多くの企業がサイバーセキュリティ予算と人材の不足に直面しており、自力ではセキュリティの確保が難しくなっている。そこで出番となるのがクラウドベースのセキュリティ（以下、クラウドベースセキュリティ）だ。Gartnerは、クラウドベースセキュリティ市場が2020年までに90億ドル（約1兆円）規模に成長すると予測している。（続きはページの末尾にあります）
2024年3月、システム障害により世界各地でMcDonald'sの注文ができなくなっていた。同社によれば、その原因は攻撃ではなかった。何がシステム障害を引き起こしたのか。
APIを安全に利用するには、APIを危険にさらす可能性のあるセキュリティリスクを知っておくことが重要だ。API利用時のリスクとして、権限付与やロギングに関する注意点を紹介する。
APIを巡るさまざまなセキュリティリスクの一つが、インジェクション攻撃だ。どうすればこの攻撃を防ぐことができるのか。そもそもどのような手法なのかを含めて解説する。
企業の間ではクラウドサービス利用が広がるのとともに「シャドーIT」が問題になっている。シャドーITはさまざまなリスクをもたらす。企業はどう対処すればいいのか。
攻撃が猛威を振るっている中で意外と軽視されがちなのが、APIのセキュリティリスクだ。企業は何に注意をすべきなのか。本稿は対策も含め、APIのさまざまなリスクを解説する。
ユーザー企業が自らクラウドサービスのセキュリティ向上に取り組むのには限界がある。クラウドサービスを安全に使う上で、考慮すべきこととは何か。セキュリティを高めるために、ユーザー企業ができることとは。
「Google Workspace」が備える「Googleドライブ」のログ管理機能において、一部エンドユーザーのログを記録できないことを見つけたMitiga Security。同社の指摘に対して、Googleはどのような見解を示しているのか。
Mitiga Securityは「Google Workspace」の一部エンドユーザーについて、「Googleドライブ」でのログを記録できない可能性を指摘した。そもそもログを記録できないと、どのような問題があるのか。
「Google Workspace」の主要エディションには、「Googleドライブ」のログ管理機能が備わっている。Mitiga Securityはこの機能で、一部エンドユーザーのログを記録できなかったと報告した。どういうことなのか。
LEGOの中古品売買サイト「BrickLink」に見つかった脆弱性は、「API」の脆弱性だった。専門家はAPIセキュリティの重要性を呼び掛けている。その背景は。
「Azure Blob Storage」にデータ流出の可能性があることが発覚した。Microsoftは、SOCRadarがミスを指摘したことについて「問題を誇張している」と非難。一方セキュリティ関係者は、問題の深刻さを指摘する。
セキュリティ企業SOCRadarは、ブログ記事で「Azure Blob Storage」のデータ流出について指摘した。これに対しMicrosoftは、「問題の範囲を誇張している」と批判する。その真相は。
APIがさまざまなアプリケーションの中核に位置するようになった現代、攻撃から保護するためのAPIセキュリティは重要だ。企業が取り組むべきAPIのセキュリティ対策を、複数の専門家が解説する。
企業のDX推進に伴い、APIを狙う攻撃は広がり続けている。具体的な攻撃とそれによる被害を専門家が解説する。
企業やIT製品／サービスがAPIを利用する機会が増えるにつれて、APIを狙う攻撃が活発化している。APIへの攻撃の実態や懸念点と、セキュリティ強化に向けた取り組みを紹介する。
企業がAPI保護に取り組むには、何から手を付ければよいのか。複数の専門家が指摘する「APIを見失ってしまいがち」な問題に注意を払い、導入すべき対策とは。
サービスプロバイダーの判断しだいで事業継続が不可能になるという事態を続けざまに見ることになった。ビジネスの中枢を担うシステムをホストしているクラウドが、サービス提供を突然拒んだらどうする？
安全にSaaSを利用するセキュリティ対策として利用が広がりつつあるのが「CASB」だ。その主要な種類である「プロキシ型CASB」とは何か。「フォワードプロキシ型CASB」と「リバースプロキシ型CASB」の違いとは。
クラウドサービスのアカウント乗っ取りは、なぜ発生するのだろうか。パスワードなどの認証情報の流出につながる具体的な行為を紹介する。
SymantecでクラウドセキュリティのAPAC（アジア太平洋）地域バイスプレジデントを務めるジョン・カニンガム氏は次のように話す。「クラウドを用いることで大幅なコスト削減が見込める。データセンターのセキュリティ設備や物理スペースに電力を供給する必要がなくなるためだ。これは全ての企業、特にリソースが限られることが多い中小企業に歓迎される大きなメリットの一つとなる」
私物端末の業務利用（BYOD）によってモバイル端末やモバイルアプリケーションの利用が増えたことも、クラウドベースセキュリティの導入拡大を促したとカニンガム氏は話す。同氏によると、クラウドベースセキュリティはクリティカルな情報を保護しつつアジリティーをもたらすという。
クラウドベースセキュリティのメリットは他にもある。サービスはいつでも利用可能で、脅威をリアルタイムに監視できること。負荷が高い作業はプロバイダーが行うため企業はサイバーセキュリティの専門家になる必要がなく、シンプルなことなどがその例だ。
Sophosでグローバルソリューションズエンジニアを務めるアーロン・ビューガル氏は次のように話す。「複雑さはセキュリティの敵だ。管理に高度な知識を必要とすると、セキュリティの全体方針に悪影響が及ぶ可能性が非常に高くなる」
Cloud Security Alliance APAC（CSA APAC）によると、クラウドベースセキュリティを導入するメリットはクラウドインフラへの移行、つまりITを外部委託するメリットとほぼ同じだという。
CSA APACは英Computer Weeklyのインタビューに答えて次のように語った。「ビジネスアジリティーの向上やデータの可用性、コラボレーション、容易な更新、コスト削減などがメリットになるだろう。クラウドプロバイダーが提供する広範囲の分散型インフラは、経済的なスケールメリットと、DDoS（分散型サービス拒否）などの攻撃から企業を保護するのに役立つパフォーマンスをもたらす」
ただしクラウドベースセキュリティの導入は、企業がクラウドを導入する準備をどの程度まで進めているかに左右されるとCSA APACは注意を促す。
「組織の適切な考え方、ガバナンスとコンプライアンス、アーキテクチャ、熟練者、SLA（サービスレベル契約）の理解、責任共有モデルなどが欠けている企業は基本的にクラウドを導入する準備が整っていない」というのがCSA APACの見解だ。
「オンプレミスインフラを一晩でクラウドに移植できないのと同様、セキュリティを急にクラウドに移すこともできない。当然、企業のインフラが完全にクラウドベースでなければ、実質的に何らかの形でオンプレミス製品やハイブリッド製品が必要になるセキュリティ領域が生まれることになるだろう」
クラウドベースセキュリティを導入するに当たって考えることはたくさんある。
各サービスの提供方法のメリットとデメリット、現在のセキュリティインフラとの親和性、そして今後の事業方針との親和性を評価する必要があると話すのは、IDCでAPAC地域のITセキュリティ戦略バイスプレジデントを務めるサイモン・ピフ氏だ。
企業は、こうしたサービスを効果的に管理できるかどうかを考える必要があると同氏は言う。プロバイダーが用意する広範なサービスは、複雑さと低効率を招いたり、サービスを運用する地域の規制の影響を受けたりすることを避けられないからだ。
規制が厳しい業界もある。APACはプライバシーが大きな問題になりつつあるため、企業はセキュリティポートフォリオの一環としてデータ管理を検討する必要があるとピフ氏は注意を促す。
クラウドベースセキュリティは、IDとアクセス管理、情報漏えい対策、メールセキュリティなど、あらゆる範囲のリスクに対応する。企業やセキュリティの専門家が共通して最も関心を示しそうなサービスと、サービスごとに着目すべき点についてのSophosの見解を紹介する。
IDとアクセス管理（IAM：Identity and Access Management）の鍵になるのが柔軟性だ。非常に多くの認証ディレクトリが利用可能になっている。こうした認証ディレクトリの一部は、本質的にそのプロバイダー固有のものだ。この2つを前提とすると、IAMがサードパーティーのリソースと相互運用可能であればメリットになる。多くのIAMプロバイダーが相互運用を可能にしているが、柔軟性の程度はそれぞれ異なる。
情報漏えい対策（DLP：Data Loss/Leak Prevention）は受動的な検出が重要になる。自社のデータが存在する場所やその利用方法、分類方法を理解せずにDLPに取り組み始める企業が多い。データの分類はDLPプロジェクトにおける大きな障害となる可能性があり、多くの企業が挫折する原因にもなる。データを列挙し、ルールと人工知能を用いてデータを分類し、データの場所とその転送方法を分かりやすく報告するDLPプロバイダーを探そう。そうすることで、自社が保持するデータをほとんど把握しなくても検出段階に応じてコンテンツを制限するルールを実装できるようになる。
Webセキュリティ製品に必要な機能として、ユーザー／端末の識別、送信先の要求、コンテンツのフィルタリング、セッションの安全な復号、検査、信頼性の高い報告などがある。
メールセキュリティに関して要望の多い機能にフィッシング、仕事関係のメールの漏えい、なりすましへの対策がある。標的型攻撃成功の原因は、フィッシング攻撃の成功によって最初のアクセスが許可されたり、貧弱なパスワードの利用によってメールアカウントが侵害されたりすることが挙げられる。
侵入管理は、検知した事象を明確にすることが重要になる。攻撃者の全ての試みを明らかにしても、事象の深刻度を分類しない製品は多い。脅威の真の兆候と不要な情報を見極め、優先度の低い事象を後回しにし、脅威をもたらす恐れが高い事象を即座に警告するツールを探したい。
セキュリティ情報とイベント管理（SIEM：Security Information and Event Management）を評価する際に、プロバイダーの能力を前提にして自社のニーズを限定する必要はない。セキュリティ、ゲートウェイ、認証管理が生成する情報に最適なものを基準にする。多くのセキュリティ管理プロバイダーはさまざまなSIEM製品を試して検証してきたが、通常は最も適した一握りのサービスに落ち着く。
モバイル端末のHDD暗号化を検討する企業は多い。だがリムーバブルメディアやオンラインストレージなど、端末が最終的にデータを保存する場所も考える必要がある。端末内のデータを暗号化するだけでなく、パブリッククラウドやプライベートクラウド、さらにはリムーバブルディスクにデータがコピーされる前に暗号化できることを確認する。
ITmediaはアイティメディア株式会社の登録商標です。
