セキュリティの
学び場

今回の解説ニュース

クラウドサービスの設定ミスをなくすためのガイドラインを解説したガイドブックが公開されています。クラウドサービスで設定ミスが減らない原因と、クラウド設定の属人性を解消する方法について説明します。

今回のガイドブックは、クラウドサービス利用・提供における適切な設定の促進を図り、安全安心なクラウドサービスの利活用を推進するため、クラウドサービスの提供者と利用者双方が設定ミスを起こさないために講ずべき対策や、対策を実施する上でのベストプラクティスについてまとめたガイドラインの活用促進を目的としたものです。

設定ミスの原因として、担当者、マニュアル、作業環境、組織の環境の4つの観点から整理しており、対策では、「組織・ルールの対策」「人的対策」「作業手順面の対策」「ツールによる対策」に分け、具体的に解説しています。

クラウドサービスで設定ミスが減らない原因

クラウドサービスの設定ミスが減らない原因として、簡単に使い始められる一方で、変化の速さが挙げられます。

多くのクラウドサービスは、利便性を考慮して、簡単に使い始められるように設定されています。その結果、利用者は意識せずにデフォルト設定のまま利用し続けてしまい、本来必要なセキュリティ対策が講じられていない状態になってしまう可能性があります。

また、クラウドサービスは常に更新されており、新しい機能や設定項目が頻繁に追加されていきます。仮に、担当者が常に最新の情報に追いつけていない場合、古い設定のまま放置してしまうなど、誤った設定をして使用してしまう可能性があります。

このような原因から、決して少なくない設定項目を見逃してしまったり、誤った設定をしてしまったりすることが考えられます。

クラウド設定の属人性を解消する方法

クラウド設定の属人性を解消する方法として、今回のようなクラウドのガイドラインを活用することや、CSPMを導入してクラウドサービスの設定状況の可視化することが有効です。

今回のガイドラインのように、クラウド設定のベストプラクティスをまとめたドキュメントが各クラウド事業者からも公開されています。これらを参照した上で設定を確認することで、設定ミスを削減することが期待できます。しかし、日々変化するクラウドサービスに対して、常に最新のベストプラクティスとクラウド設定を把握することは困難かもしれません。そこで、これらの作業を自動化したCSPMを導入する組織が増えてきました。

CSPMとは、Cloud Security Posture Managementの略で、クラウドセキュリティ態勢管理と訳されます。クラウドサービスの設定状況を可視化し、継続的に監視することで、設定ミスや脆弱性、コンプライアンス違反などを発見することができます。

CSPMを導入すると、クラウドサービスの設定項目を自動的に収集して可視化することが可能です。そして、設定ミスや脆弱性、コンプライアンス違反などがあれば、検出して管理者に通知してくれます。また、設定状況を定期的に監視し、変化を検知することで、新たな設定ミスが発生した場合も、速やかに通知してくれます。よって、クラウドサービスのセキュリティ向上だけでなく、セキュリティ対策にかかる労力の削減も期待することができます。