自社でシステムを抱えずに済むクラウドサービスは、その利便性やメンテナンスフリーである点が魅力です。
しかし、外部ネットワークを利用するクラウドサービスは本当に安全なのでしょうか。
【総合受付窓口】
大塚商会 インサイドビジネスセンター
0120-579-215 （平日 9:00～17:30）
クラウドは情報漏えいの危険があるのか？ 防止のポイントとは
最近、「クラウド化」という言葉を目にする機会が増えた人は多いのではないでしょうか。インターネットの発達や高速化に伴い、近年はさまざまなサービスがクラウド化され日々の生活やビジネスを支えています。
そんなクラウドサービスについて、情報漏えいなどのリスクや、運用面での問題点など、気になる点がある人も少なくないでしょう。
今回は、クラウドサービスについて利便性や安全面など、具体例を交えて解説します。
クラウドサービスは安全なのか
まずは、クラウドサービスについて具体的に見ていきましょう。
クラウドサービスとは
クラウドサービスは、正確には「クラウド・コンピューティング」と呼ばれ、コンピューターのリソースやアプリケーション、ソフトウェアを、インターネット経由で利用するサービスの総称です。
クラウドサービスを導入すれば、企業は自社にサーバーを設置する必要がなく、ソフトウェアの管理や保守もクラウドサービスの運営会社に任せられます。そのため、専門的な知識を持った担当者も不要で、総じてコスト面で有利になるとされています。
クラウドサービスの種類
クラウドサービスには大きく分けて2種類あります。一つは、サービス提供者が、利用者を問わずインターネットなどで広くサービスを公開している「パブリッククラウド」、もう一つは特定の利用者がクラウドの環境を専有してサービスを利用する「プライベートクラウド」です。
また、複数のクラウドサービスを組み合わせて使用する運用形態を「マルチクラウド」、クラウドサービスにオンプレミスという自社サーバーを組み合わせて最適な環境を構築する運用形態を「ハイブリッドクラウド」と呼びます。
このうち、パブリッククラウドはさらに三つのカテゴリに分類されます。
SaaS（Software as a Service）
各種ソフトウェア機能を、インターネット経由で利用できるサービスです。代表的な例として、Webメールや財務会計ソフト、顧客管理ソフトなどが挙げられます。目的別に用意されていることが多く、最低限の設定ですぐに利用を開始できる利便性がある反面、細かい設定や独自仕様を盛り込むことが難しいとされています。
PaaS（Platform as a Service）
ソフトウェア機能だけでなく、そのソフトウェアの実行環境（プラットフォーム）そのものをインターネット経由で利用できるサービスです。Webサーバーやデータベース、そのほかアプリケーションを実行、開発できる環境そのものがクラウド上に構築されます。
IaaS（Infrastructure as a Service）
共有リソースの中にある仮想サーバーなどのインフラ部分を利用できるサービスです。非常に自由度が高く、実行環境のOSや開発環境などを細かく変更できます。その分専門的な知識を必要とする場合が多く、独自のアプリケーションを開発、運用する場合によく利用されます。
クラウドサービスの利用者と提供者双方に求められるセキュリティ対策
クラウドサービスはネットワーク越しのサービスである以上、常に情報漏えいのリスクが付きまといます。そういったリスクを軽減させるため、総務省は「クラウドサービス利用・提供における適切な設定のためのガイドライン」を作成し、2022年10月に公表しています。
ガイドラインは、日本工業規格（JIS）のうち、情報セキュリティの指針として多くの企業が活用しているJIS Q 27002（実践のための規範）を基に作成されており、安全にクラウドサービスを活用するためにサービス利用者が注意すべきことや、サービス事業者に必要な管理策などについて記載しています。
クラウドからの情報漏えいリスクと事例
続いてはクラウドサービスのリスクと、これまで実際に起きた情報漏えいの事例を見ていきましょう。
クラウドサービスに潜むリスク
クラウドサービスは、オンラインを利用したサービスである以上、避けられないリスクがいくつか存在します。
どういったものが考えられるのか、種類ごとにみていきましょう。
情報漏えい
データの出し入れをネットワークで行う性質上、クラウドサービスは、常に情報漏えいのリスクにさらされています。原因はさまざまですが、その多くは設定の不備やセキュリティ意識の低さをつかれた不正アクセスなどです。ネットワーク上に展開されたサービスのため、状況さえそろえば誰でもアクセスできてしまいます。
データ消失
クラウドサービスでは、データの消失も危惧すべきリスクの一つです。その原因は、操作ミスなどのヒューマンエラーから、停電や建物の火災など外的要因までさまざまなケースがあります。データの保管場所が外部にあるため、対策しにくいという点も注意が必要です。
サイバー攻撃
クラウドサービスはオンラインのサービスのため、第三者からのサイバー攻撃を受ける可能性も否定できません。サイバー攻撃を受けると、サービスの低下や一時的な接続不良、最悪の場合はサーバーに侵入され、データ漏えいにつながる場合もあります。
アカウント悪用、設定ミスなどによる不正アクセス
適切なパスワード管理や権限設定を行わないまま使用すると、不正アクセスを受ける可能性もあります。
クラウドサービスの情報漏えい事例
クラウドサービスで発生した情報漏えいにはどういった種類があるのか、国内の具体的な事例を見ていきましょう。
設定不備での情報漏えい
2020年にインターネットサービスを提供する企業が、約148万件の企業や個人の情報が流出した可能性があると発表しました。クラウドサービスのセキュリティ設定ミスにより、権限を持っていないユーザーが本来閲覧できないはずの情報を閲覧できる状態になっていたとされています。これは、過去5年にわたって設定ミスの状態が続いていたと発表されました。
脆弱性をついた不正アクセス被害
2021年4月には、内閣府が所有する情報が漏えいした事件が報じられました。内閣府をはじめとした複数の機関で、外部とデータを交換するサーバーに対し、不正なアクセスが行われていたことが確認され、231名の個人情報が流出したとされています。サーバーシステムの脆弱性を利用されたことが原因といわれています。
情報が漏えいした場合、その責任の所在は？
万が一、情報が漏えいしてしまった場合、責任の所在はどうなるのでしょうか。
クラウドサービスを利用する場合、一般的には、提供事業者側と利用者側で責任を分担する「責任共有モデル」が採用されています。
総務省は、クラウドサービスにおける責任の分担部分である「責任分界点」を明確にするため、「クラウドサービス提供における情報セキュリティ対策ガイドライン」で説明しています。
内容は、「データ」「アプリケーション」「ミドルウェア」「OS」「仮想環境」「ハードウェア」「ネットワーク」「施設・電源」からなり、この区分を使用して、契約時に責任の分担を行います。
責任の分担部分は、サービスの分類（SaaS、PaaS、IaaS）によって異なり、各サービスを利用する際には、どの部分を利用者が担うのか、しっかりと確認した上で契約を行わなければなりません。
例えば、SaaSでは、「データ」の管理を行う責任と権限を利用者が所持するほか、「アプリケーション」を限定的に管理する権限があります。また、PaaSは、「データ」「アプリケーション」を管理する必要がありますが、IaaSではより広く「データ」「アプリケーション」「ミドルウェア」「OS」の管理責任を担うことになります。
ただし、これらはあくまでも一般的な例です。正確な責任分界点は契約時にしっかりと確認した上で、利用者の分担でない場所にも注意しましょう。
改正個人情報保護法による企業側の影響
2022年4月に施行された改正個人情報保護法により、個人情報取扱事業者に対して「守るべき責務」が追加されました。
中でも重要なのが、個人情報などが漏えいした際の報告の義務化です。
これまでは、個人情報の漏えいが生じた場合でも個人情報保護委員会や本人に、漏えいの報告義務がありませんでした。しかし、この法改正により「情報漏えいや個人の権利利益を害する問題が生じた場合、委員会への報告および本人への通知を行う」ことが義務となりました。
これにより、情報漏えいを発見するための対策やルール整備はもちろん、報告期日までのプロセスの整備などが企業に求められます。
クラウドサービスを安心して利用するために
ここまで解説したように、クラウドサービスにはデメリットやリスクも存在します。しかし、それらを補えれば余りあるメリットが受けられます。
それでは、安心してクラウドサービスを利用するには、どのような点に気を付ければ良いのでしょうか。
クラウドサービスを利用するメリット
クラウドサービスの導入には、以下のようなメリットがあります。
コスト削減
自社サーバーのシステム導入よりも、導入や運用コストを低く抑えられます。サーバーなどを用意する初期費用はもちろん、維持管理を行う人件費も削減できるためです。
運用開始が容易
申し込み後すぐに始められるサービスが多いため、運用開始もスムーズです。また、管理などもクラウドサービス会社に任せられるため、メンテナンスを自社で行う必要もありません。
時間や場所問わず利用が可能
インターネットが使える場所であれば、どこでも利用できるのがクラウドサービスの強みです。外出時やリモートワークでも利用できるため、生産性の向上や情報共有の効果が高いといえるでしょう。
容量の拡大も可能
オンプレミス（自社運用型）で容量を拡張する際は、新たにハードディスクを増設したり、より容量の大きいサーバーへ引っ越しを行ったりなどの手間がかかります。しかしクラウドサービスであれば、管理画面から設定すれば簡単に変更可能です。
クラウドサービスを利用する際の注意点
主にコスト面で大きなメリットのあるクラウド化ですが、注意点も存在します。
それは、これまでに解説した情報漏えいやデータ消失、不正アクセス、サイバー攻撃などのさまざまなリスクへの対策です。
クラウド化することで、顧客情報を含めたデータは全てネットワーク上に存在することになります。これは、ログイン情報（IDとパスワード等）があれば誰でもアクセスできる可能性があるということです。そのため、システム導入後には必ず管理者のパスワードを変更しておきましょう。
また、ユーザー間で同じパスワードを使い回してはいけません。定期的なパスワード変更は、回数を重ねるごとにパスワードが簡易化してしまう恐れがあるため必須ではありませんが、担当者や所属部署の変更などがあった際には、アカウントやパスワードを再設定するなど、セキュリティ対策をとりましょう。
さらに、IDやパスワードについて、メモなどを残すことも危険です。IDとパスワードを記憶するブラウザーの機能もありますが、こういった機能を安易に使用すると、もしもその端末を置き忘れてしまったときにデータの流出が避けられなくなってしまうためです。
そのため、サービス利用者は定期的にセキュリティ研修を行いましょう。
なお、データの損失はいつ起こるかわかりません。バックアップを定期的にとるなどして、万が一データが損失した際も被害が最小限に収まるよう対処する必要があります。
最適なクラウドサービスを導入するには
クラウドサービスを導入するとなると、まずは多くの事業者から、自社の目的に合った事業者を選ぶ必要があります。
クラウドサービスの導入にあたり、ポイントとなる点について解説します。
クラウドサービス導入のポイント
自社の業務にクラウドサービスを導入するには、「なぜクラウドを導入するのか」「クラウドを導入するにあたっての課題はないか」「どういったサービスが必要か」などを明確にする必要があります。これらを明確にし、適切なクラウドサービスのタイプを確認してからサービスを提供する事業者の選定に入りましょう。
なお、総務省が「国民のためのサイバーセキュリティサイト」で、事業者が行うべきセキュリティ対策について、以下の項目をポイントとして掲げています。
- データセンターの物理的な情報セキュリティ対策（災害対策や侵入対策など）
- データのバックアップ
- ハードウェア機器の障害対策
- 仮想サーバーなどのホスト側のOS、ソフトウェア、アプリケーションにおける脆弱性の判定と対策
- 不正アクセスの防止
- アクセスログの管理
- 通信の暗号化の有無
これらがしっかりと守られているかどうかサービス内容や契約内容を確認し、よりセキュリティ性の高い事業者を選ぶことが重要です。
大塚商会が提供するクラウドサービス
クラウドサービスには実にさまざまなソフトウェアや環境がありますが、大塚商会がご提供するクラウドサービスについて、そのいくつかをご紹介いたします。
LANSCOPE エンドポイントマネージャー
情報漏えい対策・マルウェア対策の統合管理ツール
LANSCOPE エンドポイントマネージャーなら情報漏えい対策からウイルス対策まで、まとめて管理ができます。オンプレミス版とクラウド版を用意しているので、自社の環境にあった製品をお選びいただけます。
たよれーる ABookクラウドサービス
カタログや現場写真をクラウドで配信できるサービスです。作業指示や進捗管理、報告などの業務負担も軽減できるほか、社内資料の共有にも役立ちます。
PCクラウドバックアップサービス
PCのデータをインターネット経由でバックアップできるサービスです。ビジネスデータを安全に管理し、万が一業務が中断することがあっても被害を最小限に抑えます。
ワンコイン・ビジネスセキュリティサービス2
基本的なウイルス対策に、端末管理とマルウェア対策の機能を追加したサービスです。クラウドサービスのため、サーバーの管理がいらず、専任の管理者を選定する必要もありません。
クラウドサービスやセキュリティ支援のご相談は大塚商会まで
インフラの整備、セキュリティ技術の向上や、コンピューター、モバイル端末の進化により、今やクラウドサービスは当たり前のツールとなりました。
大塚商会ではお客様のニーズに合わせ、最適なサービスを安全にご提供できるよう、セキュリティ面に強いクラウドサービスを多数ご提供しております。
クラウドサービスによる業務の効率アップや、セキュリティツールの導入を検討しているご担当者様は、ぜひ大塚商会までお問い合わせください。
ナビゲーションメニュー