クラウドで運用するWebサイトのセキュリティを確保するアプローチは、従来のデータセンターで運用するWebサイトとはやや違いがあり、用いるセキュリティ手法も異なる。
本記事は、プレミアムコンテンツ「Computer Weekly日本語版 2月7日号」（PDF）掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。
なお、同コンテンツのEPUB版およびKindle（MOBI）版も提供しています。
クラウドに移行する企業が増えるにつれ、情報セキュリティチームはWebサイトをクラウドに適応させ、保護する必要に迫られる。クラウド規模で安全なWebサイトを構築すると同時に、アジリティーとイノベーションを促進するには、3つの考え方を根本的に変えることが重要になる。アジリティーとイノベーションは、クラウドがビジネスにもたらす重要なメリットだ。
オンプレミスのリソースのセキュリティを確保する場合、それらのリソースを生み出したプロセスについてはあまり気にする必要はない。データセンターに存在するリソースを保護することを考えるだけだ。そのリソースの出自がどうであれ、全資産のリストに対してアセスメントやセキュリティテストを実施できる。
クラウドのリソースは、一時的かつ動的になる。Webサイトは、需要のピークに応じてアプリケーションサーバの新しいインスタンスを10個起動することもある。こうしたインスタンスは4時間にわたって実行され、需要が減少すれば順次終了する。この4時間の実行中のみインスタンスを確実に保護するためには、リソースが生み出された方法を調べることになる。具体的には「開始点はどこか」「起動後にインスタンスを堅牢（けんろう）にし、構成するものは何か」「リソースを起動するためのパイプラインが信頼できる理由は何か」などを調べる。
セキュリティ担当者は、リソースを生み出したメカニズムを把握し、それを保護する必要がある。データベースを使って、全所有物を追跡するセキュリティ手法はクラウドではうまく機能しない。広範囲にわたってIPアドレスを調べる方法は、規模に応じて拡張することも、クラウドのダイナミズムに対処することもできない。
クラウド資産を保護するには、Amazon Web Services（AWS）の「AWS Config」や「Amazon CloudWatch Events」などのクラウドネイティブの機能を使い、リソースの出入りに応じてクラウドを継続的に保護しなくてはならない。
例えばAlfrescoのツール「Prowler」を使えば、Cloud Infrastructure Security（CIS）Foundation Benchmarkのような著名な標準への違反がないかどうか、クラウドを動的に調べることができる。このツールはCIS標準に照らしてリソースを定期的に評価し、違反を報告して、適切に対処できるようにする。Prowlerは、AWSのAPIを使って実行環境を動的に調べる。これは、リソースの静的データベースに環境が依存しないようにするためだ。静的データベースの情報は古くなってしまう恐れがある。
「Linux」のsyslog、「Windows」のWindowsイベント、Webサーバログなど、さまざまなログの処理と分析は恐らく既に実行しているだろう。
クラウドでもこの習慣を続けることになる。ただし、クラウドインフラ自体もログを生成する。
本記事は抄訳版です。全文は、以下でダウンロード（無料）できます。
■Computer Weekly日本語版 最近のバックナンバー
Computer Weekly日本語版 1月24日号 “侵入者をだますセキュリティ”のススメ
Computer Weekly日本語版 1月10日号 “マルチクラウド”は幻想にすぎない
Computer Weekly日本語版 12月20日号 AIが人を裁いた日
急成長のチャットbot市場、2018年度の売上金額は前年度比倍増――ITR調べ
日本国内のベンダー29社への調査を基にしたチャットbot市場の実績と予測です。
日本におけるカスタマーサクセスは「夜明け前」 これから乗り越えるべき3つの壁とは？
日本におけるカスタマーサクセス推進の鍵は「期待値コントロール」と「日本人の特性を踏...
消費者が秋らしさを感じるもの 「さんま」以外に何がある？――クロス・マーケティング調べ
クロス・マーケティングは、全国の20〜69歳の男女1000人を対象に「秋の味覚に関する調査...
ITmediaはアイティメディア株式会社の登録商標です。
