クラウドセキュリティに影響を与える3つの要素

企業はクラウド プラットフォームに移行しており、CIO はセキュリティに関する考え方を変える必要に迫られています。インフラストラクチャのセキュリティ保護の責任の多くがクラウド プロバイダーにアウトソーシングされるようになったため、CIO はクラウド テクノロジーにさらに注意を払い、正しく構成され、データが誤って公開されないようにする必要があります。

CIO が企業の業務の脆弱性を評価する際、次の 3 つの要因により、インフラストラクチャへの扉が不注意に開かれる可能性が高まります。

（１）新しいコードと新機能をリリースする

CIO は新しいコードを提供するよう開発者にどの程度のプレッシャーをかけているのでしょうか?機能やコードをリリースすることに重点を置きすぎると、開発者が意図せず構成のずれを引き起こす可能性があります。たとえば、開発者が新しいコードをテストするために常に新しい仮想マシン (VM) を作成し、手動で構成している場合、エラーが発生する可能性が高くなります。新しいアプリケーション機能のために追加の通信ポートを開くなど、運用コードに定期的に小さな変更を加える開発者は、調整が必要になったときに管理者権限を取得する時間のかかるプロセスを回避するために、回避策に頼ることがよくあります。

（２）アプリケーションの接続性の向上

企業がサードパーティやアプリケーション コンポーネントと接続する数が増えるほど、誤った構成が発生する可能性が高くなります。一般的な API エラーには、オブジェクト レベル、ユーザー レベル、関数レベルでの認証の破損が含まれます。

企業の API で情報を公開しすぎると、ハッカーにコードを解読する手がかりを与えてしまう可能性もあります。クラウドネイティブのコンテナ化されたアプリケーションも脅威となる可能性があります。単一のコンテナに不注意による脆弱性があると、ハッカーが企業のソフトウェア スタック全体にアクセスできる可能性があるからです。

（３）クラウドコンピューティングインフラの複雑さ

クラウド コンピューティング アーキテクチャの複雑さは、構成ミスのリスクに大きな影響を与えます。シングルテナント クラウド環境では、他の誰も同じマシンにコードを保存していないため、リスクは限定されます。企業が注力する必要があるのは、マシンが正しく構成されていることを確認することです。マルチテナント クラウド環境では、ハッカーが同じマシン上の仮想マシンでコードを実行しないよう IT スタッフが構成を行う必要があるため、リスクが増大します。コードとデータがさまざまな場所に保存され、処理される場合、マルチクラウドまたはハイブリッド クラウド アーキテクチャにおけるリスクは指数関数的に増大します。これらの部品が連携して動作するには、ネットワーク全体に複雑な接続の網を作成する必要があり、コストのかかるミスが発生する可能性が高くなります。

リスク管理

構成エラーのリスクを最小限に抑えるには、組織は構成を継続的に確認し、エラーを特定する必要があります。これはいくつかの方法で実行できます。

• クラウド コンピューティング アーキテクチャがより単純で、新機能に対するプレッシャーが低い、それほど複雑でないシステムでは、定期的な手動検査のアプローチで十分な場合があります。
• スタックが厳しくなり、複雑な手動プロセスが拡張できなくなると、開発者は一般的な既知の構成の問題をチェックする自動スクリプトを構築できます。これは、複雑さと接続性が限られている状況ではうまく機能しますが、脆弱性が誤って作成された場合、脆弱性スキャン ツールを実行する前にハッカーがそれを悪用する可能性があります。
• 誤った構成が発生する可能性が高い非常に複雑な企業では、クラウド構成を継続的に監視することが賢明です。

クラウド プラットフォームに移行している多くの企業は現在、セキュリティを向上させるためにクラウド セキュリティ ポスチャ管理 (CSPM) ソリューションに注目しています。現在、多くのベンダーが自社のクラウド プラットフォームの構成ミスの問題を継続的に監視するプラットフォームを提供していますが、これらのソリューションは一般に、マルチクラウドまたはハイブリッド クラウド アーキテクチャ全体で動作するようには設計されていません。各クラウド プラットフォームは実装が異なり、独自の用語を使用しているため、複数のクラウドを監視するように設計されたサードパーティ ソリューションの方が現実的な選択肢となる可能性があります。

企業がクラウド セキュリティ侵害から自らを保護するためにどのような方法を選択するかに関係なく、最新のインフラストラクチャとより俊敏なアプリケーション開発プロセスを採用する企業は、より最新のセキュリティ体制を構築する必要があります。