2019年の事件から考えるセキュリティ対策【前編】
「クラウドの設定ミスで情報漏えい」はなぜ起こるのか？ 取るべき対策は
2019年に「クラウドの設定ミス」が原因で大手企業の情報が漏えいしたことを受け、複数のセキュリティベンダーがそうした人為的な設定ミスへの注意を呼び掛けている。ミスが生じる理由とは。対策は。
「最近の注目すべきセキュリティ事件は脅威の転換期を意味しており、2020年は新たな脅威が登場する10年の節目になるだろう」。トレンドマイクロは調査分析レポート「2020年セキュリティ脅威予測」でそう述べる。他にも複数のセキュリティベンダーが、近年のIT分野における変化とそれに合わせた攻撃の巧妙化を踏まえ、セキュリティ事件と今後の脅威を予測したレポートを2019年末から2020年初頭にかけて発表した。それを基に、2020年以降に気を付けるべきリスクと対策を紹介する。
2019年6月、セキュリティベンダーUpGuardの調査チームが、Amazon Web Services（AWS）のオブジェクトストレージ「Amazon Simple Storage Service」（Amazon S3）に保存されているデータが公開状態になっていたことを報告した。これはデータマネジメントベンダーAttunity（2019年5月にQlik Technologiesが買収）の管理下にあったデータで起こったもので、動画配信大手Netflixや自動車大手Ford Motorといった企業に関するデータも含まれていた。原因はAmazon S3のバケット（保存領域）の設定に誤りがあったためだという。
Amazon S3における“設定ミス”でデータを公開状態にしていた同様の事例は、2019年以前からたびたび発生している。Facebook、Verizon Wireless、Accenture、米国防総省などが当事者の例だ。このリスクはAmazon S3に限った話ではない。リスク分散のために自社保有の設備でデータの全てを抱えずに、災害対策（DR）としてバックアップデータの保存先にクラウドストレージを選ぶ動きが広がるにつれ、危険性はますます高まる可能性がある。
クラウドの設定ミスが起こる理由
セキュリティベンダーのSophosは2019年12月に公開した年次脅威レポート「Sophos 2020 Threat Report」で、「クラウドサービスに関するセキュリティインシデントの大部分は設定ミスが原因だ」という見解を示した。同社はレポートで、設定ミスにつながる要素として以下の項目を挙げる。
- クラウドサービス自体の構造が複雑なこと
- 頻繁に構成を変更するためミスが発生しやすいこと
- 現在のサービスやシステムの設定をクラウドサービスの利用者が把握しづらいこと
クラウドベンダー自身も対策に乗り出す
クラウドサービスの設定ミス防止策として使用できるセキュリティ製品・技術は幾つかある。代表例が「クラウド管理」製品だ。クラウドサービスの設定やシステム構成の管理を自動化する機能、複数のクラウドにまたがって設定を一元管理できる機能などを備える。管理や設定にかかる手間を軽減するのに役立つ。
正規の権限を持たないエンドユーザーからのアクセスをブロックできる「ID・アクセス管理」（IAM）製品は、適切な知識を持たないまま設定したり、悪意を持って不適切な設定にしたりする行為を防ぐのに役立つ。クラウドサービスの利用状況を可視化する「CASB」（Cloud Access Security Broker）製品も有効だ。CASBは、エンドユーザーやアプリケーションがどのクラウドサービスとどのような通信をしているかを可視化する。セキュリティ担当者はこうしたCASBの機能を生かせば、誤った設定によって生じる意図しない通信を発見しやすくなる。
各クラウドベンダーは相次ぐインシデントを受け、クラウドサービスの管理機能やセキュリティ対策を強化している。例えばAWSは2018年11月、Amazon S3においてバケットまたはアカウント単位で、外部のエンドユーザーにバケット内のデータを公開しないよう設定を制限できる「Amazon S3 Block Public Access」を提供開始した。さらに2019年12月には、利用中のAmazon S3バケットが外部公開状態になっていないかどうかを確認できる「AWS Identity and Access Management Access Analyzer」（IAM Access Analyzer）を発表した。Googleは、クラウドサービス群「Google Cloud Platform」（GCP）で利用中のリソースの状態やセキュリティ対策状況を可視化できる脅威対策機能「Cloud Security Command Center」や、データ復号時の暗号鍵のリクエストが正当かどうかを精査する機能「Key Access Justifications」を提供している。これにより、エンドユーザーが意図しない設定を放置するリスクや、悪意を持った第三者による不正アクセスの防止に対処している。
Copyright © ITmedia, Inc. All Rights Reserved.
2019年の事件から考えるセキュリティ対策
この記事の著者
関連記事
新着ホワイトペーパー PR
-
技術文書・技術解説
[Jamf Japan 合同会社] MDMだけでモバイルセキュリティは十分？ 不足する対策を16項目でチェック -
製品資料
[株式会社ウェーブスプリッタ・ジャパン] 100Gbps対応の光トランシーバーはどう選ぶ？ 10分で分かる選定のポイント -
製品資料
[株式会社フィックスターズ] 組み込み開発の生産性と機密性を両立、自社環境で構築する「セキュアAI」活用術 -
製品レビュー
[ServiceNow Japan合同会社] 問い合わせの約9割を自動で解決、AI主導の自律型CRMがもたらす業務変革の全貌 -
市場調査・トレンド
[ServiceNow Japan合同会社] AI活用が業務自動化で止まる理由は何か？ 調査で判明した課題と変革への道筋
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
マンガで解説：採択率は3割台？ デジタル化・AI導入補助金申請の落とし穴
-
2
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
3
脱VMwareの前提が崩れる BroadcomのVDDK公開停止で確認すべき点
-
4
【基本情報技術者試験】「デュプレックスシステム」と「デュアルシステム」の違いは？
-
5
なぜOpenAIやAnthropicのAIは「脱走」したのか 情シスが迫られるエージェント統制
-
6
Anthropicが明かす AIは入力データを「どこまで覚えているのか」
-
7
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
8
GitHubが指摘 AIが書いた「おそらく動くコード」が招くシステム崩壊
-
9
「中堅・中小企業のネットワーク・セキュリティ運用実態」に関するアンケート
-
10
「高すぎるGPU」を捨てAI推論をCPUへ Armが示す電力とコストの現実解
ホワイトペーパーランキング PR
-
1
生成AIのハルシネーションを防止 回答精度を高めるセマンティックレイヤーとは
-
2
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
3
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
4
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
マンガで解説：「ゼロトラスト」「SASE」の必要性とメリット
-
7
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
8
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
-
9
国税庁の次世代基幹システム「KSK2」稼働開始に向けて、対応すべき変更点とは？
-
10
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー