「IT部門の目が届かないところでエンドユーザーがクラウドサービスを利用している場合、そのエンドユーザーに悪意がなくてもリスクになる恐れがある」と扇氏は注意喚起する。以下に挙げるセキュリティ製品を活用したIT部門によるクラウドサービスの一括管理を実現することで、監視漏れによるクラウドサービスのセキュリティホール化を防止できる。

　「CWPP」（Cloud Workload Protection Platform）は、アプリケーションのインフラとなるIaaSやPaaSといったクラウドサービスのリスク管理を支援する。具体的には「ワークロード」とも呼ばれるアプリケーションの動的な配備を検出し、どのアプリケーションをどのクラウドサービスに配備したのかといった情報やパッチ適用状況を可視化する機能を持つ。これにより、どのIaaSやPaaSでアプリケーションが稼働しており、どのようなセキュリティ対策が施されているのかといった状況が見えづらい問題を解決でき、ソフトウェア資産管理（SAM）の負荷削減につながる。

　SaaSの利用状況の把握には「CASB」（Cloud Access Security Broker）が効果を発揮する。CASBはエンドユーザーのSaaS利用状況を可視化する。例えば「『いつ』『誰が』『どのファイル』をクラウドストレージに移動させたか」といった通信内容だ。IT管理者はこの可視化結果を基に、事業部門のエンドユーザーがセキュリティポリシーに違反する操作を実行していないかどうかをチェックしてシャドーIT（社内で許可されていないIT製品・サービスの利用）を検出できる。攻撃者が実行したと考えられる不正な通信があれば遮断することも可能だ。

対策のポイント

　クラウドサービス導入時の注意点として、扇氏は「そのクラウドサービスのセキュリティ機能で自社のセキュリティポリシーを満たせるかどうかをまず確認するとよい」とアドバイスする。合っていなければどう制御するかを検討したり、採用自体を見直したりすることで、事前に対策を考えた上で導入できる。

　利用中のクラウドサービスに対しては、単体ベンダーのクラウドサービスを利用する「シングルクラウド」の場合、まずはそのベンダーが提供する標準または有償オプションのセキュリティ機能の利用を検討することになる。主要なクラウドサービスは、企業利用で必要になるセキュリティ機能を一通りそろえている。契約やサポートの窓口も1つに絞り込めるので効率的だ。こうしたセキュリティ機能で不足する場合は、特定のクラウドサービスに対象を絞ったサードパーティー製のセキュリティ製品の導入を検討すればよい。

　複数ベンダーのクラウドサービスを利用する「マルチクラウド」の場合、シングルクラウドの場合ほど単純ではない。利用中のクラウドサービスのベンダーのうち1社が提供するセキュリティ機能を導入するだけでは、全てのクラウドサービスを保護することは難しいか、不可能なためだ。全てのクラウドサービスに対してそれぞれのベンダーが提供するセキュリティ機能を導入することも、管理を複雑にするだけでなく、統合管理できないことによる対策漏れを生む恐れもあるため避けるべきだろう。

　マルチクラウドのセキュリティ対策としては、サードパーティーが提供するマルチクラウド向けのセキュリティ製品を活用するとよい。複数のクラウドサービスにわたって一貫したセキュリティ設定を適用できる「マルチクラウド管理」ツールや、クラウドサービス間のデータのやりとりを監視・制御するCASBが該当する。

　現在どのクラウドサービスを使っていて、どのようなリスクがあるかを明確にすることも、リスク管理の観点では重要になる。オンプレミスのみでシステムを運用していた時代に情報セキュリティの認証制度を利用し、企業として満たすべきセキュリティポリシーを考慮できていた企業もあるだろう。だがクラウドサービス導入で気付かないうちにそのセキュリティポリシーに違反してしまうこともある。「コンサルティングサービスを活用して違反がないかどうかを調べるとよい」と扇氏は強調する。

　クラウドサービスの導入時には、本稿で指摘したリスクを考慮し、適切な対策を取っていただきたい。