セキュリティの
学び場

クラウド上のデータにおけるリスク

近年のクラウド活用に伴い、多くの組織がクラウド上に「データ」を保持しています。 クラウド上に保持されている代表的なデータとしては以下のようなものが例として挙げられます。

• 利用クラウドサービスが保持するデータ
• • 送受信メール
  • 取引・顧客情報 等
  • その他、各種の文書ファイル
• 提供クラウドサービスが保持するデータ
• • アカウント情報
  • 利用者が登録したデータ
  • 開発資産（ソースコード、基盤アカウント 等）

これらクラウド上のデータにおけるリスクとして、以下のような例が挙げられます。

• 外部の攻撃者起因のリスク
• • インターネットからの不正アクセス
  • 安全でないネットワークでの盗聴
  • マルウェア感染端末によるデータ喪失、漏えい
• 利用者起因のリスク
• • 操作ミス等によるデータ喪失
  • 正規利用者によるデータ共有、持ち出し

マルウェア感染に起因する事例としては WannaCry 等のランサムウェアや、Emotet 等の SaaS アカウントの窃取などがあります。一方、近年のリモートワーク普及に伴う急速なクラウド移行では「利用者起因のリスク」も高まっています。

従来では執務室環境や業務ネットワークで制限されていた利用者の行動が、リモートワークやクラウド環境では制御できない事による事例が見られます。

クラウド上のデータ保護 と そのポイント

クラウド上のデータ保護の施策としては以下のような例が挙げられます。

• クラウド基盤・サービスのセキュリティ強化
• 情報漏えい対策製品（DLP）の導入
• MSS等によるセキュリティ監視の導入

いずれの施策をとる場合でも「導入するだけ」でなく「継続して運用する」事がポイントです。

例えば、初回のリリース時にクラウド基盤やWebアプリケーションの脆弱性を検査しても、その後の改修で脆弱性が混入する場合もあります。また、セキュリティの状況は日々変化しているため、同じシステムでも1年後にはリスクが異なる場合があります。このため、定期的なセキュリティ状況の把握と強化が求められます。

DLP等の製品についても、導入するだけでなく、それを日々運用することが重要となります。 DLPは通信データの特性等から「重要情報の持ち出しの可能性」をアラートします。このようなアラートは過検知を含む場合も多く、適切な運用には一定のスキルや体制が必要です。このため、SOCやMSS等の監視・運用支援サービスを組み合わせることも対策の一つとして挙げられます。