「クラウドの設定ミスで情報漏えい」はなぜ起こるのか？　取るべき対策は

2019年に「クラウドの設定ミス」が原因で大手企業の情報が漏えいしたことを受け、複数のセキュリティベンダーがそうした人為的な設定ミスへの注意を呼び掛けている。ミスが生じる理由とは。対策は。

公開 2020年03月31日 12時00分

著者

大久保心織

[TechTargetジャパン]

印刷する連載新着通知を受け取る

　「最近の注目すべきセキュリティ事件は脅威の転換期を意味しており、2020年は新たな脅威が登場する10年の節目になるだろう」。トレンドマイクロは調査分析レポート「2020年セキュリティ脅威予測」でそう述べる。他にも複数のセキュリティベンダーが、近年のIT分野における変化とそれに合わせた攻撃の巧妙化を踏まえ、セキュリティ事件と今後の脅威を予測したレポートを2019年末から2020年初頭にかけて発表した。それを基に、2020年以降に気を付けるべきリスクと対策を紹介する。

併せて読みたいお薦め記事

セキュリティ事件を知る

変化に合わせたセキュリティ対策

　2019年6月、セキュリティベンダーUpGuardの調査チームが、Amazon Web Services（AWS）のオブジェクトストレージ「Amazon Simple Storage Service」（Amazon S3）に保存されているデータが公開状態になっていたことを報告した。これはデータマネジメントベンダーAttunity（2019年5月にQlik Technologiesが買収）の管理下にあったデータで起こったもので、動画配信大手Netflixや自動車大手Ford Motorといった企業に関するデータも含まれていた。原因はAmazon S3のバケット（保存領域）の設定に誤りがあったためだという。

　Amazon S3における“設定ミス”でデータを公開状態にしていた同様の事例は、2019年以前からたびたび発生している。Facebook、Verizon Wireless、Accenture、米国防総省などが当事者の例だ。このリスクはAmazon S3に限った話ではない。リスク分散のために自社保有の設備でデータの全てを抱えずに、災害対策（DR）としてバックアップデータの保存先にクラウドストレージを選ぶ動きが広がるにつれ、危険性はますます高まる可能性がある。

クラウドの設定ミスが起こる理由

　セキュリティベンダーのSophosは2019年12月に公開した年次脅威レポート「Sophos 2020 Threat Report」で、「クラウドサービスに関するセキュリティインシデントの大部分は設定ミスが原因だ」という見解を示した。同社はレポートで、設定ミスにつながる要素として以下の項目を挙げる。

クラウドサービス自体の構造が複雑なこと
頻繁に構成を変更するためミスが発生しやすいこと
現在のサービスやシステムの設定をクラウドサービスの利用者が把握しづらいこと

クラウドベンダー自身も対策に乗り出す

　クラウドサービスの設定ミス防止策として使用できるセキュリティ製品・技術は幾つかある。代表例が「クラウド管理」製品だ。クラウドサービスの設定やシステム構成の管理を自動化する機能、複数のクラウドにまたがって設定を一元管理できる機能などを備える。管理や設定にかかる手間を軽減するのに役立つ。

　正規の権限を持たないエンドユーザーからのアクセスをブロックできる「ID・アクセス管理」（IAM）製品は、適切な知識を持たないまま設定したり、悪意を持って不適切な設定にしたりする行為を防ぐのに役立つ。クラウドサービスの利用状況を可視化する「CASB」（Cloud Access Security Broker）製品も有効だ。CASBは、エンドユーザーやアプリケーションがどのクラウドサービスとどのような通信をしているかを可視化する。セキュリティ担当者はこうしたCASBの機能を生かせば、誤った設定によって生じる意図しない通信を発見しやすくなる。

　各クラウドベンダーは相次ぐインシデントを受け、クラウドサービスの管理機能やセキュリティ対策を強化している。例えばAWSは2018年11月、Amazon S3においてバケットまたはアカウント単位で、外部のエンドユーザーにバケット内のデータを公開しないよう設定を制限できる「Amazon S3 Block Public Access」を提供開始した。さらに2019年12月には、利用中のAmazon S3バケットが外部公開状態になっていないかどうかを確認できる「AWS Identity and Access Management Access Analyzer」（IAM Access Analyzer）を発表した。Googleは、クラウドサービス群「Google Cloud Platform」（GCP）で利用中のリソースの状態やセキュリティ対策状況を可視化できる脅威対策機能「Cloud Security Command Center」や、データ復号時の暗号鍵のリクエストが正当かどうかを精査する機能「Key Access Justifications」を提供している。これにより、エンドユーザーが意図しない設定を放置するリスクや、悪意を持った第三者による不正アクセスの防止に対処している。

印刷する