかし、ほとんどの企業は自社でオンプレミスのデータセンターを管理することから離れつつあります。クラウドプロバイダーは自社のデータセンターを所有・管理しており、基本的にはそのストレージスペースをパートナーに「貸し出す」形になっています。
たとえばAWSは、自社のデータセンターを管理し、その中でパートナーのクラウドデータを保存しているクラウドプロバイダーです。AWSはそれらのデータセンターのセキュリティと維持管理を担っており、そこにクラウドインフラ顧客のデータを保存しています。
Hylandは、クラウド対応およびクラウドネイティブのテクノロジー、ソリューション、サービスを幅広く提供するコンテンツサービスのリーディングプロバイダーです。お客様の期待に応えるため、そして企業として当然の責務として、クラウドデータセキュリティに最優先に取り組んでいます。
具体的には、ハイランドは次のクラウド向けサービスを提供しています。
ハイランドは、AWS Marketplaceに掲載されています。次の機能を含む、AWS Marketplaceで購入するメリットについてご確認ください。
