自社のセキュリティ要件を満たしたIaaSプロバイダーを選ぶポイント：クラウドの潜在リスク

クラウドサービスを利用する側が用心すべきことを紹介する。クラウドにおいても、情報セキュリティへの対策は従来のオンプレミスと変わらないことを忘れてはいけない。唯一の違いはデータの所在だけだ。

[Joseph Granneman，TechTarget]

　現在利用できるクラウドベースのインフラには、サービスとしてのストレージから仮想サーバの完全なインフラまで、さまざまな種類がある。クラウド提供のトレンドに乗って売り上げの増大を狙うベンダーも幅広く、その機能はさらに多岐にわたる。クラウドサービスを利用する側が用心すべきときというのがもしあるとすれば、今がそのときだ。本稿ではサービスとしてのインフラ（IaaS：Infrastructure as a Service）を選定する際に考慮すべきリスクを紹介する。

リソース共有

　IaaSプロバイダー選定に関して明らかに考慮すべき分野の1つはパフォーマンスだ。クラウドベースのサービスは、ハードウェアと帯域幅を異なる顧客多数に横断的に割り振って、コスト削減につなげている。SaaSソリューションであれば、この点はIaaSソリューションほど重大ではない。例えばクラウドベースのストレージサービスの帯域幅には、アプリケーションホスティングサービスよりも厳しい条件と、より高い耐性が求められる。1つのリスクとして、別の顧客が大量のリクエストを通じてシステムを独占してしまえば、自分の会社はデータにアクセスしにくくなるかもしれない。クラウドサービス事業者は、個々の顧客の間でどのようにリソースを分配しているのだろうか。

　考慮すべきもう1つの問題も、リソース共有の概念に起因する。危険にさらされるのはクラウドベースインフラのパフォーマンスにとどまらない。データも同じだ。IaaSプロバイダーの多くは共有型のデータベースを利用しており、自社のデータと競合他社のデータを隔てるのは1つのフィールドのみだ。もしも自社のデータが他社のデータと混じって流出したら、事業にどれほどの影響が出るだろう。

　IaaSプロバイダーは、容量の追加やサービス経費の削減を模索するまっとうな企業に恩恵をもたらすのみにとどまらない。サービス妨害（DDoS）攻撃を仕掛けたりマルウェアを操ったりするための手早く簡単に導入できるサービスとして、犯罪集団にも目を付けている。さらに、不審な、あるいは違法なコンテンツを提供しているサーバもあるかもしれない。そうした不正なサービスと同じ物理サーバで自社の事業がホスティングされていたとしたら？　サーバがトラフィックの洪水状態となり、それに伴って他の仮想インスタンスも全てダウンするかもしれない。あるいは犯罪捜査のためにサーバが押収され、自社のデータに手が届かなくなることもあり得る。自社の仮想サーバがIaaSプロバイダーのインフラ全体を通じてどのように運用されるかを把握し、各サーバインスタンスを1つのビジネスプロセスに限定することは不可欠だ。こうしたIaaSサービスを定期的にローカルあるいは全く別のIaaSプロバイダーにバックアップすることも大切になる。

クラウドプロバイダー選定に関する記事

• セキュリティ基準でクラウドサービスを選ぶポイント　〜国のガイドライン活用法も
• 信頼できるクラウドサービスプロバイダーの選び方　〜第三者認証の一覧表も

管理と運営

　管理機能も考慮する必要がある。クラウドベースインフラでは、システムのプロビジョニングやハードウェアのメンテナンスといった管理業務をクラウド事業者に委託するという点は銘記しておきたい。こうした業務の管理者は顧客の社外秘情報にもアクセスできる。一方、管理者がどの情報にアクセスしたのかを顧客が監視できるとは限らない。米Googleでさえ、悪意を持った管理者がユーザーの電子メールや音声メッセージに許可なくアクセスする問題に見舞われたと伝えられる。

　加えてクラウドベースインフラサービスの管理についても考慮しなければならない。もしIaaSプロバイダーが管理用インタフェースに何らかの暗号を使っていない場合、暗号化されていないパスワードを入手した者は誰でも顧客の仮想インフラにアクセスできてしまう。IaaSプロバイダーの中にはAPI秘密鍵を使って信頼できる接続を確立しているところもあるが、これももし暗号化されていなければ、中間者攻撃の標的になり得る。こうしたAPI鍵の安全な取り扱いに関する手順は社内でも確立しておかなければならない。IaaSサービスのAPI秘密鍵を付せんに書いたりすれば、誰でも会社のインフラにアクセスできてしまう。システムを社内で運用する場合と同じ情報セキュリティ基準を利用することだ。全てのパスワードとAPI鍵を暗号化し、管理者権限を特定のIPアドレスに限定し、管理用には厳密な認証を条件として定めるべきだ。

　コントロールの変更やサーバプロビジョニングの権限といった手順の標準化も、IaaSインプリメンテーションを日々運用する中で重要だ。これはサーバが会社のデータセンターにあって社内で運用されている場合と変わらない。こうした手順はデータとサービスの所在を文書化し、リスクおよび適切な回避戦略を見極める上で不可欠だ。さらに、コストをコントロールする一助になるという付加的なメリットもある。仮想サーバとストレージは従量制の課金方式が一般的であり、適切な手順と権限なしではIaaS利用に伴うコスト削減効果もたちまち霧消してしまいかねない。

クラウドセキュリティに関する記事

• パブリッククラウド調査結果、セキュリティが不安な一方で3割は導入に前向き
• 米国発クラウドセキュリティ標準「FedRAMP」はどれほど効果があるのか？

コンプライアンスの難しさ

　クラウドベースのインフラ利用に伴うあらゆるリスクを考えると、SOX、HIPAA、PCIのコンプライアンスは極めて難しいかもしれない。例えばHITECHでは、電子的に保護された医療情報（ePHI）をFIPS-140暗号仕様に沿ったアルゴリズムで暗号化することを義務付けている。暗号化はサーバ利用の増大を伴うことから、多くのIaaSプロバイダーはこのレベルの暗号化をデフォルトでは提供していない。SOXではデータプロビデンスとデータリネージが必要だが、それをクラウドで実現するのは難しい。サーバが帯域幅とCPU、それにデータベースまで共有している状態で、全てのデータのソースと正確性をどうやって確認できるのか。クラウド事業者は一般的に、ファイアウォールのログを企業が参照することも、企業がIDSやIPSをインストールすることも認めていない。そのためにはネットワークトラフィックの傍受が必要になり、これは通常、サービス利用条件に違反するからだ。

　以上のような潜在リスクを踏まえてもなお、IaaSプロバイダーの利用を検討すべきなのか。リスクを認識している限り、そして一定レベルの隔離と暗号化を提供し、コンプライアンスおよびセキュリティ条件にかなった契約を提示してくれるIaaSプロバイダーを見つけられる限りはそうすべきだ。だがクラウドにおいても情報セキュリティ対策に変わりがないことを忘れてはいけない。唯一の違いはデータの所在だけだ。各IaaSプロバイダーのセキュリティ能力を評定し、適切なコントロールと手順を実装すれば、クラウドベースのインフラサービスが約束するメリットをうまく実現できるだろう。