サイバー攻撃の基本は、データの暗号化だ。暗号化の方式には幾つかの種類がある。企業は、「AES」（Advanced Encryption Standard）や「TLS」（Transport Layer Security）など、さまざまな種類の暗号アルゴリズムやセキュリティプロトコルを選択できる。ネットワークエンジニアとクラウドチームは、ビジネスニーズに応じた暗号化の方式を選択する必要がある。

2．アイデンティティーおよびアクセス管理（IAM）

　「IAM」（IDおよびアクセス管理）ツールは、従業員がクラウドサービスを利用するためのアクセス権を管理可能だ。IAMツールはセキュリティリスクを引き起こす可能性のある悪意のあるアクセスを検出できる。セキュリティポリシーを設定して適用することで、ユーザーの行動を制限してクラウドリソースを不正アクセスや悪意のある攻撃者からの保護することにつながる

3．ネットワークセグメンテーション

　ネットワークセグメンテーションとは、ネットワークを個別のサブネットワークに分割することだ。これにより、仮にネットワーク内部にマルウェアが入り込んだ場合に、別のネットワークに脅威が波及するラテラルムーブメント（横方向移動）を阻止できる。特定のゾーンのユーザー数を制限することで、ネットワークのパフォーマンスを向上させることもできる。

4．業界規制

　クラウドサービスは発展途上の分野であり、世界各地に独自の規制が存在する。これらの業界規制はユーザー企業がクラウドサービスをどのように利用し、責任をどのように分担するかに影響を与える。

　よく知られているコンプライアンスの枠組みや規制には、次のようなものがある。

• 一般データ保護規則（GDPR）
  • 欧州連合（EU）のデータ保護の調和を目的とした枠組みだ。組織やデータがどこにあるのかにかかわらず、EU域内の個人情報を保有、処理するあらゆる組織に適用される。
• HIPAA（Health Insurance Portability and Accountability Act of 1996：米国における医療保険の相互運用性と説明責任に関する法令）
  • 医療情報のプライバシーとセキュリティを規制する米国の法律だ。HIPAAに準拠したクラウドサービスは、個人の健康情報が暗号化され、許可された関係者のみがアクセスできることを保証しなければならない。
• 国際標準化機構（ISO）
  • スイスのジュネーブに本部を置く非政府組織であり、世界共通の基準を定め標準化を進める団体。クラウドサービスに関しても、セキュリティ管理策のガイドライン規格「ISO/IEC 27017」というガイドラインを定めている。

　第3回はクラウドサービスを利用する際のセキュリティについて解説する。