社外にある情報のセキュリティを守る
クラウドからの情報流出リスクに対処するには
クラウドコンピューティングにまつわる情報セキュリティ問題とは、よその社のネットワークにある情報の流出を心配するということだ。
情報セキュリティのプロであるということは、頭痛との付き合い方を身に着けることでもある。社内ネットワークの情報セキュリティだけでも頭痛の種なのに、よそのネットワークにある情報のセキュリティ確保となるとさらに複雑だ。一言で言うと、ホスティングされたソフトウェア、つまりクラウドコンピューティング、あるいはサービスとしてのソフトウェア（SaaS）にまつわるセキュリティ問題とは、そういうことなのだ。
SaaSは一見、外部委託の美化されたバージョンのように見える。特にクレジットカード処理などの場合、多くの企業がデータを外部の業者に送っているが、SaaSの場合は少し違う。外部の業者がソフトウェアをホスティングして、実装とインフラを管理しているのだ。ソフトウェアを購入してインストールする代わりに、企業はインターネットなどを経由してSaaSプロバイダーに接続する。SaaSは可用性、管理の容易さ、コスト削減といった理由からビジネス主導になるのが普通だ。
知名度の高いSaaSプロバイダーにはGoogleやAmazon.comがあり、それぞれのネットワークを通じてアプリケーションをサービスとして提供している。ほかにも例を挙げるとSalesforce.comはCRMソフトウェアをオンラインで提供し、Qualysはセキュリティ監視と、PCI DSS（Payment Card Industry Data Security Standard）で定められた内容を含むすべてのスキャンをオンデマンドで提供している。
SaaSとコンプライアンス
基本的に、企業が自分たちのネットワークで既に抱えているのと同じセキュリティ不安（ネットワーク、ハードウェア、アプリケーション、データのセキュリティ確保）は、SaaSで情報をアウトソーシングしている企業にも当てはまる。しかしサーベンス・オクスリー（SOX）法、グラム・リーチブライリー（GLBA）法、HIPAA（医療保険の相互運用性と説明責任に関する法律）といった法規制や、PCI DSSといった業界基準のコンプライアンスが絡むと事は複雑になりかねない。
SaaS以前、コンプライアンスの成功は尽きるところ、ユーザーの特定とアクセス権限の割り当て、重要データの特定とその保存場所および暗号化方法の決定、それらすべてを監査と法令順守のために文書化するという小数の業務が鍵だった。しかし、SaaSでこうしたプロセスが複雑になった。理論的に、企業は自社のデータを完全にコントロールしているはずだが、実際にはSaaSプロバイダーやそのプロバイダーのパートナーがコントロールしているネットワークのどこに自社のデータがあるのか、顧客企業が把握するのは難しいこともある。
SaaSとPCI DSSの管理
SaaSは膨大な数の法令順守に影響するが、恐らく最も分かりやすいのは「サービスプロバイダー、SaaS、そのほか」という具体的な条項があるPCI DSSだろう。PCIの規定12.8ではサービスプロバイダーに対しコンプライアンスを義務付け、顧客のカード保有者情報の保護責任を契約に明記することを規定。さらに、ホスティングプロバイダーのみを対象とした付表まである。
PCI DSSの付表Aの規定A.1には4つの補助項目がある。それぞれをもう少し詳しく見ていこう。A.1.1では、ホスティングプロバイダーの個々の顧客はそれぞれ自社のカード保有者のデータ環境にしかアクセスできないと定めている。これは、企業がSaaSベンダーと取引する上でまず質問すべき点だ。
質問すべき主な内容は次の通り。そのSaaSプロバイダーのシステムアーキテクチャでは、同じサービスを使っている別の社によるデータへの不正アクセスをどうやって防ぐのか。プロバイダーは多数の顧客にサービスを提供するのがビジネスだ。つまり、貴重なデータが別の社のデータと同じサーバに置かれているかもしれない。そしてそれはライバルのデータかもしれないのだ。
データの隔離と深い関係にあるのが付表A.1.2、サービスプロバイダーが保存するデータのアクセス制御について規定した項だ。このコントロールによって、顧客がアクセスできるのは自社のデータに限り、そのデータを同じサービスを利用する他社によるアクセスから守らなければならない。SaaSプロバイダーのアクセス制御はプロバイダー自らが行ってもいいし、顧客のID・アクセス管理システムに連動させてもいい。
SaaSがアクセスを処理する場合、ユーザーIDやパスワードといった認証情報はプロバイダーのサーバ上に保存される。これで安全だとほとんどのSaaSプロバイダーは言うが、気を付けた方がいい。プロバイダーが不正アクセスされればデータばかりでなく認証情報も流出する恐れがある。プロバイダーに認証を管理させるためには、ユーザーアカウントの念入りな管理も必要だ。会社を辞めるユーザーのアクセス権は抹消しなければならない。これは自社のID・アクセス管理システムを使って社内でやった方が簡単だ。
望ましい方法は、会社のディレクトリサービス（Active DirectoryやLDAPディレクトリ）と直接連動させて、SaaSサービスの認証を行うことだ。現在このオプションを提供しているSaaSプロバイダーは多数ある。
次の懸念事項として付表A.1.3が網羅しているのはログ記録と監査証跡だ。これはPCIの規定10で義務付けられている。ログ管理とSIM（セキュリティ情報マネジメント）ツールは、会社のネットワーク監視用にかなり高度化が進んできたが、SaaSプロバイダーなど社外のネットワーク監視に使うことはできない。
ログと監査証跡は調査のために必要になることもある。これについて記した付表A.1.4ではプロバイダーに対し、不正アクセスがあった場合は「時機にかなった科学調査の提供」を義務付けている。
SaaSプロバイダーのログは社内にあり、外部から、あるいは顧客からアクセスできるとは限らないため、（調査は言うまでもなく）監視は難しい。ログへのアクセスはPCIコンプライアンスで義務付けられており、監査役や規制当局による請求もできるため、サービス契約の一環としてプロバイダーのログにアクセスできるよう交渉することだ。
Webアプリケーションと不正アクセス
こうしたPCI特有の問題のほかに考慮すべきなのは、Webアプリケーションのセキュリティ、プロバイダー内部関係者による情報漏えい、データの保存場所だ。
企業とSaaSプロバイダーとの接続にはWebを使う場合が多いため、プロバイダーにはセキュアなアプリケーション開発のガイドラインであるOWASP（Open Web Application Security Project）に従っているかどうかを含め、Webアプリケーションのセキュリティについて質問しておくといい。これはOWASPのコードプラクティス順守を義務付けたPCI規定6.5に定められている。
プロバイダー側は、データをどこに保存するか、情報流出を自社の担当者の間でどう処理するかについて、答えを用意しておく必要がある。大規模なITネットワークが多数広がるグローバルな世界の中で、シンガポール、ブラジル、英国といった遠方にあるSaaSプロバイダーのサービスにデータが置かれる可能性もある。情報流出が起きた場合、これは司法管轄権の問題だけでなく、ただでさえ重い米国での負担に加えて、それぞれの国で現地のコンプライアンスと法律の問題が絡んでくる。
クラウドコンピューティング人気の高まりに伴い、コンプライアンス問題を考慮することはますます不可欠になっている。理論的にはSaaSによって情報のリスクは高まる。念入りにコントロールされた会社のネットワークの外に、ITセキュリティのコントロールを渡してしまうことになるからだ。しかし、ここに挙げた助言を念頭に置いてベストプラクティスを守れば、いずれにしても会社の情報のセキュリティを守ることは可能だ。
本稿筆者のジョエル・デュビン氏はCISSP（公認情報システムセキュリティ専門家）資格を持つ独立系コンピュータセキュリティコンサルタント。Microsoft MVPに選ばれ、Web／アプリケーションセキュリティを専門とする。著書に『The Little Black Book of Computer Security, Second Edition』があり、シカゴのラジオ局WIITでコンピュータセキュリティの番組を担当。「IT Security Guy」ブログも運営している。
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
4
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
5
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
6
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
7
情報漏えいはなぜ繰り返されるのか 今すぐ見直すべき「境界」
-
8
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
9
「結局使わなくなる」Microsoft 365 Copilotを半年で定着 キリンの3施策
-
10
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
9
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー