クラウドセキュリティとは？注意すべきリスクと5つの対策方法

クラウドセキュリティとは、クラウドサービスの使用時に発生するリスクに対応するためのセキュリティ対策のことです。近年はクラウドサービスを使用する企業や公的機関が増加しており、クラウドセキュリティの重要性が高まっています。

クラウドサービスの使用には不正アクセスや情報漏えいなどのリスクがあるため、企業は十分な対策を講じることが大切です。この記事では、クラウドセキュリティの概要や主なリスク、実施すべき対策について解説します。クラウドサービスを安全に使い続けたい企業の方はぜひ参考にしてください。

ダウンロードコンテンツ

クラウドセキュリティとは

クラウドセキュリティとは、クラウド環境で発生するセキュリティリスクへの対策のことです。クラウドセキュリティを講じないことで、データが盗まれたり、システムを悪意ある第三者に乗っ取られたりする可能性があります。

近年は自社内にサーバを設置せず、クラウドサービスを使用する企業が増加しているため、クラウドセキュリティの重要性が高まっています。

クラウドのセキュリティレベル

クラウドはインターネット経由でサービスを使用するため、自社のサーバにデータを保管するオンプレミスよりもセキュリティレベルを不安視する意見がありました。

しかし、ここ数年でクラウドサービス利用者が増加したこともあり、サービスプロバイダ各社はセキュリティ対策に非常に力を入れています。専門家のさまざまな知見を集結させた高度なセキュリティを用意しているため、現在においてクラウドはオンプレミスと比較して、遜色ないか、場合によってはより高いセキュリティ品質が保たれています。

クラウドセキュリティの必要性

クラウド技術が進歩したことにより、民間企業から公的機関まで幅広い業界でクラウドサービスが取り入れられていることから、クラウドセキュリティの必要性が高まっています。しかし、クラウドサービスのセキュリティがいくら高レベルであってもリスクは存在します。企業は十分なセキュリティ対策を講じなければなりません。

特にクラウドサービスの構築環境を他のユーザと共同利用するパブリッククラウドは、不特定多数がインターネット経由でアクセスできるためサイバー攻撃のリスクがあります。セキュリティ対策を実施しないと、クラウド環境に保存しているデータが盗まれる可能性があるため注意が必要です。

クラウドセキュリティの対象となるサービス

クラウドサービスには世界最大級のクラウドプラットフォームであるAmazon Web Services（AWS）、Microsoft Azure、Google Cloud Platform（GCP）、Oracle Cloud Infrastructure（OCI）をはじめ、さまざまなものがありますが、いくつかの種類に分類でき、種類によってそれぞれ特徴が異なります。

ここではクラウドサービスの種類と、クラウドサービスを使用するメリット・デメリットについて解説します。

クラウドサービスの種類

クラウドサービスの種類は主に、サービスとしてのソフトウェアを提供する（SaaS）、サービスとしてのプラットフォーム（開発環境）を提供する（PaaS）、サービスとしてのインフラを提供する（IaaS）の3つがあります。サービスの種類ごとに、ユーザとサービスプロバイダでセキュリティの責任を負う範囲が異なります。

以下では、IaaS・PaaS・SaaSの概要や必要なセキュリティ対策について解説します。

IaaS

IaaSはネットワークやサーバ、ストレージ機能などのインフラを、インターネット経由で提供するサービスです。機能の購入にかかるコストを抑えつつ、メモリ容量やストレージなどを自由に設定して環境を構築できます。

企業はデータからOS・ミドルウェアまでの広い領域に対して、セキュリティの責任を負います。アプリケーション・OS・ミドルウェアに対する脆弱性対応やパッチ適応などのセキュリティ対策が必要です。

PaaS

PaaSはアプリケーション動作に必要なOSやミドルウェアを、インターネット上で提供するサービスです。アプリケーションの稼働基盤を構築・運用する手間を削減できます。

企業はデータからアプリケーションまでの領域に対して、セキュリティ対策を施す必要があります。アプリケーションに潜む脆弱性にいち早く気付くには、脆弱性診断の実施が有効です。またアプリケーションを狙ったサイバー攻撃を防ぐために、セキュリティ対策ソフトの導入を検討する必要もあります。

SaaS

SaaSはソフトウェアやアプリケーションを、インターネット経由で提供するサービスです。ソフトウェアをインストールする手間がかからず、インターネット環境があればどこからでもアクセスできます。

アプリケーションの防御からサービス運用まではサービスプロバイダがセキュリティの責任を負い、企業はデータやコンテンツに対してセキュリティ対策を実施します。また企業はアクセス権限を管理し、アクセス範囲を制御することも必要です。

クラウドサービスのメリット・デメリット

クラウドサービスを使用するメリットとデメリットは、以下の通りです。

メリット	デメリット
ハードウェアやソフトウェアの購入が不要 基本的な設定はサービスプロバイダ側で定義している 契約すればすぐ使用できる 初期導入費用が低い インターネット環境があればどこでも使用できる 管理・保守はサービスプロバイダが行う 必要に応じて性能・容量・機能を変更できる	サービス提供者がシステム障害を起こすと自社のサービスを止める必要が出てくる 企業が契約しているクラウドサービスを個人端末から使用されるリスクがある カスタマイズの自由度が低い場合がある 既存のシステムと連携しにくいことがある 長期的な観点ではコスト増になり得る

クラウドサービスを使用する際には、オンプレミスシステムと比べると企業側でハードウェアやストレージなどの機器を用意する必要がなく、比較的短期間で導入できる傾向にあります。最新バージョンへのアップデートをサービスプロバイダ側が行うため、メンテナンスに割く時間や人材などのリソースを抑えられます。

一方で、自社の機器を利用しているわけではないことから、サービスプロバイダ側で障害が起きた際に、ユーザへのサービスが停止してしまうリスクもあります。また、企業とサービスプロバイダのセキュリティを負う範囲があいまいになり、セキュリティ対策が不十分になることも考えられます。

クラウドセキュリティの実施に役立つガイドライン

クラウドサービスは便利ですが、導入の際にはリスク管理やセキュリティ対策についてきちんと理解しておくことが大切です。

クラウドセキュリティの実施には、経済産業省から発行されている『クラウドサービス利用のための情報セキュリティマネジメントガイドライン』^※1が参考になります。このガイドラインはクラウドサービスが普及し始めたころ、サイバー攻撃の増加によりさまざまな問題が発生したことを受けて策定されました。

またクラウドサービス利用者向けに、総務省が『クラウドサービス利用・提供における適切な設定のためのガイドライン』^※2を発表しています。安全なクラウドサービス利用のために、設定不備を防止する具体策について記載しています。

ガイドラインを参考にすれば優先的に取り組むべきセキュリティ対策がわかるため、クラウドサービスを使用するなら事前に確認することをおすすめします。

クラウドセキュリティで注意すべき5つのリスク

不正アクセス

不正アクセスとは、アクセス権限を持たない第三者がWebシステムやサーバ内部に侵入する攻撃です。クラウドサービスはインターネット上にログイン画面が公開されているため、IDやパスワードが流出すると容易にアクセスされてしまいます。

不正アクセスを防ぐには、他者から推測されにくいパスワードの設定、パスワードの使いまわし防止、ログイン認証機能の強化などが有効です。またアクセス制御を設定し、いつ・どこで・どの端末からのアクセスを許可するか設定しておくことも重要です。

サイバー攻撃

クラウドサービスは情報の盗取や嫌がらせ、身代金の要求を目的にサイバー攻撃を受けることがあります。主なサイバー攻撃の手口は、以下の通りです。

サイバー攻撃	サイバー攻撃	概要
DDoS攻撃	コンピュータから大量のデータを送信し、負荷をかけてサーバダウンを狙う攻撃
マルウェア	ウイルスに感染させてデータを改ざんしたり、クレジットカード情報を盗んだりする攻撃
ランサムウェア	ウイルスに感染させてデータを暗号化・ロックし、復旧と引き換えに身代金を要求する攻撃
標的型攻撃	特定の企業や団体にウイルスを添付したメールを送信し、機密情報を盗取する攻撃

サイバー攻撃を防ぐためには、OSやブラウザを最新状態に保つ、セキュリティ対策ソフトを導入するなどの対策が必要です。

情報漏えい

クラウドサービスへの不正アクセスやサイバー攻撃により、サーバに保管されたデータが外部に漏れる情報漏えいが発生する可能性があります。企業の機密情報やユーザの個人情報が流出すると、金銭的損失や企業に対する信頼の失墜につながります。

情報漏えいを防ぐには、通信の暗号化や安全なパスワードの設定・管理、ウイルスチェックシステムの導入などが有効です。また人為的ミスで情報漏えいするケースもあるため、社内の管理体制を強化して情報漏えいへの意識を高めることも求められます。

データ消失

システム障害や設定の不具合、不正アクセスなどが原因で、クラウドサービスに保存されたデータが消失するケースがあります。また使用者が操作を誤り、データを削除してしまうことも少なくありません。

データ消失に対応できるように、日ごろからバックアップをとっておくことが大切です。バックアップを取得していれば問題が発生しても復元が可能であるため、影響を抑えられます。

シャドーIT

シャドーITとは、企業の管理部門の許可を得ず従業員が自己の判断で導入したクラウドサービスやIT機器などのことです。Google ドライブやDropboxなどの無料サービスは導入が手軽で、複数人とファイル共有するのに便利なためシャドーITになりやすい傾向があります。

従業員がシャドーITを引き起こすのは、既存のクラウドサービスやIT機器では業務効率が悪く、利便性を向上させようとするためです。シャドーITを防ぐには、業務を円滑に行えるよう企業が環境を整備する必要があります。

クラウドセキュリティを強化するための5つの対策

クラウドサービスの使用には不正アクセスやサイバー攻撃などのリスクがあるため、クラウドセキュリティを強化して安全性を高めることが重要です。ここでは、具体的なセキュリティ強化対策を5つ紹介します。

データの暗号化

通信の盗聴やファイルの改ざん、不正アクセスなどの攻撃には、データの暗号化が有効です。暗号化することで、第三者にデータの中身を読みとられるリスクを防げます。

クラウドサービスはインターネット経由で情報をやりとりするため、通信途中で第三者から攻撃される危険がつきまといます。攻撃リスクを下げるには、通信をSSL化して暗号化することが重要です。個人ユーザ認証にはネットワーク制限や多要素認証、ロールについては必要業務に応じた最小権限の設定を行いましょう。

また、クラウドストレージからの漏えいを防ぐには、クラウド上に保管するデータの暗号化が有効です。ファイルを暗号化することで、不正アクセスや内部持ち出し、誤送信などによる漏えいや、サービスプロバイダ側のミスや内部不正などにも対処できます。

アクセス制御・ユーザ認証の強化

不正アクセスによるデータの改ざん・削除や、情報漏えいのリスクを下げるには、アクセス制御やユーザ認証の強化が必要です。

アクセス制御ではログインできるユーザを制限するために、通信を許可するIPアドレスを設定します。またデータの閲覧・修正・削除など、ユーザが実行できる操作範囲を設定することも大切です。

ユーザ認証の強化には、2つ以上の認証要素を組み合わせて本人確認を行う多要素認証が有効です。一度きりしか使えないワンタイムパスワード、本人だけが知っている秘密の質問、身体情報を利用した指紋認証などを組み合わせることで、セキュリティを強化できます。

脆弱性の検知

サイバー攻撃を受けた際の影響を最小限にするために、脆弱性診断を実施して脆弱性を素早く検知することが大切です。近年は特にクロスサイトスクリプティングやSQLインジェクションなど、アプリケーションを狙った攻撃の被害が数多く報告されているため、脆弱性対策が欠かせません。

脆弱性診断を実施すれば既知の脆弱性を早期発見し、攻撃を受ける前に対策を実施することが可能です。どんなにセキュリティに気を配っていても、人間が構築している以上、どのシステムにも脆弱性が生じる可能性があります。

オンプレミスでは物理的に保護されたデータセンター内にあることからあまり気にすることがなかったハードウェアのセキュリティ対策についても、クラウドの場合はクラウドレイヤーのセキュリティ対策として気にする必要があります。リスクを下げるために定期的に脆弱性診断を実施するのが望ましいと言えます。

データのバックアップ

人為的ミスや災害、ランサムウェアなどさまざまな原因でデータが消失する可能性があるため、定期的にデータをバックアップしておくことが大切です。バックアップを取得すれば、クラウド上のストレージに復元用のデータが保存されます。

多くのクラウドサービスでは、バックアップ機能があらかじめ備わっています。日時を指定しての自動バックアップや、自動で世代管理などを行えるサービスがあります。作業の手間もかかりません。

適切なクラウドサービスプロバイダの選定

クラウドサービスのセキュリティレベルの高さは、サービスを提供するサービスプロバイダのセキュリティ技術の高さに依存します。適切なサービスプロバイダを選定するために、クラウドサービスに備わっているセキュリティ機能やセキュリティポリシーを確認して、安全性の高いサービスか見極めることが大切です。

近年はクラウドサービスが普及し、さまざまなサービスプロバイダがサービスを提供していることに伴い機能も多様化しています。複数のバックアップ手段があるか、どのような手段で不正アクセスを防いでいるかなど、セキュリティへの力の入れ具合を確認してサービスプロバイダを選定しましょう。

クラウドサービスの安全性を証明するセキュリティ基準

クラウドサービスの安全性を証明するために、サービスプロバイダ各社はセキュリティ基準を公表しています。世界的な基準には、米国国立標準研究所（NIST）が2014年に発行した「サイバーセキュリティフレームワーク（CSF）」^※3がありますが、CSFには認証制度がありません。安全性を証明するには、認証制度のあるセキュリティ基準をクリアする必要があります。

ここでは、代表的なセキュリティ基準を紹介します。

ISMSクラウドセキュリティ認証

ISMSクラウドセキュリティ認証は、クラウドサービスに関するセキュリティ管理が適切に行われていることを証明する認証です。ISOより発行されている国際規格で、多くのクラウドサービスプロバイダが取得しています。

なおISMSクラウドセキュリティ認証を得るには、すでに情報セキュリティマネジメントシステム認証「ISO/IEC 27001:2013」を取得しており、かつ、クラウドサービスセキュリティ管理策の「ISO/IEC 27017:2015」を実施している必要があります。

対象	全世界
認証形態	第三者認証
備考	認定後は年1回のサーベイランス審査と、3年に1回の更新審査を受ける必要がある

CSマーク

CSマークは、特定非営利活動法人日本セキュリティ検査協会（JASA）が実施している情報セキュリティ監査制度です。クラウド情報セキュリティ管理基準に基づき、クラウドサービスに要求されるセキュリティレベルを満たした監査を行うと付与されます。

対象	日本
認証形態	自己認証・第三者認証
備考	監査状況はWebで公開される 認証段階にはゴールド（第三者認証）とシルバー（自己認証）がある

CSA STAR認証

CSA STAR認証（CSA Security）は、米国のセキュリティ団体がセキュリティ成熟度を評価する制度です。認証を取得するには、自己認証・第三者認証・継続審査の3段階を経なければなりません。

対象	全世界
認証形態	自己認証・第三者認証・継続審査
備考	認証を保持するには定期的な監査が必要

StarAudit Certification

StarAudit CertificationはEuroCloud Europe（ECE）による認証制度で、以下の6つの領域について星3〜5つで評価します。

• CSP（クラウドソリューションプロバイダ）の情報
• 法的事項
• セキュリティとプライバシー
• データセンター
• 運用プロセス成熟度
• クラウド形態

星の数により管理策が異なるため、中小企業でも認証を受けやすいことが特徴です。

対象	全世界
認証形態	第三者認証
備考	部分的な認証が可能

FedRAMP

FedRAMPは、米国政府機関が採用しているクラウドサービスのセキュリティガイドラインです。サービスプロバイダが提供する製品やサービスのセキュリティ評価・認証・継続的監視に関連する一般的なアプローチを示しています。政府基準のため、取得難易度は高めです。

対象	米国
認証形態	第三者認証
備考	認証を通過すると多くの政府機関でサービスを提供できる セキュリティレベルは3段階に分類される

SOC2（SOC2+）

SOC2（SOC2+）は米国公認会計士協会（AICPA）が定めた、サイバーセキュリティに関する報告の枠組みです。企業が監査してほしいシステムやサービスを対象に、以下の5つの項目について評価します。

• セキュリティ
• 可用性
• 処理のインテグリティ
• 機密保持
• プライバシー

保証報告書には監査法人による具体的な評価内容が記載されているため、客観的な会社運用の実態を確認できるメリットがあります。

対象	全世界
認証形態	第三者認証
備考	SOC2には2種類あり、評価期間の違いによりタイプ1とタイプ2に分かれる

クラウドサービスを選ぶ際のポイント

不正アクセスや情報漏えいなどのリスクを防ぐには、セキュリティレベルが高いクラウドサービスを選ぶことが重要です。ここでは、安全性の高いクラウドサービスを選ぶためのポイントを解説します。

情報セキュリティ対策が実施されているかチェックする

セキュリティ対策が実施されているかチェックすることは、セキュリティレベルが高いクラウドサービスを選ぶポイントになります。

総務省が運営している「国民のための情報セキュリティサイト」^※4には、サービスプロバイダが実施すべきセキュリティ対策として以下の内容が挙げられています。

• データセンターの物理的な情報セキュリティ対策（災害対策や侵入対策など）
• データのバックアップ
• ハードウェア機器の障害対策
• 仮想サーバなどのホスト側のOS・ソフトウェア・アプリケーションにおける脆弱性の判定と対策
• 不正アクセスの防止
• アクセスログの管理
• 通信の暗号化の有無

クラウドサービスの内容やサービスプロバイダとの契約内容を確認し、セキュリティ対策をしっかりと行っているか見極めてサービスを選びましょう。

クラウドセキュリティの課題

クラウドセキュリティには数多くのリスクからサービスを守る機能が備えられていますが、課題もあります。例えばログの記録機能が不十分ですべてのログを参照できなかったり、暗号化機能がなくデータを守れなかったりする場合があります。

またWebサイトやメールの添付ファイルからマルウェアやランサムウェアに感染したり、ネットワークに侵入されてサプライチェーン攻撃の被害を受けたりする可能性があることにも注意が必要です。

課題に対応するには、十分なセキュリティ機能を備えたクラウドサービスを選択する、別途セキュリティ対策ソフトを導入するなどの対策が求められます。

クラウドセキュリティの安全性を高める製品

SaaS利用向けセキュリティ

情報システム部向けのSaaS利用のセキュリティには以下のようなものがあります。

CASB

CASBはクラウドサービスの使用を監視して一元管理する、SaaS利用者（情シス）向けのセキュリティ対策ツールです。SaaSの使用状況を可視化し、複数のSaaSに同一のセキュリティポリシーを適用できます。

アクセス制御やマルウェア検知、データの暗号化などの機能を備えており、情報漏えい対策として利用されています。CASBは監視範囲がクラウドサービスに特化していて、より細かな制御が可能です。

SWG

SWGはWebサイトへのアクセスを監視し、不正な通信を遮断するSaaS利用者向けのセキュリティ対策ツールです。URLフィルタリングやアンチウイルス機能が搭載されており、業務に無関係なWebサイトへのアクセス、シャドーITの使用を防ぎます。

SWGはWebトラフィック全般を監視するため、CASBでは対応できないリスクにも有効です。

IDP-SSO

「IDP-SSO」は、Identity Provider Single Sign-Onを略した業界用語です。

Identity Providerは、ユーザの情報を管理し、他のサービスやアプリケーションに対して認証やアクセス許可を提供するシステムです。ユーザは1つの認証情報で複数のサービスにアクセスできるようになります。

一方Single Sign-Onは、ユーザが複数の関連するアプリケーションやサービスにまとめてアクセスできる仕組みです。ユーザはそれぞれのログイン情報を管理する必要がなくなります。

IDP-SSOは、Identity Providerを介してSingle Sign-Onの仕組みを提供する、SaaS向けのセキュリティ対策ツールのことを指します。

PaaS利用向けセキュリティ

事業者向けのPaaS利用のセキュリティには以下のようなものがあります。

CSPM

CSPM（Cloud Security Posture Management）はクラウドサービスのセキュリティ設定を監視し、異常を検知した際に通知してくれるIaaS・PaaS利用者向けのセキュリティ対策ツールです。

あらかじめ決められたルールに則り、不適切な設定や脆弱性の有無などを自動的にチェックします。セキュリティインシデントが発生するのは設定ミスが原因であることが多いため、CSPMによる設定チェックの重要性が高まっています。

WAF・NFW

WAF（Webアプリケーションファイアウォール）は、Webアプリケーションの脆弱性をターゲットとしたサイバー攻撃に備えるためのセキュリティ対策ツールです。

またNFW（ネットワークファイアウォール）はクラウド環境でネットワークトラフィックを監視し、不正なトラフィックをブロックするセキュリティ対策ツールです。

WAFにNFW機能を加えることで、防御力の向上と運用負担の軽減が実現します。

CWPP

CWPP（Cloud Workload Protection Platform）はクラウド環境にあるワークロードを監視し、脅威から守るIaaS・PaaS利用者向けのセキュリティ対策ツールです。ワークロードとはアプリケーションやデータベース、仮想マシンなどを指します。CWPPは複数のクラウド環境を一元管理でき、ワークロードを可視化して脅威を検知します。

SIEMなどの開発者／SRE向けIaaS・PaaSセキュリティ

SIEM（Security Information and Event Management）は情報セキュリティに関連するイベントとログを集約し、分析するセキュリティ対策ツールです。監視したセキュリティイベントからセキュリティリスクを検出し、攻撃を予防します。また組織のセキュリティ状況を評価して改善につなげたり、発生したインシデントを素早く検出したりすることも可能です。

クラウドセキュリティのリスクを知って対策を強化しよう

今回はクラウドセキュリティの概要や注意すべきリスク、有効なセキュリティ対策などについて解説しました。

クラウドサービスを導入する企業は増加しており、クラウドセキュリティの必要性が高まっています。安全性の高いクラウドサービスも増えていますが、インターネット経由でサービスを使用する以上、不正アクセスやサイバー攻撃などのセキュリティリスクも潜んでいます。

クラウドセキュリティを強化するには、データの暗号化やアクセス制御などの対策が有効です。安全にクラウドサービスを使用し続けるために、セキュリティ対策を強化しましょう。

参考情報

※1 クラウドサービス利用のための情報セキュリティマネジメントガイドライン｜経済産業省

※2 クラウドサービス利用・提供における適切な設定のためのガイドライン｜総務省

※3 重要インフラのサイバーセキュリティを改善するためのフレームワーク（CSF）｜IPA

※4 クラウドサービスを利用する際の情報セキュリティ対策｜情報管理担当者の情報セキュリティ対策｜企業・組織の対策｜国民のための情報セキュリティサイト