自由って不自由だね...クラウド環境のセキュリティ管理者に希望の光は差し込むのか？

自由って素晴らしい！でもみんなが自由に好き勝手やってしまって、収拾がつかない！
そんな悩みをお持ちのクラウドシステム管理者の方、いらっしゃいますよね？

こんにちは、ラック金融事業部の七沢です。
この記事のタイトルが目に入ったあなた、きっと同じ悩みに共感できる境遇にあるのではないかと思います。

DXやテレワークなど、世の中は目まぐるしく変化しています。その変化に伴うようにして、クラウド環境を用いたシステム開発も広がりを見せています。しかし、クラウド環境では簡単にシステム構築ができてしまうが故に起きてしまった重大な情報漏えい事故など、クラウド環境にまつわるインシデントが多数発生しています。

はたして、クラウド管理者の皆さんは、ご自身が管理されている環境のセキュリティ統制、キチンと実施できているのでしょうか？管理者に見えないところに、いくつもの知られざるシステムが潜んでいたり、簡単な設定ミスを見落としたりしているなんてこと、きっと...ありませんよね...多分...。

さて、この記事では、管理や統制はカンペキだ！とおっしゃるあなたへも、ちょっと不安になったあなたにも、クラウドにおけるセキュリティ統制を便利に、楽に行う方法について紹介していきたいと思います。

• オンプレミスからクラウドへ─システム環境の変化は止まらない
• クラウド環境の利便性と表裏一体の"新しいリスク"とは？
• クラウドベンダが提供する機能でセキュリティ統制をする方法
• クラウドを取り巻く曇天から差し込む光、新しいセキュリティ統制技術とは？
• さいごに
• イベント情報

オンプレミスからクラウドへ─システム環境の変化は止まらない

世の中の動きは、明らかにクラウド環境へシフトしています。総務省の調査によれば、クラウドサービスを利用している企業は、令和に入ってから1年足らずで、58%から64%まで増加しているということです。（図1）

クラウド環境では、必要なシステム資源をわずか数クリックで用意することができ、システムの廃棄も容易。拡張や縮退だってこれまでのオンプレミス環境のように、電源やハードウェアをやりくりするために悩む必要もなくなっていきます。それだけならば、みんなが文明の果実を堪能でき、めでたしめでたしでとなるのですが...実際はどうでしょう。手軽だからこそ統制が取れないというデメリット、クラウド管理者であればその苦さを一度は味わったことがあるのではないでしょうか？

クラウド環境の利便性と表裏一体の"新しいリスク"とは？

クラウド環境は、作る、試す、修正するといったアジャイル的な開発サイクルが手軽に実行できます。だからこそ、軽い気持ちで行った作業が、思わぬ重大なセキュリティリスクにつながるリスクもはらんでいるとも言えます。

クラウド環境の活用段階は、大きく分けて4つの段階（図2）があると言われています。最初のクラウド利用初期の段階から、マルチクラウド拡大期の段階まで、どの段階においてもセキュリティリスクの呪縛から逃れることはできません。

あの開発中のシステムは大丈夫だろうか？
この稼働中のシステムは統制が効いているのだろうか？
今、問題が無いとしても、数分後に無邪気なエンジニアが、脆弱性を残したままの新しいシステムをデプロイしてしまうかも知れない！などなど...
クラウド管理者の立場から見ると、誰でも簡単に仕様や設定を変更できてしまうという状況は、"不安の種"でしかありません。

管理に万全を尽くしたと思っていても、利用者は、時折とんでもなく柔軟な発想でこちらの統制の及ばない方法を取ってくることもあります。「この機能をウチの環境でも使うにはここをこうやれば...」などと思いついた日には、それを実践したくてウズウズしてしまう人、いますよね。新しい世界への扉を開きたくて、欲求に負けてルールを破ってしまう人もいます。

しかし、そこにどんなに素敵なアイデアや発見があったとしても、セキュリティ統制の問題は消え失せることはありません。どれだけクラウド利用者の素晴らしい発想や強い欲求があったとしても、統制はとっていかねばならないのです。

クラウドベンダが提供する機能でセキュリティ統制をする方法

セキュリティ統制を取るには、大手のクラウドベンダのそれぞれが提供するセキュリティサービスを利用する方法もあります。

AWSであればSecurity HUB
AzureであればSecurity Center

これらを作りこんでいけば、システム的な統制を行うことはできます。

そうすると、また新しい問題が出てきます。

• 誰がその統制の仕組みを作り込むのか？
• どうやって運営の面倒を見るのか？
• AWS用、Azure用、はたまたGCP用に別々のセキュリティ統制をするのか？
• そんなに広範囲のクラウドサービスの知識を誰が持っているのか？

クラウド環境は手軽さが最大のメリットなのに、セキュリティ統制は複雑、煩雑になっていく一方。そして、クラウド管理者、運用者の皆さんは、まさにどんよりと曇天（クラウド）に満ちた空を見つめるような、心境に陥っていくのです。

クラウドを取り巻く曇天から差し込む光、新しいセキュリティ統制技術とは？

この煩雑で気がめいってしまうセキュリティ統制の仕組みづくりと運用。カバーしてくれるソリューションは無いのでしょうか？

私もずっと探していましたが、ついに希望の光とも言えるものが登場しました。パロアルト社の「Prisma Cloud」という新しいソリューションです。そして、このPrisma Cloudは、私が久しぶりに感動を覚えた製品でもあります。

このソリューションの基本的なロジックは単純です。各種クラウドは環境構成情報をJSON形式で出力できるため、その情報をクラウドソリューションに集め、監視・検知を行い、リスクを発見したらアラートを上げるというもの。ソリューション導入に関しては、クラウドの構成データへのアクセス権限を、管理ソリューションに付与するだけなので、動作も非常に軽いものです。

検知に関しては、プリセットとして用意されているCISベンチマークからGDPR、CSA CCMからPIPEDAまで、様々な国際的コンプライアンス標準に対して、自分の管理するシステムの適合率を表示してくれます。また、自分のシステムに合う形で独自のコンプライアンスを用意することも可能です。

感動のポイントは、まずこの管理画面（図3）です。

これはPrisma Cloudに2つのAzureサブスクリプションと1つのAWSアカウントを登録したものです。Azure、AWSアセットは全部で976個あり区別なく表示されています。そして、中程度のリスクをはらんだ資源が3%、低リスクだがある程度の問題を内包した資源が4%といったように、クラウド環境全体の現状が一目瞭然で見て取れるのです！

右下の円グラフを見れば、どのコンプライアンス標準にどの程度準拠しているかも俯瞰できます。自社で様々なシステムを開発、リリースし、運用していたとしても、異なるクラウドサービスが混在する環境であっても、どこがどれだけセキュリティの統制が取れているのか、各種資源群を一元で把握、管理することが可能となります。煩雑な管理も、セキュリティ上のチェックポイントも、これまでの悩みを一発で解決できるのです。

それに加え、なにより嬉しいのはこのPrisma Cloud自体もクラウドサービス上で稼働しているということです。つまり、ソリューション自体の管理もベンダーがやってくれるということ。監視用のコンプライアンスの更新や、各種クラウドベンダが提供する新規サービスへの対応といった監視・検知の仕組みのメンテナンスにも、煩わされることがなくなるのです。

クラウド環境のセキュリティ管理者の消えない悩み、セキュリティ統制が簡単に取れ、リアルタイムでのセキュリティ監視がマルチクラウド環境でかつ、メンテナンス工数も抑えながら実装することができるなんて、感動ものです！これさえあればクラウド環境のセキュリティ管理者が、人間らしい労働環境を取り戻すこともできるに違いありません。

いささか、興奮気味に説明してしまいましたが、私はけっしてパロアルト社の回し者というわけではありません。（ノベルティぐらいなら頂いたことはありますが）純粋に周到に設計されたこのソリューションに感心し「これからのセキュリティ統制のスタンダードになり得る」と感じたからです。

もちろんソリューションを入れるだけで、安全が手に入るわけではありません。自社の環境用にカスタマイズして初めて、このソリューションは十全の威力を発揮しますし、上がってきたアラートをどう判断し、具体的な対処をどうとっていくかなどの運用面こそが大切になってきます。

今回は、クラウド環境のセキュリティ統制の問題と、解決のための新しいソリューションについて、ほんの触りだけを説明させて頂きました。次回の記事からは、セキュリティ専門家の視点から見た、Prisma Cloudの特徴を、何回かに分けて紹介していきたいと思います。

さいごに

ラックは豊富なセキュリティの知識とSIとしての経験に基づき、Prisma Cloudを活用したセキュリティ統制支援サービスの提供を開始しました。詳しい話が聞きたい、こんな問題は解決できるのか、などなど、疑問に思うようなことがあれば、遠慮なく問合せフォームよりご連絡ください。喜んで説明に飛んでまいります。（もちろん、オンライン会議でもOKです）

イベント情報

TISとラック共催のオンラインイベントにて、クラウドセキュリティに関する講演をオンデマンドで配信しています。参加費は無料で、期間中はいつでも視聴することができます。ぜひこちらもご覧になってください。

2月1日～2月26日
Cloud & Security Conference 2021

「クラウドセキュリティ統制支援サービスによる安全なクラウド活用」
金融事業部サービス第三部 部長 上原 孝太

終了しました。たくさんのお申し込みありがとうございました。