クラウドセキュリティ

クラウドの進歩と利用拡大が、企業とその従業員の働き方を大きく変化させました。世界を飛び回る営業マンが企業のデータベースにログインしたり、スマートフォンで文書にアクセスしたりと、クラウドコンピューティングはITを変革し、その可能性は広がり続けています。利点の多いクラウドには欠点はないと思われがちですが、クラウドを利用する際には、セキュリティが重要な考慮事項であることは変わりません。 クラウドには多くのチャンスがある一方で、課題や落とし穴もあり、求める結果を得るためにはさまざまな選択肢があります。「パブリック・クラウド」を利用すべきか、それとも「プライベート・クラウド」を選ぶべきか、はたまた「パブリックとプライベートのハイブリッド」利用が最適なのか。本稿では、それぞれのセキュリティ対策について検討し、長所と短所を評価します。 様々なタイプのクラウドサービスが登場する中で、ある調査データによると、パブリック・クラウドの利用は増えているものの、ワークロードの大部分は依然としてプライベート・クラウドが担っているとされています。シスコの調査によると、2018年はクラウドのワークロードの31％をパブリック・クラウドのデータセンターが担い（2013年の22％から増加）、残りの69％をプライベート・クラウドのデータセンターが担ったとされています（2013年の78％から減少）。 パブリック・クラウドが人気を集めている理由の一つに、設備投資をする必要がないことが挙げられます。パブリック・クラウドでは、企業は3rdパーティのプロバイダからサーバスペースを購入します。サーバはマルチテナント型のクラウド構成であり、他社のデータが自社のデータと同じサーバに保存される可能性があります。多くの企業では、電子メール（Gmailなど）、ドキュメントの共有（DropBoxなど）、Webサーバのホスティングなど、何らかの形でパブリック・クラウドを利用しています。 一方で、プライベート・クラウドはシングルテナント型のソリューションです。企業がサーバを所有して運用するか、データセンターから専用サーバをリースします。プライベート・クラウドのハードウェアは、企業の敷地内に保管することも、データセンターに収容することもできます。金融やヘルスケアなど、規制の厳しい業界では、プライベート・クラウドはコンプライアンス上必要不可欠なものとなっています。ビジネスに最適なソリューションを決めるのは簡単なことではありません。パブリック・クラウドとプライベート・クラウドの違いは、アクセススピード・セキュリティ強度・サービス継続性の3つの大きなポイントがあります。 クラウド・セキュリティの効果 クラウド・セキュリティについてはかなり多くのことが書かれていますが、パブリック・クラウドであれプライベート・クラウドであれ、ビジネス上必要不可欠なものです。 パブリック・クラウドのシナリオでは、セキュリティの要素は通常、3rdパーティのクラウドサービスプロバイダによって提供されます。パブリック・クラウドに保存されている情報の業種や種類によっては、プライバシーポリシーやセキュリティポリシーが十分に整備されていない場合があります。このような脆弱性は、特に高度なマルウェアを使用することで、潜在的なハッカーの攻撃対象をパブリック・クラウド環境に拡大させる要因となっています。 プライベート・クラウドでは、すべてのセキュリティ対策が社内で行われるか、マネージドセキュリティプロバイダに委託されるため、セキュリティパラメータの管理がとても容易になります。プライベート・クラウドで利用できるセキュリティツールには、認証レベルの向上、API対応の保護、追加レイヤの自動化、必要に応じた拡張性などがあります。 柔軟なパブリック・クラウドのインフラを活用しながらセキュリティを強化したい企業には、クラウドベースのCDN（コンテンツ・デリバリ・ネットワーク）があります。CDNetworksのクラウド・セキュリティは、DDoS対策、WAF対策、Bot対策など、WebアプリケーションやWebサイトのためのセキュリティサービスを提供しており、インターネット上での情報の安全な配信を可能にします。また、CDNetworksのグローバルに展開するクラウドベースのネットワークインフラは、世界中のお客様へのWeb配信を高速化させ、セキュリティリスクを低減します。 クラウド基盤へのアクセス制御 クラウドの最大のメリットの1つは、インターネット接続があれば組織のデータにアクセスできるようになることです。ただし、そのエンドポイントにうまくたどり着くためには多くのステップと考慮すべき点があります。 従来のデータストレージモデルでは、企業はロックされた専用のサーバルームをオンプレミスに設置し、ITスタッフと必要に応じてセキュリティチームによって監視/管理されていました。また、サーバに保存されたデータにアクセスするためには、ネットワークコンピュータからログインする必要がありました。 会社のデータや通信を保管する際には、その重要な情報に誰がアクセスできるのかが常に気になるところです。 パブリック・クラウドの場合、IT担当者は会社のデータを保管している物理的なサーバを見ることはありません。ほとんどの場合、データセンターにあるサーバ（およびサーバ上のデータ）に誰がアクセスできるのかを知ることはできません。パブリック・クラウドモデルでは、企業はスペースと使用する分の料金を支払い、自社データは他の企業と同じサーバに保存される可能性があります。ファイアウォールやその他のサイバーセキュリティ対策はクラウドサービスプロバイダが管理するため、IT担当者は日々の管理からは解放されますが、プロバイダ側のセキュリティ手順に誤りがあったり、未確認の設定ミスがあった場合、企業のデータはデータ漏洩のリスクにさらされることになります。プライベート・クラウドでは、アクセスをさらに制限することができます。企業の物理サーバはデータセンターに収容されている場合もありますが、データセキュリティの設定や監視はIT部門が行うのが一般的です。また、導入されているセキュリティ管理に応じて、企業のサーバ用にロックされたケージなどの物理的な保護を導入することもできます。 Webサービスの継続性 ミッションクリティカルなアプリケーション、サービス、センシティブなデータをクラウドに保存するケースが増えているため、クラウドソリューションを24時間365日利用できるようにすることがますます重要になってきています。 パブリック・クラウドもプライベート・クラウドも、常時稼働を保証していますが、災害やサイバー攻撃が発生した場合はどうでしょうか。そこには何かしらの対策があるでしょうか。冗長性やDDoS攻撃の発生時に大量のトラフィックを吸収する機能が組み込まれているのでしょうか。 パブリック・クラウドは大容量であることが多いですが、オンデマンドの拡張性が優れているかどうかは、サービスプロバイダに大きく依存します。プライベート・クラウドの構成と利用可能なスペースによっては、災害が発生した場合、重要なビジネスソリューションとセキュリティサービスが停止してしまう可能性があります。 また、プライベート・クラウドは、複数のサーバに作業負荷を分散させる機能を持っていますが、企業が所有・運営するサーバスペースの量によって制限されてしまいます。 一方で、パブリック・クラウドとプライベート・クラウドを組み合わせたハイブリッド・クラウドは、データストレージを多様化し、災害や攻撃に備えて資産を保護するのに役立ちます。例えば、企業のクラウドとCDNをペアリングすることで、クラウドベースのグローバルネットワークへのアクセスが可能になります。 CDNetworksは、世界中に多数のPoP（配信拠点）を保有しています。世界のある地域で自然災害が発生した場合でも、他の地域にサーバが用意されており、お客様のWebサイトやWebアプリケーションのサービス継続性を確保するために常時待機しています。CDNは、DDoS攻撃の過剰なトラフィックを吸収することが出来る豊富なキャパシティも保有しており、CDNetworksのクラウド・セキュリティは攻撃者の動きを監視し、お客様にアラートで警告することができます。 プライベートおよびパブリック・クラウド・セキュリティに関する考察 クラウド（パブリック、プライベート、ハイブリッドのクラウド環境）は、これからも存在し続けるでしょう。クラウドをビジネスに活用することは、継続的な課題です。 クラウドビジネスパートナーを慎重に選択してください。重要なデータであれアプリケーションであれ、ビジネスはクラウドの可用性に左右されます。ビジネスに適したソリューションは、単一のクラウドプロバイダから提供されるとは限らず、複数のクラウド環境にまたがるパートナーのネットワークが必要になる可能性があります。