データ侵害は、セキュリティ担当者や企業リーダーにとっては目新しいことではない。この長年の課題は、世界中でニュースの見出しを飾り続け、新しいストーリーを生み出している。それが暗号化せずに紛失したノートPCであれ、仮想マシン（VM）に対するサイドチャネルタイミング攻撃であれ、クラウドコンピューティングによってデータ侵害の範囲は拡大している。

　クラウドの導入とマルチテナントの性質を考えると次のようにいえる。VM、共有データベース、アプリケーション設計、統合、API、暗号化導入、キー管理、複数の場所へのデータの分散、これら全てが組み合わさることで攻撃対象領域が大幅に広がり拡散している。これがクラウドセキュリティの脅威とデータ侵害の機会拡大につながっている。

　クラウドの導入とモバイルデバイスの使用は増え続けるだろう。それに伴い、クラウドセキュリティの専門家はさらに多くのデータ侵害と、機密情報の損失に直面することが想像される。それらの主な原因には、スマートデバイス、タブレットの登場による、従業員のモバイル利用、BYOD（私物端末の業務利用）の増加がある。他にも、デバイスの紛失、システム侵害、従来型の攻撃といった過去の課題に加えて、クラウドに関連する前述の要因との組み合わせなどがある。

　分類されるデータや情報の種類によっては、データ侵害が起きた場合の対応や、システムセキュリティ制御上でのデータ侵害が疑われる場合、適切な機関、企業、団体に侵害を報告するよう義務付けられている場合がある。この規則には医療情報の場合はHIPAA（米国における医療保険の相互運用性と説明責任に関する法令）、個人情報の場合はGDPR（欧州連合における一般データ保護規則）、クレジットカード情報の場合はPCI DSS（ペイメントカード業界データセキュリティ基準）などがある。

　そのようなデータ侵害を防ぐために十分なセキュリティ制御を導入していることや、注意義務を果たしていることをきちんと説明できなければ、多額の罰金が科される恐れがある。これらは業界、分野、地理的な位置、情報の性質に応じて大きく変わる。

データ損失

　データ侵害とは混同しないでほしい。データ損失とは、クラウド環境内で保管、処理、転送される情報についての情報の損失、削除、上書き、破損、整合性を指す。

　クラウド環境内でのデータ損失は組織に重大な脅威や問題をもたらす恐れがある。これがクラウドセキュリティの脅威に関連する理由は、以下の質問を見れば分かるのではないだろうか。

• データバックアップの責任は、ベンダーと顧客のどちらにあるか
• データを格納しているバックアップメディアを誰かが入手した場合、そこに含まれているのは全てのデータか、情報の一部のみか
• データが破損または上書きされた場合に、インポートや復元の実行は可能か
• 顧客側で誤ってデータを削除した場合に、マルチテナント環境や共有プラットフォームでのベンダーによるシステムや情報は円滑に復元できるか

　暗号化した情報を顧客がクラウド環境にアップロードする場合、注意点がある。そのデータの損失を防いでいつでも利用できるようにするには、暗号化キーが不可欠になることだ。関連のある暗号化キーがなければ情報を利用できなくなるため、キーを失ったらデータも損失する。

　効率的かつ効果的に管理、運用、保守しなければ、セキュリティに繰り返し悩まされる可能性がある。

アカウントまたはサービストラフィックのハッキング

　これは厳密に言えばクラウドセキュリティの脅威ではない。ただし、この脅威に関係するセキュリティ担当者はこの問題に絶えず苦労させられており、長年にわたって解決に取り組んでいる。アカウントとサービストラフィックの乗っ取りは昔から攻撃者の標的になっている。その際使用される手口には、フィッシング攻撃、比較的新しいスミッシング（SMSフィッシング）攻撃、スピアフィッシング攻撃（ターゲットを絞ったフィッシング攻撃）、ソフトウェアやその他のアプリケーションに関する脆弱性の悪用などがある。

　こうした攻撃の手口で重要なのは、成功すれば攻撃者が通信を監視／盗聴できるようになることだ。さらにトラフィックを傍受して追跡し、重要な資格情報を取得したり、アカウントやユーザープロフィール、パスワードなどの情報にアクセスして改ざんしたりすることも可能だ。

　最近の攻撃者は侵害したシステム、アカウント、ドメインを隠れみのにし、カムフラージュする。そうすることで、攻撃元はサプライヤー、サードパーティー、競合企業などの合法組織であるかのように見せ掛けながら、他の組織や企業に対して攻撃を仕掛けることができる。隠れみのにされた組織は、システムが侵害されていることには気付かない。

セキュリティ保護されていないインタフェースとAPI

　ユーザーがクラウドコンピューティングのアセットやリソースにアクセスする場合、クラウドサービスプロバイダー（CSP）が提供するAPIを利用する。APIの重要な機能としてはプロビジョニング、管理、監視などがある。こうした機能はプロバイダーのインタフェースを使用して実行する。セキュリティを制御し、リソースを設計通りに機能させるためには、プロバイダーのAPIを使う必要がある。それにより、意図しているかどうかにかかわらず、ポリシーや制御を回避しようとする試みを阻止できる。これは単純な話に思える。

　理想通りなら、この通りになるかもしれない。しかし、今は進化の途上であり、クラウドにはセキュリティの脅威があふれている。この問題を大きくするのが、（導入に応じて）追加インタフェースを構築し、APIにコンポーネントを「付け足して」いる関連サードパーティー、組織、顧客だ。これにより大幅に複雑化が進み、APIが多層化することになる。その結果、資格情報が第三者に渡されるほか、そうした情報がAPIと関連スタックコンポーネントの間でセキュリティ保護されずに使われる恐れがある。

　ただし、ほとんどのプロバイダーはクラウドセキュリティの脅威を最小限に抑えるために、協調した取り組みを通じてインタフェースとAPIのセキュリティを確保している。しかし、顧客や他のプロバイダーがバリエーションや別のコンポーネントを追加すると、セキュリティの全体的な仕組みが弱体化する恐れがある。

サービス拒否

　本質的に、サービス妨害（DoS）攻撃は、ユーザーが特定のシステムや場所のサービスやリソースにアクセスできないようにするものだ。その実行には利用可能な攻撃ベクトルが大量に用いられる。ただし、バッファー、メモリ、ネットワーク帯域幅、処理能力が標的として狙われるのが一般的だ。

　クラウドサービスは突き詰めていくと、サービスを提供し、顧客がリソースに接続できるようにするための可用性に依存する。そのため、DoS攻撃は重大なクラウドセキュリティの脅威になり得る。DoS攻撃がクラウド環境を標的にしている場合、ベンダーと顧客の両方に大きな問題が生じる恐れがある。

　分散型サービス停止（DDoS）攻撃は、複数の場所から1つの標的に対して仕掛けられる。クラウドセキュリティ設計者と連携することで、システムの設計と実装に単一障害点が生じないようにしなければならない。システムに対するDoS攻撃またはDDoS攻撃が成功したら、こうした単一障害点によってシステム全体が脅威にさらされる恐れがある。

　1つ注意点がある。DoS攻撃はメディアで盛んに騒ぎ立てられており、世界中の組織から恐れられている。そして、多くの場合、DoS攻撃が成功するには膨大な量のトラフィックが必要だと考えられている。これは必ずしも事実ではない。非対称なアプリケーションレベルのペイロード攻撃は、わずか100～150kbpsのパケットで成功するとされている。

悪意を持った内部関係者

　組織の重要な資産をセキュリティで保護する場合、人、プロセス、テクノロジーという3つの主要要素が欠かせない。人は、セキュリティに最大の問題をもたらす傾向がある。従業員や契約社員の不満、不正、あるいは単純な注意不足が、偶然または意図的に機密データを危険にさらす恐れがあるためだ。

　CERT（Computer Emergency Response Team／Coordination Center）によると、企業に悪意を持った内部関係者の脅威をもたらす恐れがあるのは、次のような人物だという。

• 現社員または前社員、契約社員、ビジネスパートナーのうち、組織のネットワーク、システム、データへのアクセスが承認されているか、承認されていた者
• 組織の情報や情報システムの機密性、整合性、可用性に悪影響を与えるような方法で、そうしたアクセス権の限度を意図的に超えているか、誤用している者

クラウドサービスの悪用

　以前なら手に入らなかったか、それだけの余裕もなかったコンピューティングリソースが、1時間当たり数ドルで利用できるようになっているという事実に目を向けたい。これこそクラウドコンピューティングが提供するものだ。つまり、クラウドコンピューティングはほぼ無制限の拡張性と柔軟性を手に入れる機会を企業にもたらしている。多くの組織にとって問題なのは、この拡張性と柔軟性が提供されるのと同じプラットフォームやリソースに、攻撃者がアクセスして利用できることだ。それにより、辞書攻撃やDoS攻撃を実行したり、暗号化パスワードを突破したりすることができる。不正なソフトウェアやデータをホストして広く配布する恐れもある。その他さまざまな種類のクラウドセキュリティに対する脅威がプラットフォームやリソースに侵入する可能性がある。クラウドの能力は、必ずしも本来の目的に沿った方法で使われるわけではない。その点に注意が必要だ。

不十分なデューデリジェンス

　デューデリジェンスとは、企業が直面しているリスクを調査して把握する活動のことだ。デューケアとは、企業、その資産、従業員を脅威から保護するために、ポリシーと手順を策定し実装することを指す。

　クラウドコンピューティングのおかげで、テクノロジーベースの製品やサービス、アーキテクチャを活用する方法に関して、多数のユーザーや企業の間で革命が起きている。そのような数々のテクノロジーの変化や革命と同じく、既に役割を果たしているテクノロジーもある。それも、安全なアーキテクチャや、そうしたアーキテクチャの導入に必要なことについて、適切な検討やデューケアが果たされる前からだ。

　多くの組織にとって、クラウドコンピューティング導入は早急な決断が迫られる。それは、意図的な場合もあれば、意図せずそうなる場合もある。導入によって、役割、焦点、ガバナンス、監査、レポート、戦略などの運用要素が変わるため、徹底的なリスク確認プロセスを通して、一部の事業への多額の投資が必要になる。さらに、ビジネスプロセスの変更も欠かせない。

　クラウドコンピューティング市場の未熟さを考えると、多くのベンダーはまだその運用方法に変更や改善を加えているところだ。例えば、ベンダーからのサービスの提供に関して買収、変更、修正、改正される。こうしたことは顧客にもパートナー企業にも影響する可能性がある。

　最後に、クラウド分野での競争が一段落すれば、価格設定が大幅に変わり、料金やサービスが下がるか大幅に上がる可能性がある。さらに、クラウドセキュリティの脅威により、顧客はCSPの選択について見直しを迫られることもあり得る。プロバイダーが倒産した場合、自社はタイムリーかつシームレスな方法でCSPを変えられる状況にあるだろうか。

　クラウドへと推進する中で、デューケアとデューデリジェンスの両方を確実に実施することは、クラウドセキュリティの専門家の責務である。

　クラウド企業には合併、買収、倒産の可能性がある。サービスの内容を変更したり、最終的には価格モデルを変えたりすることもあるので注意が必要だ。適切なデューデリジェンス活動を実施できない企業は、実際、身動きが取れない立場に置かれる可能性がある。ただし、そうしたリスクを相殺するために補完的対策を導入すれば話は変わってくるが、その結果、財政的利益は減るかもしれない。

共有テクノロジーの脆弱性

　CSPはインフラ、プラットフォーム、アプリケーションをテナント間や、場合によっては他のプロバイダーと共有する。自社のサービスを効率的かつ拡張性に優れた方法で提供するためだ。その中にはインフラの基礎を成すコンポーネントが含まれることもある。その結果、脅威や脆弱性も共有される。

　可能であれば、プロバイダーは多層防御型アプローチを導入して、各種コンポーネントをセキュリティ保護したほうが良い。多層防御戦略には、コンピューティング、ストレージ、ネットワーク、アプリケーション、ユーザーに対するセキュリティの強制と監視を含める必要がある。これはサービスモデルがIaaS（Infrastructure as a Service）、PaaS（Platform as a Service）、SaaS（Software as a Service）など、どれであっても全てに共通する。