クラウドが浮き彫りにするリスク【前編】

「クラウドサービス」は何が危険か？　オンプレミスとの違いが生むリスク

IaaSやPaaSといったクラウドサービスは企業にメリットをもたらす一方、オンプレミスとの違いが新たなリスクを生む可能性がある。どのような点に気を付けるべきか、専門家に話を聞いた。

公開 2020年05月15日 05時01分

更新 2020年05月19日 15時28分

著者

大久保心織

[TechTargetジャパン]

印刷する連載新着通知を受け取る

　企業の間で、IaaS（Infrastructure as a Service）やPaaS（Platform as a Service）といったクラウドサービスの活用が進んでいる。ITインフラの運用負荷を軽減したり、迅速なスケーリング（規模の拡大や縮小）を実現したりするためだ。一方クラウドサービスへの移行が困難なアプリケーションはそのままオンプレミスで運用することも珍しくない。オンプレミスとクラウドサービスを併用した「ハイブリッドクラウド」が、企業のITインフラのクラウド化における通過点として存在している。

併せて読みたいお薦め記事

クラウドに潜むリスク

さまざまなクラウドセキュリティ製品

　企業が運用するアプリケーションの中には、クラウドサービスへの移行が進んでいるアプリケーションもあれば、オンプレミスのまま運用されているアプリケーションもある。それぞれの例は以下の通りだ。

クラウドサービスへの移行が進むアプリケーション
- 顧客情報や営業資料を扱うアプリケーションなど、社外から参照できるようになることで利便性が上がるアプリケーション
- 従業員の勤怠情報を管理するアプリケーションなど、社内リソースで運用する必要がないアプリケーション
- 自社で提供するサービスの基盤システムなど、スケーリングできると都合が良いシステムを構成するアプリケーション
クラウドサービスへの移行が進みにくいアプリケーション
- オープン系OSでは操作や稼働に制限があるといった理由で、オープン化が難しい基幹アプリケーション
- ポリシー上外部に出すことが難しい機密データを取り扱うアプリケーション
- 製造業の工場運用システムを構成するアプリケーション
  - 関連部門が多く管理責任の所在があいまいなため、クラウドサービスへの移行による既存システムの刷新に際し「誰が責任を取るのか」という論争が発生しがち

　このようにさまざまなアプリケーションが混在する中では、業務ごと、部門ごとにクラウドサービスの利用状況がばらばらなのが現状だ。「クラウドサービスの導入時は、企業ITがオンプレミスだけにとどまっていたときには意識する必要のなかったさまざまなセキュリティホールに注意すべきだ」と、企業ITのセキュリティに詳しい日立ソリューションズの扇健一氏は指摘する。クラウドサービスの活用で意識すべき脅威とセキュリティ対策には、具体的にどのようなものがあるのか。以下前後編にわたり、クラウドサービスの導入における注意点とその対策を紹介する。

クラウドサービスの活用で露見するリスク

　扇氏によれば、クラウドサービスが持つ以下3点の特徴が、オンプレミスだけでアプリケーションを運用していたときには存在しなかったリスクを浮かび上がらせるという。

ソフトウェア資産管理がしづらい
シャドーITを許容しやすい
問題発生時の原因特定が難しい

1．ソフトウェア資産管理がしづらい

　自社で購入したサーバ向けソフトウェアをIT資産として管理する場合、どのサーバに対象のソフトウェアがインストールされているのかを調べ、ライセンス情報と照合する管理方法が一般的だ。オンプレミスであれば、こうした情報は物理サーバの所在とともに確認することができた。だがIaaSやPaaSといったクラウドサービスを利用してITインフラを構築し、そこに自社で購入したソフトウェアを配備している場合はその限りでない。クラウドサービスでは一般的に、ユーザー企業は物理サーバを保有・管理しないため「どの物理サーバにどのソフトウェアがあるのか」というソフトウェア資産管理（SAM）に必要な情報を入手しづらくなるためだ。

　サーバのメモリや回線の容量などのリソースを動的に確保することによるアジリティ（敏しょう性）も、SAMを難しくする原因となる。一般的なクラウドサービスは、サーバ仮想化などの仮想化技術によってITインフラが構築されている。仮想化されたITインフラはアジリティを備えることで、必要なときに必要なだけのリソース拡張を可能にする。この事実は一方で、仮想化されたITインフラでは、管理対象のソフトウェアを稼働させる物理サーバが一定ではないという状態を生み出す。ソフトウェアライセンスの中には、稼働するデバイスにひも付くタイプもあるため、従来手法でのSAMが通用しないこともある。

2．シャドーITを許容しやすい

　社内での許可がないままIT製品・サービスを利用することをシャドーITと呼ぶ。シャドーITはIT部門の監視の目が行き届きにくく、ガバナンスを十分に効かせられないため、不正アクセスやデータ漏えいのリスクを高める。

　クラウドサービスはクラウドベンダーとライセンス契約を結ぶだけですぐ導入できることが一般的だ。事業部門や従業員個人でも手軽にクラウドサービスを導入できるため、シャドーITを招きやすい。さらに扇氏は「企業が規則として勝手なクラウドサービスの利用を禁止していても、物理的な制約があるわけではないため導入はできてしまう」点を問題として挙げる。ITリテラシーのないエンドユーザーがシャドーITとしてクラウドサービスを導入し、安全に利用するための設定をしないままクラウドサービスを使い続けると、さらに危険性は増すだろう。

　「勝手な利用」の問題は導入時だけに起こるものではない。インターネットが利用できれば、セキュリティが確保されていない社外LANからでもそうしたクラウドサービスを利用できる可能性がある点でも、シャドーITはリスクになる。

3．問題発生時の原因特定が難しい

　一般的にITインフラをユーザー企業自身が運用しない点はクラウドサービスのメリットでもあり、注意が必要な点でもある。クラウドサービスではITインフラの中に、ユーザー企業が現状を把握しにくくなる部分がどうしても出てくる。そのため問題が発生した場合の原因特定が難しくなりがちだ。問題やその原因をクラウドベンダーに調査してもらう場合でも、調査を委ねる点でブラックボックスの部分が残ることに変わりはない。

　クラウドベンダーのITインフラで発生する可能性のあるインシデントの具体例としては以下が考えられる。