社外にある情報のセキュリティを守る
クラウドからの情報流出リスクに対処するには
クラウドコンピューティングにまつわる情報セキュリティ問題とは、よその社のネットワークにある情報の流出を心配するということだ。
情報セキュリティのプロであるということは、頭痛との付き合い方を身に着けることでもある。社内ネットワークの情報セキュリティだけでも頭痛の種なのに、よそのネットワークにある情報のセキュリティ確保となるとさらに複雑だ。一言で言うと、ホスティングされたソフトウェア、つまりクラウドコンピューティング、あるいはサービスとしてのソフトウェア（SaaS）にまつわるセキュリティ問題とは、そういうことなのだ。
SaaSは一見、外部委託の美化されたバージョンのように見える。特にクレジットカード処理などの場合、多くの企業がデータを外部の業者に送っているが、SaaSの場合は少し違う。外部の業者がソフトウェアをホスティングして、実装とインフラを管理しているのだ。ソフトウェアを購入してインストールする代わりに、企業はインターネットなどを経由してSaaSプロバイダーに接続する。SaaSは可用性、管理の容易さ、コスト削減といった理由からビジネス主導になるのが普通だ。
知名度の高いSaaSプロバイダーにはGoogleやAmazon.comがあり、それぞれのネットワークを通じてアプリケーションをサービスとして提供している。ほかにも例を挙げるとSalesforce.comはCRMソフトウェアをオンラインで提供し、Qualysはセキュリティ監視と、PCI DSS（Payment Card Industry Data Security Standard）で定められた内容を含むすべてのスキャンをオンデマンドで提供している。
SaaSとコンプライアンス
基本的に、企業が自分たちのネットワークで既に抱えているのと同じセキュリティ不安（ネットワーク、ハードウェア、アプリケーション、データのセキュリティ確保）は、SaaSで情報をアウトソーシングしている企業にも当てはまる。しかしサーベンス・オクスリー（SOX）法、グラム・リーチブライリー（GLBA）法、HIPAA（医療保険の相互運用性と説明責任に関する法律）といった法規制や、PCI DSSといった業界基準のコンプライアンスが絡むと事は複雑になりかねない。
SaaS以前、コンプライアンスの成功は尽きるところ、ユーザーの特定とアクセス権限の割り当て、重要データの特定とその保存場所および暗号化方法の決定、それらすべてを監査と法令順守のために文書化するという小数の業務が鍵だった。しかし、SaaSでこうしたプロセスが複雑になった。理論的に、企業は自社のデータを完全にコントロールしているはずだが、実際にはSaaSプロバイダーやそのプロバイダーのパートナーがコントロールしているネットワークのどこに自社のデータがあるのか、顧客企業が把握するのは難しいこともある。
SaaSとPCI DSSの管理
SaaSは膨大な数の法令順守に影響するが、恐らく最も分かりやすいのは「サービスプロバイダー、SaaS、そのほか」という具体的な条項があるPCI DSSだろう。PCIの規定12.8ではサービスプロバイダーに対しコンプライアンスを義務付け、顧客のカード保有者情報の保護責任を契約に明記することを規定。さらに、ホスティングプロバイダーのみを対象とした付表まである。
PCI DSSの付表Aの規定A.1には4つの補助項目がある。それぞれをもう少し詳しく見ていこう。A.1.1では、ホスティングプロバイダーの個々の顧客はそれぞれ自社のカード保有者のデータ環境にしかアクセスできないと定めている。これは、企業がSaaSベンダーと取引する上でまず質問すべき点だ。
質問すべき主な内容は次の通り。そのSaaSプロバイダーのシステムアーキテクチャでは、同じサービスを使っている別の社によるデータへの不正アクセスをどうやって防ぐのか。プロバイダーは多数の顧客にサービスを提供するのがビジネスだ。つまり、貴重なデータが別の社のデータと同じサーバに置かれているかもしれない。そしてそれはライバルのデータかもしれないのだ。
データの隔離と深い関係にあるのが付表A.1.2、サービスプロバイダーが保存するデータのアクセス制御について規定した項だ。このコントロールによって、顧客がアクセスできるのは自社のデータに限り、そのデータを同じサービスを利用する他社によるアクセスから守らなければならない。SaaSプロバイダーのアクセス制御はプロバイダー自らが行ってもいいし、顧客のID・アクセス管理システムに連動させてもいい。
SaaSがアクセスを処理する場合、ユーザーIDやパスワードといった認証情報はプロバイダーのサーバ上に保存される。これで安全だとほとんどのSaaSプロバイダーは言うが、気を付けた方がいい。プロバイダーが不正アクセスされればデータばかりでなく認証情報も流出する恐れがある。プロバイダーに認証を管理させるためには、ユーザーアカウントの念入りな管理も必要だ。会社を辞めるユーザーのアクセス権は抹消しなければならない。これは自社のID・アクセス管理システムを使って社内でやった方が簡単だ。
望ましい方法は、会社のディレクトリサービス（Active DirectoryやLDAPディレクトリ）と直接連動させて、SaaSサービスの認証を行うことだ。現在このオプションを提供しているSaaSプロバイダーは多数ある。
次の懸念事項として付表A.1.3が網羅しているのはログ記録と監査証跡だ。これはPCIの規定10で義務付けられている。ログ管理とSIM（セキュリティ情報マネジメント）ツールは、会社のネットワーク監視用にかなり高度化が進んできたが、SaaSプロバイダーなど社外のネットワーク監視に使うことはできない。
ログと監査証跡は調査のために必要になることもある。これについて記した付表A.1.4ではプロバイダーに対し、不正アクセスがあった場合は「時機にかなった科学調査の提供」を義務付けている。
SaaSプロバイダーのログは社内にあり、外部から、あるいは顧客からアクセスできるとは限らないため、（調査は言うまでもなく）監視は難しい。ログへのアクセスはPCIコンプライアンスで義務付けられており、監査役や規制当局による請求もできるため、サービス契約の一環としてプロバイダーのログにアクセスできるよう交渉することだ。
Webアプリケーションと不正アクセス
こうしたPCI特有の問題のほかに考慮すべきなのは、Webアプリケーションのセキュリティ、プロバイダー内部関係者による情報漏えい、データの保存場所だ。
企業とSaaSプロバイダーとの接続にはWebを使う場合が多いため、プロバイダーにはセキュアなアプリケーション開発のガイドラインであるOWASP（Open Web Application Security Project）に従っているかどうかを含め、Webアプリケーションのセキュリティについて質問しておくといい。これはOWASPのコードプラクティス順守を義務付けたPCI規定6.5に定められている。
プロバイダー側は、データをどこに保存するか、情報流出を自社の担当者の間でどう処理するかについて、答えを用意しておく必要がある。大規模なITネットワークが多数広がるグローバルな世界の中で、シンガポール、ブラジル、英国といった遠方にあるSaaSプロバイダーのサービスにデータが置かれる可能性もある。情報流出が起きた場合、これは司法管轄権の問題だけでなく、ただでさえ重い米国での負担に加えて、それぞれの国で現地のコンプライアンスと法律の問題が絡んでくる。
クラウドコンピューティング人気の高まりに伴い、コンプライアンス問題を考慮することはますます不可欠になっている。理論的にはSaaSによって情報のリスクは高まる。念入りにコントロールされた会社のネットワークの外に、ITセキュリティのコントロールを渡してしまうことになるからだ。しかし、ここに挙げた助言を念頭に置いてベストプラクティスを守れば、いずれにしても会社の情報のセキュリティを守ることは可能だ。
本稿筆者のジョエル・デュビン氏はCISSP（公認情報システムセキュリティ専門家）資格を持つ独立系コンピュータセキュリティコンサルタント。Microsoft MVPに選ばれ、Web／アプリケーションセキュリティを専門とする。著書に『The Little Black Book of Computer Security, Second Edition』があり、シカゴのラジオ局WIITでコンピュータセキュリティの番組を担当。「IT Security Guy」ブログも運営している。
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[アトラシアン株式会社] IT運用や従業員サポートは生成AIでどう変わる？ 使い方や導入の流れは？ -
製品資料
[株式会社みらい翻訳] 音声翻訳活用の課題を解決、“本当に使える”ツールの特徴とは？ -
製品レビュー
[Wrike Japan 株式会社] 400店舗を支えるWalmart Canada、散在する情報やアナログな管理をどう変えた？ -
事例
[Wrike Japan 株式会社] 年間100件超のDXプロジェクトを統合管理、JERAはどのように実現した？ -
事例
[Wrike Japan 株式会社] グローバルなクリエイティブ業務を合理化、エスティーローダーに学ぶ実践のコツ
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
全社標準Copilotに絶望？ MS Copilotで問い合わせ6割減できた企業は何が違った
-
2
身代金支払いは逆効果 情シスのためのランサムウェア対策ガイド2026
-
3
自社を守る「SCS評価制度」活用法 7割の企業が取引先起点の情報漏えいに直面
-
4
ランサムウェア、暗号化の89％は深夜 情シスが備える「夜間の空白」対策
-
5
多要素認証導入済みでもランサムウェア被害に 復旧費用は平均2億7000万円
-
6
「技術屋」で終わるか、部長へ昇格するか 今取りたい「IT×ビジネスの認定資格」5選
-
7
「Copilot」はなぜ放置される？ “議事録要約止まり”を脱する処方箋
-
8
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
9
「AI活用を前提とした業務PCへの移行」に関するアンケート
-
10
AIエージェントを暴走させない設定、済んでますか？ 対策5選を専門家が紹介
ホワイトペーパーランキング PR
-
1
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
2
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
3
生成AIで文書活用を進めるには？ 効率化と安全性をどう両立する
-
4
Windows PCとMacの選択制で生産性向上 LINEヤフーが実践する運用管理方法とは
-
5
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
6
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
7
「スクラム」と「カンバン」の違いとは？ アジャイル型開発手法を徹底比較
-
8
AI時代に成功するための「ナレッジマネジメント」ベストプラクティス
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー