2019年10月09日 05時00分 公開
特集/連載

AWSのデータ漏えいに学ぶ クラウドの契約前に必ず確認すべき4つの事項パブリッククラウドのセキュリティを強化する

米金融大手Capital One Financialが直面したAWSからのデータ漏えい事件は、パブリッククラウドのセキュリティについての懸念を浮き彫りにした。データを確実に保護するために、確認すべき事項を説明する。

[Kevin Tolly,TechTarget]
画像

 2019年夏、金融機関Capital One Financialがクラウドサービス群「Amazon Web Services」(AWS)に保管していた、クレジットカード申請者1億600万人分のデータが漏えいした。攻撃者は、ファイアウォールの構成ミスを悪用してデータを盗み出したと報道されている。盗まれたデータには、氏名、住所、社会保障番号が含まれていた。

 今回のAWSへの攻撃は、サーバサイドリクエストフォージェリ(SSRF)の一種だと考えられる。SSRFはサーバに偽装したリクエストを送り、通常は実行を許可すべきではないコマンドを実行させる。SSRFは特に、パブリッククラウドを利用する企業の懸念材料になる。ユーザー企業には、クラウドベンダーがこうした手口を防ぐために必要な手段を講じているかどうかが分かりづらいためだ。

 今回の事件の犯人はAWSの関係者だったとみられる。企業の内部関係者によって脅威がもたらされることは少なくない。企業向けセキュリティシステムには、内部関係者によるデータの持ち出しに対して、システムを守るために設計されたデータ損失防止(DLP:Data Loss Prevention)機能が含まれていることがある。

 AWSのようなパブリッククラウドについて言えば、インフラ部分のセキュリティ対策を過信してはいけない。ユーザー企業側の管理者が時間を取って、運用するパブリッククラウドのセキュリティポリシーを理解することが不可欠になる。本稿は、パブリッククラウドとそのセキュリティ対策について、調査しておきたい主な領域を幾つか紹介する。

1.データの保管先

ITmedia マーケティング新着記事

news093.jpg

AI活用で日本が米国に追い付く――PwC調査
PwC Japanグループが日本で実施した調査の結果から、日本企業によるAI活用が大きく進み、...

news036.jpg

SaaS企業の成功メソッド「PLG」を実践するための組織作りとは?
成長を続けるSaaS企業には組織としての共通点がある。それは具体的にどのようなものだろ...

news093.jpg

メディア総接触時間、「携帯電話/スマートフォン」が「テレビ」を上回り首位に
博報堂DYメディアパートナーズによる、生活者のメディア接触の現状を捉える年次調査の結...