2019年10月09日 05時00分 公開
特集/連載

パブリッククラウドのセキュリティを強化するAWSのデータ漏えいに学ぶ クラウドの契約前に必ず確認すべき4つの事項

米金融大手Capital One Financialが直面したAWSからのデータ漏えい事件は、パブリッククラウドのセキュリティについての懸念を浮き彫りにした。データを確実に保護するために、確認すべき事項を説明する。

[Kevin Tolly,TechTarget]
画像

 2019年夏、金融機関Capital One Financialがクラウドサービス群「Amazon Web Services」(AWS)に保管していた、クレジットカード申請者1億600万人分のデータが漏えいした。攻撃者は、ファイアウォールの構成ミスを悪用してデータを盗み出したと報道されている。盗まれたデータには、氏名、住所、社会保障番号が含まれていた。

 今回のAWSへの攻撃は、サーバサイドリクエストフォージェリ(SSRF)の一種だと考えられる。SSRFはサーバに偽装したリクエストを送り、通常は実行を許可すべきではないコマンドを実行させる。SSRFは特に、パブリッククラウドを利用する企業の懸念材料になる。ユーザー企業には、クラウドベンダーがこうした手口を防ぐために必要な手段を講じているかどうかが分かりづらいためだ。

 今回の事件の犯人はAWSの関係者だったとみられる。企業の内部関係者によって脅威がもたらされることは少なくない。企業向けセキュリティシステムには、内部関係者によるデータの持ち出しに対して、システムを守るために設計されたデータ損失防止(DLP:Data Loss Prevention)機能が含まれていることがある。

 AWSのようなパブリッククラウドについて言えば、インフラ部分のセキュリティ対策を過信してはいけない。ユーザー企業側の管理者が時間を取って、運用するパブリッククラウドのセキュリティポリシーを理解することが不可欠になる。本稿は、パブリッククラウドとそのセキュリティ対策について、調査しておきたい主な領域を幾つか紹介する。

1.データの保管先

ITmedia マーケティング新着記事

news113.jpg

恵方巻の予約購入派は35%、企業側は70%以上が予約販売を実施――ONE COMPATH調べ
恵方巻とフードシェアリングサービスに関する意識調査です。

news087.jpg

「Oracle Data Cloud」とTrue Dataの連携は日本のプログラマティック広告をどう変えるか
「Oracle Data Cloud」とTrue Dataの購買データが連携し、プログラマティック広告配信に...

news105.jpg

ITツールの利用効果に対する実感に世代間ギャップ――Dropbox Japan調査
国内企業における創造性とITツール利用に関する実態調査です。