クラウドネイティブ アプリケーションのセキュリティにかかるコスト

現在、60% を超える組織が、新しいアプリケーションの大部分がクラウドで構築されていると報告しています。これはセキュリティにとって何を意味するのでしょうか?

クラウド コンピューティングの使用はセキュリティ上のリスクをもたらすという認識が広まっているにもかかわらず、企業はクラウド ネイティブ アプリケーションにますます依存するようになっています。では、セキュリティ上のギャップはどこにあるのでしょうか?最も重要な問題はどれですか?

このデータは、Capsule8、DuoSecurity、SignalSciences が後援する新しい調査「クラウド ネイティブ セキュリティの現状」から得たものです。研究者らは、金融サービス、テクノロジー、教育、小売、政府、非営利団体、製造、運輸など8つの業界にわたる収益2億5000万ドルから10億ドルの企業の上級意思決定者とセキュリティ専門家486人を対象に調査を行った。

調査によると、62% の企業がアプリケーションの半分以上をクラウド ネイティブ アプリケーション (CNA) に依存しており、この数字は今後 3 年以内に 80% に達すると予想されています。回答者の半数以上が、クラウド ネイティブ アプリケーション (CAN) によってリスクが増大し、セキュリティが導入の障壁になると考えています。

サイバー攻撃の可視性は、セキュリティ上の最も重要な懸念事項です。回答者の 73% が、脅威や進行中の攻撃に関する実用的な洞察が不足していると回答しました。ネットワークレベルでは、可視性が低いと誤報につながると、Capsule8 の CEO である John Viega 氏は説明します。サイバー攻撃が増加するにつれて、セキュリティ通知も増加しています。調査対象となった企業のうち、自社が受け取るアラートの 75% 以上を処理できると答えたのはわずか 3 分の 1 でした。

誤検知は、IT およびセキュリティ環境を悩ませているもう 1 つの重要な問題です。回答者の 46% が、実稼働環境のアラートの半分以上が誤検知であると回答しています。調査対象となったセキュリティおよび IT 専門家のほぼ半数によると、不十分な分析が誤検知の主な原因となっています。

より伝統的な環境では、従業員は「アルゴリズムを通じて問題を解決し、脅威の検出を改善する手段としてより多くのデータを収集して処理しようとします」とヴィエガ氏は説明した。

しかし、クラウドネイティブ環境では、「アルゴリズムを改善する前に、まずデータの品質を向上させることで最大の成果が得られることがわかりました」と彼は言います。クラウド ネイティブ アプリケーション (CNA) を使用する企業は、大量のトラフィックを高速で評価する代わりに、クラウド プロバイダーの API にアクセスし、システム パフォーマンスに影響を与えない方法でデータを分析できます。

クラウド コンピューティング インフラストラクチャとアプリケーションが実稼働環境で大きな役割を果たすようになると、セキュリティの優先度が高まります。ここでの最大の懸念は、サーバー上のマルウェア（32%）、既知の脅威アクターによる標的型攻撃（17%）、ゼロデイエクスプロイト（12%）です。

回答者のほぼ半数（48%）は、サイバー攻撃によって生産環境に損害が発生し、システムの破損（48%）、顧客データの損失（44%）、財務データの損失（31%）が発生したと述べています。

[[246688]]

研究者らは、クラウド ネイティブ アプリケーションへの移行の主な推進要因として、回答者の約 40% が「ビジネスの最も重要な部分を近代化している」と回答しました。 31% が新しいソフトウェア開発を挙げ、これが現在のソフトウェアの構築方法であると指摘し、29% が運用コストの削減を挙げました。

組織が大きくなるほど、新しい展開にクラウドネイティブ アプリケーションに依存する可能性が高くなります。たとえば、収益が 2 億 5,000 万ドルから 4 億 9,900 万ドルの企業の 55% は、新しいアプリケーションの大部分をクラウド ネイティブ フォーム ファクターで実行しています。この数字は、収益が5億ドルから9億9,900万ドルの企業では60%、収益が10億ドルから49億ドルの企業では63%、収益が50億ドルから99億ドルの企業では71%に跳ね上がります。

しかし、ここで事態は一変した。専門家は、年間収益が200億ドルを超える企業はより「保守的」であると報告している。アプリケーションの半分以上をクラウド ネイティブとして導入していると答えた企業はわずか 61% で、アプリケーションの 4 分の 1 未満をクラウド ネイティブとして使用していると答えた企業は 23% でした。

クラウド ネイティブ アプリケーション (CNA) の使用も業界によって異なります。たとえば、政府機関はクラウドネイティブアプリを広範に使用する可能性が最も低く、新しいアプリのほとんどがクラウドネイティブであると答えた人はわずか 46% でした。レポートによると、教育業界 (70%)、金融サービスとテクノロジー (それぞれ 67%)、小売企業 (65%) など、一部の業界セクターではクラウド ネイティブ アプリケーション (CNA) への依存度が高くなっています。

「一部の企業は規制を受けず、多くのソフトウェアを構築した」とヴィエガ氏は、クラウドで成長したメディア企業やテクノロジー企業の例を挙げて語った。規制環境の企業では、まずミッションクリティカル度の低いアプリケーションをクラウドに移行する傾向があります。

「大手金融機関にとって、消費者向けプラットフォームは、多くの監視を受けることになるため、おそらく最後に取り組むべきものの一つだ」と彼は例を挙げて語った。

研究者らは、調査対象となった企業が今年、昨年に比べて少なくとも2倍のサイバー攻撃を経験したことを発見した。 Viega 氏は、同社の成長は必ずしもクラウド コンピューティングによるものではないと述べた。

「多くの点で、攻撃者は同じであり、同じ手法を使用している」と彼は説明した。 15 年前、アプリケーションは 90% がカスタム コードで、10% がオープン ソースで構成されていました。現在、アプリケーションの 80% ～ 90% はオープン ソースとカスタム コードで構成されています。これにより状況は確実に変化する、と彼は付け加えた。なぜなら、アプリケーションがクラウドで実行されているかどうかに関係なく、攻撃者は潜在的に何を悪用できるかをよりよく理解できる可能性があるからだ。

同氏は、企業に対し、従来の環境のように「リフト・アンド・シフト」するのではなく、クラウド サービスを導入する際にはセキュリティを再考するようアドバイスしています。彼は、人々はそれが拡張性がなく、費用対効果も低いと感じるだろうと述べた。