クラウドコンピューティングに対する可視性の欠如は、セキュリティ担当者や企業にとって長い間、大きな不安の種だった。企業のセキュリティ対策では、ハッキングされたクラウド認証情報から企業に不正アクセスをされないように力を入れるべき――、そう専門家は説いてきた。一方で、そうした攻撃者が何をやっているか把握するのは、不可能ではないとしても、難しいと指摘している。

　「何者かが、米Microsoftや米Salesforce.comをはじめとする大手クラウド事業者をハッキングすることが不安なのではない」、と国際的なセキュリティの非営利団体であるCloud Security Alliance（CSA）の創設者でCEOのジム・レビス氏は話す。「不安なのは、何者かが自社のアカウントにアクセスを確立したにもかかわらず、自社のインフラではないため自分たちにはそれが分からないという事態だ」

　結果として、クラウドのアカウントが不正アクセスされたかどうかを調べるために、脆弱性スキャンや侵入テストを行うのは難しい。悪用されているかどうかを見極めるのはさらに困難だ。

　米調査会社Nemertes Research Groupの最高経営責任者（CEO）であるジョナ・ティル・ジョンソン氏は、セキュリティの可視性に関する限り、クラウドは「ぽっかり空いた大穴」の状態だと指摘する。

　攻撃者はこの可視性の欠如を突いて、クラウドアプリやサービスを悪用して企業からデータを持ち出している。そう指摘するのは、クラウドセキュリティを手掛ける米Skyhigh Networksの製品マーケティング担当副社長、カマル・シャー氏である。

　「企業のデータを盗み出すために、クラウドサービスが悪用される事例は増えている。クラウドで起きていることはサイバーセキュリティの盲点になりつつある」（シャー氏）

クラウドの可視化を向上する

　そうしたクラウドの盲点をなくすための選択肢が現れつつある。

　CSAのレビス氏によれば、その選択肢の1つである“クラウドアクセスセキュリティブローカー”は、クラウドサービスとユーザーの間のアクセスポイントを提供して、セキュリティポリシーの徹底と利用監視能力を強化できる。

　「このサービスは、クラウドのリスクを管理して、クラウド事業者側での可視性の欠如を解決するのに役立つ中間技術を提供する。クラウドアクセスセキュリティブローカーには相当注目が集まっており、RSA（Conference 2015）でもその傾向が続くと予想する」（レビス氏）

　潜在的な影響力がより大きい、もう1つの選択肢にアナリティクスがある。特にビッグデータアナリティクスは、クラウドサービスが誰によってどのように使われているかをより詳しく分析できる。

　「セキュリティアナリティクスは次の大きな波になる。その目的は単なるデバイスやネットワークの保護ではなく、何が起きているかを把握することにある」とNemertes Researchのジョンソン氏は解説する。

　専門家によると、その最善の方法は、ユーザーの行動を監視し、アカウントが不正アクセスされた上で攻撃に悪用されていないかどうかの兆候を探すことだという。そうしたアナリティクスやモニタリングは、情報セキュリティの戦略的な転換を意味する、とSkyhigh Networksのシャー氏は言う。「攻撃者を寄せ付けないこと」から、「重要なデータが攻撃者に持ち去られないようにする」ことへとシフトする。

　「異常な挙動に注目する必要がある。目的はもはや周辺を守ることではない。敵は既に門の内側にいる。敵の行動をつかみ、外へ出ようとするところをつかまえなければならない」（シャー氏）

　米調査会社Forrester Researchの元首席セキュリティアナリストで、現在は米CipherCloudのクラウドセキュリティ戦略担当副社長を務めるチェンシ・ワン氏もまた、ビッグデータセキュリティアナリティクスは、RSA Conferenceをはじめ、年内を通じて注目されると予想する。

　「中でもクラウドセキュリティ向上のための利用パターンと挙動の分析に大きな関心が高まるだろう。万全の備えがある大手企業にとっても、クラウドサービスは依然として盲点となっている。クラウドセキュリティでは他の全てが改善されているようだが、可視性は依然として弱点のままだ」（ワン氏）