企業に必要なクラウドセキュリティとは？ 最新ガイドラインの概要と求められる対策

クラウド環境で考えられる主なリスクとは？

クラウドサービスとはインターネット経由でデータやソフトウェアなどを使うサービスを指します。これまではパソコンなどの端末ごとにソフトウェアなどを用意し、自社に構築したサーバー上のデータも含めて管理、運用は利用者が行っていました。クラウドサービスでは、基本的にはソフトウェアやサーバーなど機材の購入、システムの構築、運用、管理をサービス業者に任せられるため、業務の効率アップやコスト削減が図れるメリットがあります。

その一方で、セキュリティのレベルはクラウドサービスを提供している事業者によってバラバラです。利用する側は、セキュリティ対策が不十分な場合のリスクをしっかり理解して、サービスを選ぶ必要があります。

クラウド環境で考えられるリスクは主に以下があります。

リスクの範囲はクラウドの種類によって異なる

サーバーやネットワーク機器、ソフトウェアなどを自社で用意し、管理・運用する形態を「オンプレミス」といいます。自社の目的にあったシステム構築がしやすく、クラウドよりもセキュリティリスクが低いとされていたため、かつてはオンプレミスを選ぶ企業が多数を占めていました。

しかし、近年は高度なセキュリティ対策によってリスクが軽減したクラウドサービスも多数登場し、利用する企業が増えています。

クラウドサービスのセキュリティ面を考えるとき、押さえておきたいポイントの一つにクラウドの種類があります。以下のように主に三つの種類に分けられますが、サービスの種類によってリスク範囲が異なるためとるべき対策も違う点を覚えておきましょう。

経済産業省が策定

クラウドサービスが登場した当初は、利用者側にも事業者側にも明確な運用ルールがなかったため、情報漏えいやサイバー攻撃、不正アクセスなどの問題が多くありました。そのため、2011年に経済産業省が「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」を策定しました。これが、通称「クラウドセキュリティガイドライン」と呼ばれるものです。

その後、改定された「2013年度版」にはクラウドサービスの利用者と提供者が把握すべきリスクについて、国際規格「ISO/IEC27002:2005」に沿った内容が追加されました。その際、利用者と提供者それぞれに向けた「クラウドセキュリティガイドライン活用ガイドブック」も公開されました。

そのなかでは、利用者と事業者の双方が知っておくべきリスクと対策として以下の8項目が示されています。

クラウドサービス利用のための情報セキュリティマネジメントガイドライン2013年度版（経済産業省のPDFが開きます）

クラウドセキュリティガイドライン活用ガイドブック（経済産業省のPDFが開きます）

総務省策定のガイドラインでは事業者と利用者の責任分担に言及

2014年には総務省がサービス提供者向けに「クラウドサービス提供における情報セキュリティ対策ガイドライン」を策定しました。これは、2021年に最新の「第3版」に改定されています。
改定版では、クラウドサービスを取り巻く昨今の変化を踏まえ、ISMAP管理基準や国際規格の「ISO/IEC27017（2016）」などに沿った内容になっています。

特に、注目したいのはクラウドサービス事業者とクラウドサービス利用者の責任分担について、IaaS、PaaS、SaaSのクラウドサービスごとに解説している点です。セキュリティ対策の不備によって情報漏えいが頻発する要因として、利用者側で対応すべきセキュリティ対策があいまいになっている点が挙げられています。また、クラウドサービスのセキュリティを高めるためには、事業者と利用者が協力して責任を共有する必要があるとも説いています。

なお、提供者向けのガイドラインをベースに2022年には利用者と提供者双方向けの「クラウドサービス利用・提供における適切な設定のためのガイドライン」が策定されています。クラウドサービスの設定不備による情報漏えいや不正アクセスが起きないように、認識すべきリスクや対策などを紹介しています。

クラウドサービス提供における情報セキュリティ対策ガイドライン 第3版（総務省のPDFが開きます）

クラウドサービス利用・提供における適切な設定のためのガイドライン 2022年（総務省のPDFが開きます）

国が策定したガイドラインを活用する

クラウドサービスにはどのようなリスクがあり、どのような対策によって防げるのかを利用者側が知ることも大切です。上述の各種ガイドラインを参考にリスクと対策について理解を深めましょう。

サービス提供事業者のセキュリティ対策をよく確認する

自社の利用目的に合ったサービスの提供があるかどうかも選ぶ際の重要な基準になりますが、セキュリティ対策についてもしっかり確認しましょう。

認証制度の取得有無を確認する

情報セキュリティに関する規格や基準のなかには、クラウドサービスに特化したセキュリティ基準（認証制度）もあります。主なものにISMSクラウドセキュリティ認証（ISO27001/ISO27017）、CSマーク、CSA STAR認証、FedRAMP、SOC2,SOC2＋などがあり、取得の難易度や対象地域はさまざまです。こうした認証制度の取得の有無を確認して選ぶのも一つの方法です。

クラウドセキュリティについて詳しい専門企業のサポートを受ける

クラウドサービスの仕組みやセキュリティ対策の全てを理解するのは難しく、自社だけで選定するのは困難な面があると判断したときは、専門企業のサポートを受けるのもおすすめです。

なお、クラウドサービスを導入する際は、自社のセキュリティ対策の見直しも必要です。退職者のIDを含む全ての社員のIDやパスワード管理は適切になされているか、アクセス制限やアクセス認証など安全に利用するための認証管理が行えるかなどにも目を向け、セキュリティ強化を図りましょう。