クラウド・インフラストラクチャを利用して業務を推進し、重要なデータを保存する企業が増えている。しかし、クラウドが提供する大きな機会には、特にデジタル資産のセキュリティを確保する上で、同様に大きな課題も伴います。エンタープライズ・クラウドのセキュリティは現在、IT のリーダーやC-suite幹部にとって最優先事項であり、深い理解と戦略的な導入が求められている。
企業のクラウドセキュリティ、CISAと NISTから収集したベストプラクティス、プロアクティブなセキュリティ態勢の重要性、クラウドを採用することで避けられない課題と報酬について探ります。重要なインフラとクラウド・コンピューティングのセキュリティに20年以上携わってきた経験から、クラウドを安全かつ効率的に利用するために必要な知識とツールを提供します。
エンタープライズ クラウドのセキュリティとは何か？
エンタープライズ・クラウド・セキュリティとは、大規模企業がクラウドでホストされるデータ、アプリケーション、インフラストラクチャを保護するために使用するポリシー、対策、コントロール、テクノロジーのことである。業務や機密データをクラウドに移行する傾向が強まる中、特有のセキュリティ上の課題に対処することがクラウドセキュリティの重要性を高めています。
組織は、ビジネス要件に基づいて、一貫性があり、再現可能で自動化された方法で、クラウド ワークロードのセキュリティ ポリシーとプライバシー ポリシーを監視、追跡、適用、強制できる必要があります。
NIST スペシャル・パブリケーション 1800-19B
重要な側面は次のとおりです。
脅威の状況を理解する
このコンセプトの中心となるのは、企業規模のクラウド・セットアップを無数の内部および外部の脅威から保護することです。セキュリティ チームは、不正なデータ アクセスや、ファイル アップロード攻撃などのさまざまなサイバー脅威を防御しなければならないりません。
規模と複雑性
個人や中小企業向けに調整されたクラウドのセキュリティ規定とは異なり、企業は広大さと複雑さに対処する。大規模な組織では、コンテナやマイクロサービスを採用することがある。マイクロサービスは、単一のアプリケーションを多数の独立したサービスでサポートすることで機能性を高める一方で、多数の従業員のアクセス制御、膨大なデータセットの保護、多様な規制管轄への準拠といった運用上の課題ももたらす。
責任共有モデルのナビゲート
AWS、GoogleCloud、Microsoft AzureなどのCloud サービス・プロバイダーは、責任共有モデルを提唱している。プロバイダーがクラウドの基盤のセキュリティを確保する一方で、顧客はそのクラウド内でホストするもののセキュリティを確保しなければならない。企業はこれらの責任の分担を見極めなければならない。
Cloud Cloud 戦略の導入
現在、多くの企業がクラウド戦略を多様化し、プライベートクラウド、パブリッククラウド、ハイブリッドクラウドを組み合わせて利用している。課題は、各環境のセキュリティ確保だけでなく、統一されたエンタープライズ・セキュリティ基準のサポートにもある。
継続的なモニタリングへのコミットメント 進化
クラウドのセキュリティ確保は、「設定したら終わり」という作業ではありません。クラウド・テクノロジーや新たなサイバー脅威の状況は常に変化しているため、企業のクラウド・セキュリティ・アプローチを監視し、改良する必要性が常にある。
コンプライアンスの重要性を認識する
欧州のGDPRや米国のHIPAAなど、厳しい規制基準の遵守は多くの企業にとって譲れない。そのため、一貫したコンプライアンスを確保するためのツールや手法をクラウドセキュリティ戦略に装備する必要がある。
責任共有モデルセキュリティとコンプライアンス
クラウド・コンピューティングにおけるセキュリティとコンプライアンスは、クラウド環境を保護するためのクラウド・サービス・プロバイダ（CSP）と顧客の共同作業である。クラウド・プロバイダーがインフラストラクチャのセキュリティ管理を保証する一方で、顧客はそのインフラストラクチャ内のデータ、アプリケーション、コンフィギュレーションの保護に対応する。
この共同モデルは、クラウド・プロバイダーがホスト・オペレーティング・システムや仮想化レイヤーから設備の物理的なセキュリティまですべてを管理するため、顧客の運用責任を軽減する。
逆に、顧客は、ゲスト・オペレーティング・システム、そのアップデート、セキュリティ・パッチ、特定のアプリケーション・ソフトウェア、および提供されるセキュリティ・ファイアウォールの設定を監督する。顧客の負担は、選択するサービス、IT のセットアップへの統合、関連する法律や規制の基準によって異なる。このモデルは柔軟性を提供し、ユーザーが導入をコントロールできるようにする。
この責任の分かれ目は、Cloud 「の」セキュリティ（プロバイダーの責任）とCloud 「の」セキュリティ（顧客の責任）の区別を表している。
パブリッククラウド・プロバイダーはどのような位置づけなのだろうか？
Amazon Web Services（AWS）、Microsoft Azure、GoogleCloud Platform（GCP）といった主要なパブリッククラウドプロバイダーは、このモデルを強く提唱している。以下はその単純な内訳である：
なぜ責任共有モデルが重要なのか？
責任共有モデルには柔軟性があり、企業はクラウドサービスプロバイダーが提供する基本的なセキュリティをベースにしながら、特定のニーズに基づいてセキュリティ対策をカスタマイズすることができる。
さらに、コスト効率という要素もあります。タスクを分割することで、企業はセキュリティ投資を最適化し、関心のある分野だけに集中することができます。クラウド・ストレージ環境をインフラからデータまで包括的に保護できるようになるため、企業は責任の所在を明確に認識し、セキュリティ体制を強化することができる。
企業にとって重要なこと
クラウドのセキュリティを強化するには、常に情報を得ることが重要です。これは、CSPの共有責任ガイドラインを定期的に確認することを意味し、多くの場合、詳細な文書とベストプラクティスが付属しています。
さらに、IT 、セキュリティ・チームがクラウド資産の保護に関するそれぞれの役割に精通していることを確認するために、トレーニングに投資することも不可欠である。また、クラウド・ネイティブ・ツールを使用することも有益である。パブリック・クラウド・プロバイダーの大半は、セキュリティの取り組みを支援するために設計されたネイティブ・ツールを提供しているため、これらのリソースに精通しておく必要がある。最後に、クラウド環境の定期的な監査を実施し、責任共有モデルへの準拠を保証する。
Cloud セキュリティの課題Top5
企業のクラウドセキュリティには、特有の課題がある。そのトップ5を紹介しよう：
1.可視性とコントロール
クラウドサービスへの移行は、従来の監視ツールの能力を超えることが多い。シャドウIT （IT の知らないところで利用されているクラウドサービス）は、可視性を複雑にしている。その結果、承認されていないアプリケーション、監視されていないデータ移動、コンプライアンス違反の可能性が生じます。
2.データのセキュリティとプライバシー
機密データのCloud 、漏洩や暴露の恐れをもたらす。課題は、さまざまなサービス間で、転送中および保管中のデータを暗号化することにある。また、海外のデータセンターにデータを保管することは、居住地や主権の問題を引き起こす。
3.アイデンティティとアクセス管理
クラウドでは、ユーザーIDとアクセス許可の管理がますます重要になっている。企業は、異なるクラウド・サービス間で一貫したユーザー・アクセス・ポリシーを確保し、MFAなどのメカニズムで認証情報を保護し、不正アクセスを防止する必要がある。
4.コンプライアンスとガバナンス
データがさまざまなクラウドプラットフォームにまたがって存在する場合、さまざまな規制へのコンプライアンスの確保は複雑になる。プロバイダーはコンプライアンスを遵守しているかもしれないが、企業は自社のクラウド利用がGDPRやHIPAAなどの規制に沿ったものであることも確認しなければならない。
5.脅威の防御と対応
Cloud 環境は、マルウェアや誤った設定のストレージなど、独自の脅威に直面している。特にInfrastructure as Codeの登場により、脆弱性のないインフラの定義が求められている。OPSWAT MetaDefender Storage Securityは、脅威を検出し、データストレージを保護します。
こうした課題を克服するには、適切なセキュリティ・ツールの活用、セキュリティ・ポリシーの見直し、継続的なトレーニング、セキュリティを重視する組織文化の育成が必要である。
堅牢な企業向けCloud 主な特徴
エンタープライズ・クラウドのセキュリティは、クラウド内での安全なビジネス運用に不可欠です。必須機能は以下の通りです：
| アイデンティティとアクセス管理（IAM） | 多要素認証やシングルサインオンなどの機能により、クラウドリソースやクラウド資産への許可されたアクセスのみを許可する。 |
| データ暗号化 | クライアント側の暗号化や鍵管理などの高度なオプションにより、機密データを静止時および転送時に保護します。 |
| 侵入検知防御システム（IDPS） | 不審なトラフィックパターンを分析することで、脅威をリアルタイムで監視・ブロックし、セキュリティ体制を強化します。 |
| Endpoint ポイントとCloud | クラウド環境に接続するデバイスを保護し、ファイアウォールやVPNなどのツールを使用してクラウドインフラを防御する。 |
| セキュリティ情報・イベント管理（SIEM） | リアルタイムの潜在的なセキュリティ脅威とアラート分析を一元化し、より強固なセキュリティ態勢管理を実現します。 |
| コンプライアンス管理 | 監査ツールにより、GDPRやHIPAAなどの規制の遵守を保証します。 |
| マイクロ・セグメンテーション | クラウドネットワークをセグメント化してセキュリティを強化し、広範な侵入を防止します。 |
| バックアップと災害復旧 | 迅速な復元機能を備えた定期的なデータバックアップ。 |
| ゼロ・トラスト・アーキテクチャ | ユーザー／デバイスが本質的に信頼できるものではないと仮定し、継続的な検証を要求する。 |
| アプリケーションとContainer セキュリティ | クラウドアプリケーションとそのコンテナデプロイの安全性を確保する。 |
| 可視化、レポーティング、DDoS防御 | 明確なセキュリティ概要を提供し、潜在的な脅威を報告し、DDoS攻撃の影響を軽減します。 |
| Secure API ゲートウェイとDevOpsの統合 | APIを保護し、継続的な保護のためにDevopsを統合します。 |
これらの機能の適切な組み合わせは、企業のニーズ、規模、業界によって異なります。レイヤード・セキュリティ・アプローチは、複数の脅威に対する強固な防御を提供します。
必須のエンタープライズ・セキュリティ技術
企業のクラウドセキュリティ管理は、クラウドと企業ネットワーク間を移動する脅威を検出し、防止することから始まります。クラウドデータストレージにアップロードされたファイルを複数のアンチウイルスエンジンでスキャンすることで、マルウェアやデータ漏洩を防ぐことができます。ハイブリッドクラウド環境、オンプレミスのデータストレージ、クラウド環境の間で移動するファイルをスキャンする機能も重要です。
既存のアーキテクチャーや複雑なネットワークに簡単に実装できるソリューションを特定することも重要です。ICAP サーバーは、悪意のあるコンテンツからクラウドホストのアプリケーションとネットワークを保護するプラグアンドプレイソリューションです。ICAP を導入することで、企業のプライベート・クラウド・ネットワークをデータ損失防止（DLP）、コンテンツ解除・再構築（CDR）、アンチウイルス・スキャン・テクノロジーに簡単に接続することができます。
クラウド・アクセス・コントロール・テクノロジーを利用して、エンドポイント・デバイスの暗号化ステータスを監視し、レポートします。セキュリティ・チームは、エンドポイント・セキュリティ製品を使用して、ユーザー・アクセスとサインイン・プロセスを合理化できます。エンドポイントのセキュリティ・プロファイルに関する定期的なレビューとレポート、およびOAuthAPI 、ブラウザ・クッキー、クライアント証明書による外部アプリケーションのセキュリティ・データへのアクセスを許可することで、重要なクラウドまたはローカル・ネットワーク・リソースへのアクセスを許可する前に、徹底的なセキュリティ・チェックを行うことができます。
企業のCloud 理解する
エンタープライズクラウドセキュリティアーキテクチャは、クラウドワークロードの安全なパターンの設計に重点を置いています。IaaS（Infrastructure-as-a-Service）、PaaS（Platform-as-a-Service）、Software（Software）モデルの制御を設計することで、ビジネスニーズとテクノロジーの橋渡しをします。包括的な目的は？特に相互接続されたシステムにおいて、導入前およびクラウド管理中にセキュリティ上の欠陥を発見し、緩和すること。
企業がクラウドへの移行を進める中で、企業のクラウド・ソリューションのニュアンスを理解する必要性が高まっている。昨今、データ漏洩やクラウドセキュリティの障害が相次いでいることから、堅牢なクラウドセキュリティアーキテクチャの採用がかつてないほど重要になっている。しかし、企業はどのようにすれば正しい道を歩むことができるのだろうか。
Cloud 展開
Cloud 導入とは、単にクラウド・コンピューティング・サービスを活用することではありません。これらのサービスへの円滑な移行、統合、維持、運用の方法について組織を指導することである。クラウド導入が正しく実行されれば、プライベート・クラウド環境だけでなく、それ以外の環境においてもデータ・セキュリティの基盤となる。さらに、適切なエンタープライズ・クラウド戦略があれば、企業はクラウド資産を保護し、機密データが危険にさらされないようにすることができる。
適応可能なソリューション
Cloud 、画一的なアプローチを選択するものではない。むしろ、柔軟で幅広く適用可能なアーキテクチャを重視する。これにより、企業はクラウド機能を特定し、ベンダーにとらわれないソリューションを選択することができる。
結論
クラウド・セキュリティ・ソリューションの導入は、ビジネスの継続性、信頼性、収益性にとって不可欠です。ビジネスがクラウドで拡大する中、その資産を保護することは極めて重要です。課題を理解し、適切なツールと戦略を使用することで、サイバー脅威に対する防御が強化されます。先を見越したセキュリティ・アプローチにより、企業はクラウドのメリットを享受しながら、リスクを軽減することができます。
企業向けCloud FAQ
エンタープライズ・Cloud セキュリティとは何か？
エンタープライズ・クラウド・セキュリティとは、大規模企業がクラウドでホストされるデータ、アプリケーション、インフラストラクチャを保護するために使用するポリシー、対策、コントロール、テクノロジーのことである。
企業レベルのクラウドセキュリティは、中小企業や個人のクラウドセキュリティとどう違うのか？
クラウドセキュリティにおける責任共有モデルとは？ クラウドセキュリティにおける
クラウド・アクセス・セキュリティ・ブローカーとは？
パブリッククラウドとプライベートクラウドの違いは？
パブリック・クラウドとプライベート・クラウドは、主に所有権、コスト、セキュリティ、カスタマイズ、拡張性において異なる。AWS、GCP、Azureなどのサードパーティ・サービスは、複数のユーザーが共有するパブリック・クラウドを提供している。さまざまなワークロードに対してコスト効率が高く、広大なスケーラビリティを提供するが、カスタマイズには限界がある。プライベート・クラウドは1つの組織だけが利用できる。オンプレミスでもオフプレミスでも利用できる。プライベート・クラウドは、セキュリティの強化、カスタマイズ性の向上、制御性の向上を実現するが、初期費用が高くなる可能性がある。多くの企業は、それぞれのクラウド・ソリューションの長所を引き出すために、ハイブリッド・アプローチを組み合わせている。
