2019年10月09日 05時00分 公開
特集/連載

パブリッククラウドのセキュリティを強化するAWSのデータ漏えいに学ぶ クラウドの契約前に必ず確認すべき4つの事項

米金融大手Capital One Financialが直面したAWSからのデータ漏えい事件は、パブリッククラウドのセキュリティについての懸念を浮き彫りにした。データを確実に保護するために、確認すべき事項を説明する。

[Kevin Tolly,TechTarget]
画像

 2019年夏、金融機関Capital One Financialがクラウドサービス群「Amazon Web Services」(AWS)に保管していた、クレジットカード申請者1億600万人分のデータが漏えいした。攻撃者は、ファイアウォールの構成ミスを悪用してデータを盗み出したと報道されている。盗まれたデータには、氏名、住所、社会保障番号が含まれていた。

 今回のAWSへの攻撃は、サーバサイドリクエストフォージェリ(SSRF)の一種だと考えられる。SSRFはサーバに偽装したリクエストを送り、通常は実行を許可すべきではないコマンドを実行させる。SSRFは特に、パブリッククラウドを利用する企業の懸念材料になる。ユーザー企業には、クラウドベンダーがこうした手口を防ぐために必要な手段を講じているかどうかが分かりづらいためだ。

 今回の事件の犯人はAWSの関係者だったとみられる。企業の内部関係者によって脅威がもたらされることは少なくない。企業向けセキュリティシステムには、内部関係者によるデータの持ち出しに対して、システムを守るために設計されたデータ損失防止(DLP:Data Loss Prevention)機能が含まれていることがある。

 AWSのようなパブリッククラウドについて言えば、インフラ部分のセキュリティ対策を過信してはいけない。ユーザー企業側の管理者が時間を取って、運用するパブリッククラウドのセキュリティポリシーを理解することが不可欠になる。本稿は、パブリッククラウドとそのセキュリティ対策について、調査しておきたい主な領域を幾つか紹介する。

1.データの保管先

ITmedia マーケティング新着記事

news091.jpg

インターネット広告に関するユーザー意識 8割のユーザーが情報活用に不安――JIAA調査
ユーザーのインターネットメディア・広告への意識、情報取得活用への意識、業界が取り組...

news098.jpg

BeautyTech関連アプリは浸透しているのか?――アイスタイル調べ
BeutyTech関連アプリがこの1年で浸透し始めたことが明らかになりました。

news094.jpg

日本国内に住む中国人女性のSNS利用実態――アライドアーキテクツ調査
在日中国人女性464人に聞いたSNSの利用状況と、SNSを通じて行われる情報提供の実態につい...