パブリッククラウドのセキュリティを強化するAWSのデータ漏えいに学ぶ クラウドの契約前に必ず確認すべき4つの事項

米金融大手Capital One Financialが直面したAWSからのデータ漏えい事件は、パブリッククラウドのセキュリティについての懸念を浮き彫りにした。データを確実に保護するために、確認すべき事項を説明する。

[Kevin Tolly，TechTarget]

　2019年夏、金融機関Capital One Financialがクラウドサービス群「Amazon Web Services」（AWS）に保管していた、クレジットカード申請者1億600万人分のデータが漏えいした。攻撃者は、ファイアウォールの構成ミスを悪用してデータを盗み出したと報道されている。盗まれたデータには、氏名、住所、社会保障番号が含まれていた。

　今回のAWSへの攻撃は、サーバサイドリクエストフォージェリ（SSRF）の一種だと考えられる。SSRFはサーバに偽装したリクエストを送り、通常は実行を許可すべきではないコマンドを実行させる。SSRFは特に、パブリッククラウドを利用する企業の懸念材料になる。ユーザー企業には、クラウドベンダーがこうした手口を防ぐために必要な手段を講じているかどうかが分かりづらいためだ。

　今回の事件の犯人はAWSの関係者だったとみられる。企業の内部関係者によって脅威がもたらされることは少なくない。企業向けセキュリティシステムには、内部関係者によるデータの持ち出しに対して、システムを守るために設計されたデータ損失防止（DLP：Data Loss Prevention）機能が含まれていることがある。

併せて読みたいお薦め記事

不正アクセスと対処の事例

• AWSの元エンジニアが大手金融から1億件以上の個人情報を盗んだ疑い、FBIが逮捕
• MicrosoftのWebメール「Outlook.com」で不正アクセス　何が起きたのか？
• 不正アクセス被害の明治大学　二段階認証と「Microsoft 365」でどう対処したか

クラウドの問題とリスク

• Amazonも直面、「危ない客」「信頼できない取引先」のリスク対策3選
• 「Amazon S3」内のデータが設定ミスで公開状態に　漏えいしたデータは？

　AWSのようなパブリッククラウドについて言えば、インフラ部分のセキュリティ対策を過信してはいけない。ユーザー企業側の管理者が時間を取って、運用するパブリッククラウドのセキュリティポリシーを理解することが不可欠になる。本稿は、パブリッククラウドとそのセキュリティ対策について、調査しておきたい主な領域を幾つか紹介する。

1．データの保管先