クラウド移行前に必ず確認したいクラウドセキュリティ対策11選

クラウドは、企業の業務遂行やビジネス上の意思決定のあり方を大きく変えました。クラウドコンピューティングが提供する幅広いアプリケーションやサービスにより、現代のビジネスはこれまでになく俊敏に、迅速に、相互運用性高く動けるようになっています。社内情報共有プラットフォームから、データベースの保存・検索・管理を容易にする柔軟なリソースまで、クラウドは企業の事業運営に新時代の環境をもたらしています。

こうしたWebベースのビジネス基盤への需要が高まるにつれ、クラウドサービス開発者・提供者の業界も急成長を遂げています。Amazon Web Services(AWS)やMicrosoft Azureといった大手プレイヤーがこの分野を牽引しており、その影響力は中小企業までもクラウド移行へと駆り立てるほどに及んでいます。

しかし、インターネットに関わるすべてのサービスと同様に、クラウドコンピューティングにもセキュリティ上の懸念がつきものです。データ漏えい、アカウント乗っ取り、ランサムウェア攻撃、DoS攻撃などは、クラウド上に保存された将来の事業計画、戦略、財務情報といった企業情報の安全を脅かす代表的なリスクです。クラウドへの移行を計画しているなら、その脆弱性についても十分に理解しておく必要があります。

ここでは、信頼性の高いサイバーセキュリティ体制を構築するために、クラウド移行前に実施すべきステップを紹介します。

クラウド移行前に行うべきセキュリティ対策

1. クラウドセキュリティのリスクを把握する――過去の事例研究を参考に

企業における変革において最も重要な要素の一つがリスク評価です。提案された変更が自社のデータにどのようなリスクをもたらしうるのか、経営層が把握しておくことが不可欠です。クラウドコンピューティングへの移行も例外ではありません。
こうしたリスクを把握する最良の方法は、過去のクラウドセキュリティ侵害事例を研究することです。ここ数年だけで、国際的に知られる大組織までもがクラウドセキュリティ侵害の被害を受けています。それらの事例を分析し、どのような対策が欠けていたのかを学ぶことが、同じ失敗を繰り返さないための第一歩となります。

2. データを棚卸しし、優先順位に応じて再整理する

クラウドセキュリティに関する脆弱性やリスクを把握したら、次に理解すべきは、それらのリスクがデータ盗難につながりうるという点です。万一データが流出すれば、顧客や取引先から情報管理の不備を問われる可能性もあります。まずはデータを整理し、重要度や優先順位に応じて内容を分類しましょう。そのうえで、重要度の低いアセットから順にテスト移行を行います。そうすることで、クラウド環境での設定方法をつかみ、本番のアセットをより慎重に新しいサービスへ配置できるようになります。

3. 移行コストを見積もる

大規模な組織であれば予算管理はスピーディーで、変革タスクのためにリソースを再配分することも比較的容易です。しかし中小企業にとっては重大な決断です。クラウドに移行する前に、その費用が企業の財務に大きな打撃を与えないことを確認してください。自社の資金状況が、移行と新技術への適応を十分に支えられるかを見極めることが大切です。

4. サイバーセキュリティ体制の構築から着手する

まず現在のサイバーセキュリティ体制を把握しましょう。どのような脅威を防げているのか、どのような脆弱性が残されているのかを点検し、問題があれば是正します。エンドポイントセキュリティやサーバー保護など、体制の各側面を個別に評価してください。すべての側面を評価した後、現在のセキュリティ対策がクラウドコンピューティングのセキュリティ基準に準拠しているかを確認します。既存の対策にクラウド上で悪用されうる抜け穴がある場合は、置き換える必要があります。

こうした点検は、サーバーや各部門に導入済みのセキュリティソフトの強度などを分析して実施します。自社のサイバーセキュリティ体制を厳格に管理することで、安全なクラウド移行を実現できます。

5. セキュリティの相互運用性を確認する

個人用途のPCでは多層防御は過剰になりがちですが、企業には追加のセキュリティレイヤーがある方が安全です。現在使用しているファイアウォール、ネットワークセキュリティの基盤、暗号化技術、マルウェア対策サービスを洗い出し、クラウドのセキュリティリスクと照らし合わせましょう。既存の基盤がクラウド環境でも同等の効果を発揮できることを確認してください。移行後のクラウド上での事業継続に必要な基本的なセキュリティ対策がすべて整って初めて、データ移行に進むべきです。

6. 予算内で信頼できるサービスプロバイダーを選ぶ

どれだけセキュリティ対策を入念に点検しても、クラウドに預けた情報の保護はサービスプロバイダーの責任にも関わります。したがって、そのプロバイダーが信頼でき、セキュリティ実践が検証済みであり、情報へのアクセスと管理について透明性を持っていることが不可欠です。こうした契約にはSLA(サービスレベル契約)が活用されます。SLAの基本は、プロバイダーが顧客(つまり企業)の情報の保存・保護について誠実であることです。このような合意により、契約に確約が加わります。

7. 既存データを安全に移行する

過去のデータは新しいクラウドプラットフォームへ移行する必要があります。過去のデータは、将来のトレンド予測や運営上の意思決定に欠かせないものです。ただし、移行の際にはそのデータを整理し、保護しなければなりません。こうした場面では「コンテナ化」の活用を検討するとよいでしょう。

コンテナ化では、アプリケーションと関連する設定ファイルをひとまとめにし、セキュリティバグのないコンピューティング環境にパッケージ化します。コンテナ化されたデータは、ある環境から別の環境へ安全に転送できます。

8. 従業員研修の実施――変更内容を伝達する

従業員がクラウドコンピューティングの使い方と手法を理解していなければ、移行は完了したとは言えません。クラウドセキュリティ侵害の多くの事例では、原因は従業員のミスでした。故意に不正をしたわけではなく、クラウドセキュリティを突破される手口について十分に知らされていなかったのが実情です。

したがって、そうした攻撃への対処法について従業員を訓練することが不可欠です。疑わしい事例に遭遇した際に従うべき手順を周知徹底しておきましょう。

9. サードパーティ連携の詳細を確認する

クラウドサービスプロバイダーは、さまざまな操作のためにサードパーティ連携を提供しています。これらの連携は細かな作業を支援してくれますが、利用するには自社のクラウドアカウント内の一部情報へのアクセスを許可する必要があります。クラウドへ移行する前に、どのようなサードパーティ連携が関連するのかを調べ、その信頼性を確認し、過去にそれらの連携が原因でセキュリティ侵害が発生していないかをチェックしましょう。

10. ペネトレーションテスト(侵入テスト)を実施する

可能であれば、提供されるクラウドセキュリティの水準を測定するためにペネトレーションテストを許可するプロバイダーを選びましょう。ペネトレーションテストでは、セキュリティを突破することを目的として、クラウドサービスへの模擬的な悪意ある攻撃を実施します。この模擬コードによって、企業側の対策とクラウドサービス事業者側の対策の双方にある抜け穴を発見できます。

多くのクラウドサービスには、こうした攻撃を検知して即座にクラウドサーバーを停止する自動セキュリティ機能が備わっています。もし模擬攻撃がこの機能に検知されなければ、そこに脆弱性が存在するということです。

11. リモートアクセスに関する脅威を確認する

多くの企業では、従業員が自宅から個人デバイスや個人ネットワーク経由でログインすることを認めています。しかし、これらのデバイスやネットワークは、企業システムと同じ対策では保護されていません。そのため侵入されやすく、ひとたび突破されれば、その企業のあらゆるアカウントがハッキングされかねません。移行先のクラウドサービスが、アカウントへのリモートアクセスに対しても同様の保護を提供しているかを必ず確認してください。

クラウドコンピューティングへの移行にあたっては、法的要件を満たすだけでなく、自社の安全性の要件にも応えるベストプラクティスを実践すべきです。有効でありながら脆弱性も併せ持つ技術である以上、クラウド移行はリスクを最小限に抑えて実現する必要があります。上記の対策を実践すれば、移行プロセスのあらゆる側面を評価し、高品質なクラウドセキュリティを達成できます。

あなたはクラウド移行についてどうお考えですか?移行時に直面する課題や、クラウドセキュリティへの意見を、ぜひコメント欄でお聞かせください。