パブリッククラウドセキュリティとは？

大企業から中小企業まで、データストレージやミッションクリティカルなコンピューティングワークロードをクラウドへと移行する動きがますます加速しています。2023年のRubrikの調査報告によると、一般的な組織ではクラウド上のデータ量が73％増加しています。しかし、このように重要性を増しているクラウドリソースはハッカーが好む標的となっており、サイバー攻撃の頻度と巧妙さが増しています。実際、2023年のProofpointの報告では、同年にクラウドテナントの94％が標的となり、そのうち62％の攻撃が成功したとされています。

この事実は、クラウドセキュリティ（特に、パブリッククラウドのデータバックアップのセキュリティ）がこれまで以上に重要であることを意味しています。パブリッククラウドセキュリティの詳細と、クラウドセキュリティリスクをより効果的に管理する方法を見ていきましょう。

パブリッククラウドセキュリティとは？

パブリッククラウドとは、インターネット経由でアクセス可能なクラウド型のストレージやコンピューティングのサービスであり、サービスプロバイダーが共有インフラ上で複数の顧客に提供するものです。最もよく知られているパブリッククラウドサービスはMicrosoft Azure、Amazon AWS、Google Cloudですが、他にも多くのベンダーが存在します。パブリッククラウドセキュリティには、そうしたパブリッククラウドサービス上にホストされるデータ、インフラ、アプリケーションを保護するために実施される手順やポリシーが含まれます。

パブリッククラウドセキュリティは、ほぼ例外なく「共有責任モデル」に基づいており、つまり、クラウドプロバイダーと顧客のそれぞれがクラウドインフラのうち異なる部分を保護します。ほとんどの場合、基盤となるクラウドハードウェア、ホストOS、仮想化レイヤーのセキュリティはクラウドプロバイダーが管理し、顧客は自分のデータとアプリケーション（そしてそれらのアプリケーションが動作する仮想化されたゲストOS）を保護する必要があります。Amazonが言うように、「クラウドベンダーはクラウドのセキュリティを管理し、顧客はクラウド内のセキュリティを管理する」ということです。

パブリッククラウド環境におけるセキュリティリスク

オンプレミス環境からパブリッククラウドへデータやアプリケーションを移行することは、単なるリフトアンドシフト作業ではありません。これは、特にセキュリティ態勢に関してはなおさらです。これらの環境には固有のセキュリティリスクが存在し、組織はそれを積極的に管理する必要があります。不正アクセスや設定ミスのあるストレージバケットなどが主な懸念事項であり、これらが原因で機密データが意図せず漏洩してしまう可能性があります。

企業がクラウドインフラへの依存度を高めるにつれ、攻撃対象となる領域は拡大していきます。特に、セキュア化されていないAPIやリモートアクセスは、リアルタイムで悪用され攻撃の経路となる可能性があります。こうした脆弱性があるため、強力な認証、アクセス制御、継続的な監視の実施が極めて重要です。そして、どれほど堅牢な防御を築いたとしても、レジリエンスと復旧を確保するには、パブリッククラウド用のバックアップ作成のための信頼できる仕組みが不可欠です。

パブリッククラウドのデータセキュリティのためのベストプラクティス

クラウドリソースの保護には、多層的かつプロアクティブなアプローチが必要です：

まず、堅牢なアイデンティティおよびアクセス管理（IAM）を導入し、誰がクラウド環境にアクセスできるのかを制御します。
クラウドデータは、インターネット上や完全な管理が不可能な仮想環境を通過するため、機密データを転送時と保存期間中の両方で暗号化することで、傍受されたとしても機密性を確保できるようにする必要があります。
自動化された脅威検知ツールによるリアルタイム監視なら、異常な活動が深刻化する前に警告を発することが可能です。
不正アクセスを減らすために不可欠な要素として、多要素認証（MFA）と、ゼロトラストモデルに基づく厳格なセキュリティポリシーがあります。

これらのベストプラクティスに従えば、クラウドインフラのうち顧客がセキュリティ確保の責任を負わなければならない部分について、強固なセキュリティ態勢の基盤を築けます。米国連邦政府のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、クラウドセキュリティのベストプラクティスに関するインフォメーションシートを提供しており、より詳しい情報がそれに記載されています。

パブリッククラウドのセキュリティとプライベートクラウドのセキュリティの比較

パブリッククラウド環境は、顧客が他の顧客やクライアントとは共有されないクラウドインフラにアクセスできるプライベートクラウド環境とは異なります。プライベートクラウドは、ローカルでホストされる場合もあれば、インターネット経由でアクセスされる場合もあります。クラウドの種類によって、セキュリティモデルは異なります:

パブリッククラウドの共有インフラは脅威の対象領域を拡大する
プライベートクラウドインフラの場合、より高い制御性が得られますが、セキュリティ上の責任や設備投資費用の一部がクラウドプロバイダーから移行されてくるため、コストと保守の負担の増大に対処する必要があります。

ハイブリッド型のアプローチ、つまり企業が一部のワークロードやデータをパブリッククラウドに配置し、別の一部をプライベートクラウドやオンプレミスのデータセンターに配置する、という方法がますます普及してきています。たとえば、データの大部分を社内に保持しつつ、ストレージコストを節約するためにAzureのパブリックバックアップを利用する、という選択ができます。

パブリッククラウドソリューションを採用する企業が増えている中で、機密データやミッションクリティカルなワークロードを保護するためには、堅牢なセキュリティ慣行が極めて重要です。IAM、暗号化、監視、ゼロトラスト原則といったベストプラクティスを取り入れることで、脅威を軽減し、防御体制を強化できます。パブリッククラウドセキュリティには、プロアクティブなアプローチの他に責任分担についての理解が必要です。クラウドプロバイダーはインフラのセキュリティを確保しますが、データやアプリケーションを安全に保護する責任は顧客側が負います。サイバー脅威がますます複雑化するなか、堅固なセキュリティ基盤を築くことができれば、クラウドの多くの利点を活用しつつ、レジリエンスと信頼を確保することができます。