米国防総省が公開した“ミルスペック”な「クラウドセキュリティガイド」に書かれていること

サイバー攻撃の主要な標的としても知られる米国防総省が、クラウドセキュリティのガイドラインを公開した。その内容の中から、企業が参考にできそうなポイントを紹介する。

公開 2015年12月04日 15時01分

著者

Dan Sullivan

[TechTarget]

印刷する

米国防総省が公開したクラウドセキュリティガイドラインは、企業にも参考になるはずだ（画面は同省公式サイト）《クリックで拡大》

　米国防総省が内部部局である国防情報システム局（DISA）を通じて、クラウドセキュリティに関するガイドラインを新たに3つ公開した。これらのガイドラインから、企業は何を学ぶことができるのだろうか。

　仮に国防総省が会社だとすれば、従業員数が200万人以上、年間予算が5000億ドル以上の大企業だ。国防総省で情報漏えいが起きた場合の影響の大きさからして、同省のガイドラインには一般の企業も大いに学ぶことがありそうだ。

併せて読みたいお薦め記事

国に監視される脅威

クラウドセキュリティ新潮流

3つのガイドライン

　「Draft Cloud Computing Security Requirements Guide」（クラウドコンピューティングセキュリティ要件の指針、ドラフト版）は一般的な脆弱性とその対策について論じた文書である。脆弱性が及ぼす影響度合いとセキュリティ目標の他、クラウドサービスのリスク評価、セキュリティ要件、ネットワーク防御、インシデント対応などをテーマとして取り上げている。関連文書の「Security Technical Implementation Guides」（セキュリティの技術的実装指針）では、具体的な製品に関する説明など、より詳細な解説がなされている。

　「Draft Cloud Access Point Functional Requirements Document」（クラウドアクセスポイントの機能要件、ドラフト版）は、ハイブリッドクラウド構成を取っている企業には特に有用となるだろう。この文書はクラウドサービスが、国防総省の主要な情報ネットワークである「Department of Defense（DoD） Information Network」にもたらすセキュリティリスクを紹介。その上で「クラウドアクセスポイント」について説明している。クラウドアクセスポイントは、悪質な活動がDoD Information Networkに到達しないよう監視、検出、阻止する役割を担う。国防総省は外的脅威に備えてDoD Information Networkのセキュリティを強化しつつ、クラウドサービスの利用を継続する考えだ。

　「Draft Concept of Operations for Cloud Computer Network Defense」（クラウドコンピュータネットワーク防御のための作戦構想、ドラフト版）は、クラウドサービスが関係するセキュリティインシデントへの対応と報告について論じた文書だ。クラウド由来の攻撃からDoD Information Networkを保護する方法、クラウドに置かれている国防総省のリソースを保護する方法などが取り上げられている。

　国防総省には独自の要件が存在しており、これらのクラウドセキュリティガイドラインに示されている詳細は、国防総省内および軍事請負企業向けの指針として理解されるべきものだ。その他の一般企業はこのガイドラインを出発点とし、自社の個別のニーズとリソースの制約に合わせるとよいだろう。

印刷する