リスクを管理する枠組み重要に

ますます活気づく「勝手クラウド」がもたらす悪夢

SaaSの普及で「勝手クラウド」がもたらすリスクが組織全体に広がっている。勝手クラウドが革新を生み出すことがあったとしても、クラウドに伴うセキュリティリスクのためにその価値は相殺される。そろそろ管理すべき時だ。

公開 2014年03月28日 08時05分

著者

Pete Lindstrom

[TechTarget]

印刷する

　ITの中心部に潜む悪のことを知っている人物がいるとしたら、それは影のIT（シャドーIT）だ。

　会社の許可を得ないまま、あるいはIT部門が関与しないまま、個人や事業部門が技術的要望を外部のクラウドに求めれば、会社にとっての打撃は大きい。この「勝手クラウド」または、「シャドーIT」が組織に革新をもたらすことがあったとしても、クラウドに伴うセキュリティリスクのためにその価値は相殺される。

　シャドーITは何年も前から存在していた。部門内のPCに隠れた「Microsoft Access」データベースに始まって、「Salesforce.com」や「Yahoo Mail」「Google Docs」でインターネットへと進出。現在に至っては、「Workday」「Concur」「Dropbox」といったSaaS（Software as a Service）が普及して、価値とリスクの両方が組織全体にまん延している。そろそろ「発見」「監視」そして（強すぎない）「禁止令」という昔ながらのやり方で、シャドーITを管理すべき時だ。

発見

　シャドーITをコントロールするためには、社内にアプリケーション認識アプライアンスを導入することが第一歩となる。シャドーITがどの程度の問題を投げ掛けているか把握することは不可欠だ。一般的な組織において、その影響は大きい。セキュアWebゲートウェイ（SWG）や次世代ファイアウォール（NGFW）は、組織内で使われているSaaSを発見するための基本的な機能だ。クラウドベースのSWGではモバイルユーザーも網羅できる。こうしたアプリケーションは一般的に、管理下にあるアプリケーションの一覧とURLを照らし合わせる。

　SWGやNGFWは、接続リクエストに対してその可否を判断する仕組みで運用される。識別・分類されるWebアプリケーションの数は何千件にも及ぶ。一般的な組織ではこの手順を通じ、会社のポリシーで許可されているかどうかは別として、その多くが使用されていることを確認できる。発見の仕組みは、「クラウドアプリケーション管理システム」の第一歩でもあり、その価値は監視を通じてさらに強まる。

監視

　組織の中には、シャドーITアプリケーションのメリットを重視し、単純にITリスクを管理するフレームワーク内で、シャドーITを活用する方法を見いだすケースもあるかもしれない。クラウドアプリケーション管理市場に投入されている最近のセキュリティ製品を利用すれば、SaaSの活用をうまく促進することができる。このアプローチでは、ユーザーとアプリケーションの間に設置されたゲートウェイを通過する全トラフィックをチェックし、SaaSを監視する。ファイアウォールによる単なるアクセス制限ではなく、こうしたシステムではアプリケーションのあらゆる機能を検証できる。データを収集して複数のアプリケーションで横断的にユーザーの行動を監視できる他、複数のユーザーによるアプリケーションの利用を監視できる。

　アーキテクチャの観点で見ると、クラウドアプリケーション管理システムは、一般的なプロキシ（フォワード＆リバース）としてオンプレミスに導入することも、スパンポートに導入することもできる。だが、その真の価値はモバイルユーザーにも対象を広げられることにある。クラウドベースゲートウェイは、シングルサインオン（SSO）システムとの連係、またはアプリケーションの設定を通じたサービスアクセスの管理によって、この範囲も網羅できる。

　クラウドセキュリティ監視にはさまざまなメリットがある。ツールを使えばコンプライアンスの懸念に対応し、将来の利用状況分析に備えてログを記録できる他、機械学習の手法を使って不正な攻撃や不審な内部関係者の挙動を洗い出すことができる。

　この分野に進出している数少ないベンダーは、米SkyHigh Networks、米Adallom、米Netskope、米Imperva（2014年2月に米Skyfenceを買収）、米Bitglass、米Elastica、米FireLayersが挙げられる。

禁止令

　シャドーITを取り締まる最後の手段が禁止令だ。ユーザーが従来型のコントロールをかわそうとすれば、セキュリティ担当者に懸念が生じ、提供しているサービスの見直しを強いられる。この段階ではよりきめ細かいポリシーの導入が役に立つ。例えば、所在地や利用端末の種類、時間帯、ファイルの種類や機能などに関連付けた具体的なコントロールを適用すれば、（誤検知の減少を通じた）生産性の向上や、目標とするITリスクの低減につながるはずだ。

　影はコンピューティングリソースが組織にもたらす真の恩恵を認識している。市場におけるシャドーITの原動力を認めながら、リスクを適切に管理するための運用の枠組みを作り出すことが重要だ。

印刷する