クラウドセキュリティ、最大のリスクは「人のうっかりミス」

最新のクラウドセキュリティツールを導入していても、エンドユーザーとITチームの両者によるヒューマンエラーが原因となり、企業がさまざまな種類のサイバー攻撃を受ける可能性がある。

公開 2018年03月30日 09時33分

更新 2018年03月31日 00時46分

著者

Paul Korzeniowski

[TechTarget]

印刷する

ヒューマンエラーによる情報漏えいを防ぐため、企業はセキュリティ意識の高い職場環境を作り出す必要がある

　ハッカーは常にITシステムの脆弱（ぜいじゃく）性を探し求めており、企業は警戒する必要がある。データを保護し、脅威を検出するためのツールは多数あるものの、これらのツールを駆使しても対処できないクラウドセキュリティリスクが1つある。それは、人的な要因だ。

　エンドユーザーとITチームは完璧とはいえない。両者ともフィッシング攻撃を受けやすく、機密情報を社外で使用したり、セキュリティサービスを不適切に導入したりするなど、ありがちな間違いを犯す可能性がある。さらに、クラウドセキュリティのベストプラクティスは、できるだけ迅速かつ効果的に業務を完了したい、という従業員の要望としばしば矛盾することが多い。

　「ほとんどの従業員は適切なセキュリティの手続きを踏みたいと考えているが、必ずしもセキュリティツールは直感的で使いやすいものではない」と、Gartnerのプラクティスリーダーであるジェレミー・バーグマン氏は語る。

　クラウド上の人的なリスク要因に対処するために、組織はセキュリティツールの限界を理解し、セキュリティ意識の高い職場環境を作り出す必要がある。

併せて読みたいお薦め記事

クラウドセキュリティへの注目が高まっている

ヒューマンエラーがやはりリスクに

エンドユーザー

　フィッシング攻撃は、個人を欺いてWebサイトのリンクや直接の返信メールを介し、機密情報を暴露するように仕組まれている。多くの場合、一見するとソフトウェアは合法的に見えるため、従業員は攻撃者の犠牲となり、ITシステムへの攻撃者の侵入を許してしまうことになる。

　さらに、モバイルデバイスやクラウドの登場に伴い、大量の企業データも社外保管に移行している。これに伴い、ユーザーが家庭、地元のコーヒーショップ、ホテルなど、ネットワークが盗聴される可能性がより高い場所から機密情報にアクセスすることがますます一般的になっている。

　情報を安全に保護するためには、データ漏えい防止サービスを使用すると良い。このサービスはアカウント情報などの機密を含む文書を識別し、従業員に潜在的なクラウドセキュリティリスクを知らせるものだ。場合によっては、これらのツールは特定のオフサイトデータへのアクセスも防止する。この分野のベンダーには、CA Technologies、Cisco Systems、Digital Guardian、Veracode、Symantecなどがある。

ITチーム

　ITチームも同じくヒューマンエラーを起こしやすい。例えば、パッチ管理は積年の課題だ。ITチームは、緊急を要する他の業務が原因で、更新プログラムの適用が遅れることがある。ただし、パブリッククラウド環境であれば、クラウドプロバイダーがこれらのアップデート作業に責任を持つため、リスクを最小限に抑えることができる。

　とはいえ、クラウド環境において、プロバイダーが全てのセキュリティ責任を負うことを期待すべきではない。依然としてITチームは脅威からデータを保護する必要がある。例えば、多くの企業では現在、クラウドアプリケーションを共同開発するシチズンデベロッパーと呼ばれる開発者がいるが、彼らはセキュリティに関する技術的専門知識が限られているか、全く持ち合わせていない。アプリケーション構築のために使用するツール内のセキュリティ機能を利用できるかもしれないが、初心者の開発者の中には、その機能の設定を有効にしないため、アプリケーションに脆弱性が残ることもあり得る。

　一般には、クラウド移行は、ITチームが管理プロセスを調整する必要があることを意味する。「レガシーシステムの全てのベストプラクティスがクラウド環境でも理にかなっているというわけではない」とCloud Security AllianceのCEO、ジム・リービス氏は述べる。企業は考え方を変え、次世代ファイアウォールを導入し、アプライアンスではなくサービスとして機能するツールを導入する必要がある。

情報のオーバーロード

　多くの組織が、クラウドのデプロイメントとシステムログを監視するセキュリティツール、もしくはセキュリティサービスを利用している。潜在的な脅威を検出した場合、これらのツールの多くはアラートを自動的に通知する。これらのアラートの一部は正当なものだが、そうでないものもあり、セキュリティチームに過剰な負担をかける可能性がある。このような大量のデータを処理する中で、ITプロフェッショナルは潜在的なクラウドセキュリティリスクの警告を見落としてしまい、システムへの不正侵入の試み、もしくは、実際にデータ漏えいが発生したことを発見した場合、時すでに遅しということにもなりかねない。

　「過去数年間、コンピューティングリソースの爆発的な増大が見られた。過去に発生した増大の規模をはるかに超えている」とリービス氏は語る。「多くの企業は、潜在的なリスクを評価するために必要なセキュリティ専門家の数やチームの規模を増やしてはいない」

　さらに、ITチームがしばしばセキュリティツールを場当たり的に導入し、これが後にセキュリティ問題の原因となることがある。合併や買収は、この問題をさらに悪化させている。セキュリティツールは大抵の場合、標準化されていないことがその理由だ。

長期的視野での取り組み

　企業は、セキュリティポリシーの策定、標準ツールの導入およびトレーニングに投資し、エンドユーザーとITチームはクラウドセキュリティにおける役割をよりよく理解する必要がある。ヒューマンエラーを最小限に抑える最良の方法は、長期的なアプローチに対して投資し、クラウドセキュリティのベストプラクティスに完全に従うことだ。

　「経営幹部は、たった1つの手段で、リスクの問題を90％軽減できるものなどはないということを認識する必要がある」と、Security Architects Partnerのマネージングパートナーおよび主任コンサルタントであるダン・ブラム氏は語る。

印刷する