多くの企業がサイバーセキュリティ予算と人材の不足に直面しており、自力ではセキュリティの確保が難しくなっている。そこで出番となるのがクラウドベースのセキュリティ（以下、クラウドベースセキュリティ）だ。Gartnerは、クラウドベースセキュリティ市場が2020年までに90億ドル（約1兆円）規模に成長すると予測している。（続きはページの末尾にあります）
AWSのアプリケーション開発キットに欠陥が見つかり、侵入のリスクがあるとセキュリティベンダーAqua Securityは警鐘を鳴らす。同社が発見したAWSの欠陥を整理しよう。
AppleのAI機能群「Apple Intelligence」のデータプライバシーシステムに、セキュリティ専門家から称賛の声が上がる一方、その仕組みを不安視するユーザー企業もある。どのような点が評価され、何が懸念点なのか。
クラウドサービス「Amazon Web Services」（AWS）の複数のツールに脆弱性が見つかった。これが悪用されれば、AWSアカウントへの侵入を許す可能性があるとしてセキュリティ専門家は警鐘を鳴らしている。
Oracleのeコマースソフトウェアについて、セキュリティ専門家はデータ流出のリスクがあると指摘する。原因はソフトウェアの欠陥ではなく、設定ミスにある。どういう問題なのか。
「CASB」（Cloud Access Security Broker）の役割はシャドーITの特定だけではない。CASBの活用の幅は広がっている。何ができるのかを押さえておこう。
「CASB」（Cloud Access Security Broker）は、クラウドサービスの普及とともに必要になったセキュリティツールだ。役割や機能など、CASBの基礎知識を押さえておこう。
「CASB」「CSPM」「CWPP」はいずれもクラウドセキュリティに関するツールだ。それぞれどのような役割があり、何が違うのか。最適なツール選びのための基礎知識を解説する。
「CASB」「CSPM」「CWPP」といったクラウドセキュリティツールには個々にどのような役割があるのか。3つのセキュリティツールは何が違うのか。そのポイントを紹介する。
Palo Alto Networksの調査から、企業のクラウドサービス利用時における約80％のセキュリティアラートが、5％の危険な行動から生じていることが判明した。何が問題で、どうすれば対策できるのか。
クラウドセキュリティの鍵を握るのは、適切なツールを正しいタイミングで導入することだ。「SSPM」と「CSPM」の場合はどうなのか。必要なツールを見極めるためのポイントを説明する。
クラウドセキュリティツールの名称は覚えにくい横文字となっていることがよくある。「SSPM」「CSPM」もそうだ。この2つはどのようなツールなのか。両者の機能を含めて、違いを解説する。
クラウドサービス移行に伴い、ユーザー組織はセキュリティ対策の非効率や高コストといった問題に直面しがちだ。鍵はシンプルに考えることだ。どのような対策が必要なのか。
オンプレミスシステムでもセキュリティ対策は容易なことではないが、クラウドサービスが加わると話は一段と簡単ではなくなる。仕組みと予算の両面でセキュリティシステム構築を適切に進めるための要点とは。
猛威を振るっている攻撃の入り口の一つに「シャドーIT」がある。シャドーITによるリスクを確実に減らすためには、どうすればいいのか。対策のポイントを紹介する。
手軽に利用を開始し、直感的に使える個人向けITツールが広がる中、それらを会社で勝手に使う「シャドーIT」が広がりやすくなっている。IT部門は、なぜシャドーITを許してはいけないのか。
2024年3月、システム障害により世界各地でMcDonald'sの注文ができなくなっていた。同社によれば、その原因は攻撃ではなかった。何がシステム障害を引き起こしたのか。
APIを安全に利用するには、APIを危険にさらす可能性のあるセキュリティリスクを知っておくことが重要だ。API利用時のリスクとして、権限付与やロギングに関する注意点を紹介する。
APIを巡るさまざまなセキュリティリスクの一つが、インジェクション攻撃だ。どうすればこの攻撃を防ぐことができるのか。そもそもどのような手法なのかを含めて解説する。
企業の間ではクラウドサービス利用が広がるのとともに「シャドーIT」が問題になっている。シャドーITはさまざまなリスクをもたらす。企業はどう対処すればいいのか。
攻撃が猛威を振るっている中で意外と軽視されがちなのが、APIのセキュリティリスクだ。企業は何に注意をすべきなのか。本稿は対策も含め、APIのさまざまなリスクを解説する。
SymantecでクラウドセキュリティのAPAC（アジア太平洋）地域バイスプレジデントを務めるジョン・カニンガム氏は次のように話す。「クラウドを用いることで大幅なコスト削減が見込める。データセンターのセキュリティ設備や物理スペースに電力を供給する必要がなくなるためだ。これは全ての企業、特にリソースが限られることが多い中小企業に歓迎される大きなメリットの一つとなる」
私物端末の業務利用（BYOD）によってモバイル端末やモバイルアプリケーションの利用が増えたことも、クラウドベースセキュリティの導入拡大を促したとカニンガム氏は話す。同氏によると、クラウドベースセキュリティはクリティカルな情報を保護しつつアジリティーをもたらすという。
クラウドベースセキュリティのメリットは他にもある。サービスはいつでも利用可能で、脅威をリアルタイムに監視できること。負荷が高い作業はプロバイダーが行うため企業はサイバーセキュリティの専門家になる必要がなく、シンプルなことなどがその例だ。
Sophosでグローバルソリューションズエンジニアを務めるアーロン・ビューガル氏は次のように話す。「複雑さはセキュリティの敵だ。管理に高度な知識を必要とすると、セキュリティの全体方針に悪影響が及ぶ可能性が非常に高くなる」
Cloud Security Alliance APAC（CSA APAC）によると、クラウドベースセキュリティを導入するメリットはクラウドインフラへの移行、つまりITを外部委託するメリットとほぼ同じだという。
CSA APACは英Computer Weeklyのインタビューに答えて次のように語った。「ビジネスアジリティーの向上やデータの可用性、コラボレーション、容易な更新、コスト削減などがメリットになるだろう。クラウドプロバイダーが提供する広範囲の分散型インフラは、経済的なスケールメリットと、DDoS（分散型サービス拒否）などの攻撃から企業を保護するのに役立つパフォーマンスをもたらす」
ただしクラウドベースセキュリティの導入は、企業がクラウドを導入する準備をどの程度まで進めているかに左右されるとCSA APACは注意を促す。
「組織の適切な考え方、ガバナンスとコンプライアンス、アーキテクチャ、熟練者、SLA（サービスレベル契約）の理解、責任共有モデルなどが欠けている企業は基本的にクラウドを導入する準備が整っていない」というのがCSA APACの見解だ。
「オンプレミスインフラを一晩でクラウドに移植できないのと同様、セキュリティを急にクラウドに移すこともできない。当然、企業のインフラが完全にクラウドベースでなければ、実質的に何らかの形でオンプレミス製品やハイブリッド製品が必要になるセキュリティ領域が生まれることになるだろう」
クラウドベースセキュリティを導入するに当たって考えることはたくさんある。
各サービスの提供方法のメリットとデメリット、現在のセキュリティインフラとの親和性、そして今後の事業方針との親和性を評価する必要があると話すのは、IDCでAPAC地域のITセキュリティ戦略バイスプレジデントを務めるサイモン・ピフ氏だ。
企業は、こうしたサービスを効果的に管理できるかどうかを考える必要があると同氏は言う。プロバイダーが用意する広範なサービスは、複雑さと低効率を招いたり、サービスを運用する地域の規制の影響を受けたりすることを避けられないからだ。
規制が厳しい業界もある。APACはプライバシーが大きな問題になりつつあるため、企業はセキュリティポートフォリオの一環としてデータ管理を検討する必要があるとピフ氏は注意を促す。
クラウドベースセキュリティは、IDとアクセス管理、情報漏えい対策、メールセキュリティなど、あらゆる範囲のリスクに対応する。企業やセキュリティの専門家が共通して最も関心を示しそうなサービスと、サービスごとに着目すべき点についてのSophosの見解を紹介する。
IDとアクセス管理（IAM：Identity and Access Management）の鍵になるのが柔軟性だ。非常に多くの認証ディレクトリが利用可能になっている。こうした認証ディレクトリの一部は、本質的にそのプロバイダー固有のものだ。この2つを前提とすると、IAMがサードパーティーのリソースと相互運用可能であればメリットになる。多くのIAMプロバイダーが相互運用を可能にしているが、柔軟性の程度はそれぞれ異なる。
情報漏えい対策（DLP：Data Loss/Leak Prevention）は受動的な検出が重要になる。自社のデータが存在する場所やその利用方法、分類方法を理解せずにDLPに取り組み始める企業が多い。データの分類はDLPプロジェクトにおける大きな障害となる可能性があり、多くの企業が挫折する原因にもなる。データを列挙し、ルールと人工知能を用いてデータを分類し、データの場所とその転送方法を分かりやすく報告するDLPプロバイダーを探そう。そうすることで、自社が保持するデータをほとんど把握しなくても検出段階に応じてコンテンツを制限するルールを実装できるようになる。
Webセキュリティ製品に必要な機能として、ユーザー／端末の識別、送信先の要求、コンテンツのフィルタリング、セッションの安全な復号、検査、信頼性の高い報告などがある。
メールセキュリティに関して要望の多い機能にフィッシング、仕事関係のメールの漏えい、なりすましへの対策がある。標的型攻撃成功の原因は、フィッシング攻撃の成功によって最初のアクセスが許可されたり、貧弱なパスワードの利用によってメールアカウントが侵害されたりすることが挙げられる。
侵入管理は、検知した事象を明確にすることが重要になる。攻撃者の全ての試みを明らかにしても、事象の深刻度を分類しない製品は多い。脅威の真の兆候と不要な情報を見極め、優先度の低い事象を後回しにし、脅威をもたらす恐れが高い事象を即座に警告するツールを探したい。
セキュリティ情報とイベント管理（SIEM：Security Information and Event Management）を評価する際に、プロバイダーの能力を前提にして自社のニーズを限定する必要はない。セキュリティ、ゲートウェイ、認証管理が生成する情報に最適なものを基準にする。多くのセキュリティ管理プロバイダーはさまざまなSIEM製品を試して検証してきたが、通常は最も適した一握りのサービスに落ち着く。
モバイル端末のHDD暗号化を検討する企業は多い。だがリムーバブルメディアやオンラインストレージなど、端末が最終的にデータを保存する場所も考える必要がある。端末内のデータを暗号化するだけでなく、パブリッククラウドやプライベートクラウド、さらにはリムーバブルディスクにデータがコピーされる前に暗号化できることを確認する。
ITmediaはアイティメディア株式会社の登録商標です。
