クラウドセキュリティとは？リスク一覧とやるべき対策
TISIでセキュリティ関連の業務に携わっている栁津です。
昨今、クラウドサービスの利用拡大が進む一方で、クラウド環境におけるセキュリティ対策の重要性が高まっています。
クラウドはオンプレミスと比べて、「守るべき責任範囲」や「リスクの発生ポイント」が異なるため、従来のセキュリティ対策だけでは十分に対応できない場合があります。
本コラムでは、クラウドセキュリティの主要リスクと対策を整理します。
目次
- クラウドセキュリティとは？
- クラウドサービスの種類とセキュリティの考え方
- クラウドセキュリティの脅威・リスクの種類
- クラウドセキュリティ対策
- TISIのクラウドセキュリティ対策サービス
クラウドセキュリティとは？
クラウドセキュリティとは？
クラウドセキュリティとは、クラウドサービス上のシステムやデータ、利用者によるアクセスなどを安全に保護するためのセキュリティ対策全般を指します。
現在、多くの企業では、メール、ファイル共有、認証基盤、業務アプリケーション、システム基盤など、さまざまな用途でクラウドサービスが活用されています。たとえば、Microsoft 365 や Google Workspace といったSaaSに加え、AWS、Microsoft Azure、Google Cloud などのクラウド基盤を利用するケースも一般的です。
このように、クラウドサービスは企業活動を支える重要な基盤の一つとなっており、それに伴うセキュリティリスクへの対応も企業にとって重要な課題となっています。
クラウドセキュリティの重要性
これまでのセキュリティ対策は、社内ネットワークや自社データセンターを前提としたオンプレミスを中心とした考え方が主流でした。
しかし、近年はテレワークの普及やクラウドサービスの利用拡大により、利用者が社内外を問わずクラウドサービスへアクセスすることが当たり前になっています。
このような変化により、従来のように社内環境を中心に守る考え方だけでは十分とは言えず、クラウド上の設定やアクセス権限、データの扱いまで含めて適切に管理することが重要になっています。
特にクラウド環境では、設定ミスや権限の過剰付与、共有設定の不備などによって、機密情報の漏えいや不正アクセス、意図しないデータ公開といったインシデントにつながるおそれがあります。
このように、クラウドサービスの活用が進む中で、それに伴うリスクを適切に管理するための取り組みが、これまで以上に求められています。
Microsoft Sentinel導入・運用サービスの概要資料をダウンロードする＞＞
クラウドサービスの種類とセキュリティの考え方
クラウドセキュリティを考える上では、まず対象となるクラウドサービスを理解することが重要です。
クラウドサービスは主に SaaS、PaaS、IaaS に分類され、それぞれ利用者が使える機能や管理すべき領域が異なります。
クラウドではオンプレミスのように利用者側ですべてを管理するわけではなく、サービスの種類に応じてクラウド事業者と利用者の役割や責任の分かれ方も変わります。
本章では、このようなクラウドサービスの種類と責任範囲について説明します。
SaaS（Software as a Service）
SaaS は、完成されたソフトウェアをインターネット経由で利用するクラウドサービスです。
身近な例としては、Word、Excel、PowerPoint、Outlook などを利用できる Microsoft 365 や、Gmail、Google ドキュメント、Google スプレッドシートなどを利用できる Google Workspace が挙げられます。
利用者がサーバーやOSなどの基盤を意識することなく、必要な機能をすぐに利用できる点が特徴です。
一方で、アカウント管理やアクセス権限、データ共有の設定は利用者側の重要な管理対象となります。
PaaS（Platform as a Service）
PaaS は、アプリケーションを開発・実行するための環境をインターネット経由で利用できるクラウドサービスです。
代表例としては、Microsoft Azure の Azure App Service や Azure SQL Database、Google Cloud の Google App Engine などが挙げられます。
利用者はサーバーやOSなどの基盤を直接管理する必要がなく、クラウド上の環境を使ってアプリケーションの開発や公開を行える点が特徴です。一方で、アプリケーションの設定やデータ管理、アクセス制御は利用者側の重要な管理対象となります。
IaaS（Infrastructure as a Service）
IaaS は、サーバー、ストレージ、ネットワークなどのIT基盤をインターネット経由で利用できるクラウドサービスです。
代表例としては、Microsoft Azure の Azure Virtual Machines や、Google Cloud の Compute Engine などが挙げられます。
利用者は必要なスペックや構成を選択し、クラウド上にシステムの基盤を構築できる点が特徴です。一方で、OSやミドルウェアの設定、ネットワーク構成、アクセス制御など、利用者側で管理すべき範囲はSaaSやPaaSより広くなります。
責任共有モデル
オンプレミス環境では、システム全体を利用者自身で管理することが一般的です。一方、クラウドサービスでは、クラウド事業者と利用者が役割を分担して管理します。
この考え方を「責任共有モデル」といいます。責任共有モデルでは、クラウド事業者が管理する領域と、利用者が管理すべき領域を明確に整理します。
たとえば、クラウド事業者は物理設備や基盤部分の運用・保護を担当し、利用者はデータ管理、アクセス権限、各種サービス設定などを管理します。
ただし、利用者が管理すべき範囲は SaaS、PaaS、IaaS のサービス形態によって異なります。そのため、自社が利用しているクラウドサービスの種類を把握し、どの範囲を自社で管理すべきかを正しく理解することが重要です。
※実際の責任範囲は利用するサービスや契約内容、提供される機能によって異なる場合があります。そのため、各クラウドサービスの仕様や管理範囲を確認したうえで、利用者側で管理すべき項目を整理することが重要です。
Microsoft Sentinel導入・運用サービスの概要資料をダウンロードする＞＞
クラウドセキュリティの脅威・リスクの種類
クラウドサービスを安全に利用するためには、クラウド環境で発生しやすい脅威やリスクを理解しておくことが重要です。
本章では、クラウドセキュリティにおいて特に注意すべき領域として、ID・アクセス管理、構成管理、データ管理、ログ・監査の4つを取り上げ、それぞれの代表的なリスクを解説します。
ID・アクセス管理の脅威・リスク
ID・アクセス管理は、誰がどのクラウドサービスを利用できるのか、またどこまでの操作を許可するのかを管理する領域です。クラウド環境では、メールやファイル共有、業務アプリケーションなど、多くのサービス利用がIDを起点として行われるため、セキュリティの入口となる重要な要素といえます。
この領域では、認証情報の漏えいや過剰な権限付与、不要になったアカウントの放置などが主なリスクとなります。特にクラウドサービスはインターネット経由で利用されることが多く、認証情報が漏えいしたり、アカウントが悪用されたりすると、影響が広がりやすい点に注意が必要です。
その結果、機密情報への不正アクセスやデータの持ち出し、設定変更、不正な操作などにつながる可能性があります。管理者アカウントが侵害された場合には、個別の利用者にとどまらず、クラウド環境全体に影響が及ぶこともあります。
構成管理の脅威・リスク
構成管理は、クラウド上のサーバーやストレージ、ネットワークなどのリソース設定やセキュリティポリシーを適切な状態に保つための領域です。クラウドでは必要なリソースをすばやく用意できる一方で、その設定内容がそのままセキュリティに影響するため、継続的な管理が重要になります。
この領域では、設定ミスや公開範囲の誤り、不要な機能の有効化、推奨設定の未適用などが主なリスクです。一見小さな設定不備でも思わぬ弱点になり、気づかないまま運用されてしまうケースもあります。
その結果、本来公開すべきでない情報が外部から参照できる状態になったり、不正アクセスの入口が生まれたりする可能性があります。場合によっては、情報漏えいだけでなく、システム停止や改ざんなど、業務に直接影響する問題につながることもあります。
データ管理の脅威・リスク
データ管理は、クラウド上で扱うファイルやメール、業務データ、機密情報などを適切に保存・共有・管理するための領域です。クラウドサービスは便利な共有機能を備えている一方で、設定や運用を誤ると、情報が意図しない範囲に共有される可能性があります。
この領域では、共有設定の不備やアクセス権限の管理不足、データの分類や重要度の把握が不十分なことなどが主なリスクになります。どの情報が重要なのかが曖昧なままでは、守るべきデータに十分な対策が講じられないおそれもあります。
その結果、個人情報や機密情報の漏えい、誤共有、不正利用などが発生し、顧客や取引先への影響、信用低下、調査・報告対応やコンプライアンス対応の負担増加につながります。
ログ・監査の脅威・リスク
ログ・監査は、クラウド環境で誰がいつ何をしたのか、どのようなアクセスや操作が行われたのかを記録し、あとから確認できるようにするための領域です。クラウドでは複数のサービスや利用者が関わるため、環境内の状況を可視化できる状態にしておくことが重要です。
この領域では、必要なログが取得されていないことや、保存期間が短いこと、監視すべき操作やイベントが定義されていないことなどが主なリスクになります。問題が発生しても、確認に必要な情報が不足していれば、異常の発見や原因の特定は難しくなります。
その結果、不正アクセスや不審な操作の発見が遅れたり、インシデント発生後に影響範囲を正確に把握できなかったりする可能性があります。また、十分なログが残っていない場合、インシデント調査や監査対応に必要な根拠を示せず、復旧の遅れや社内外への報告・説明対応の負担増加にもつながります。
Microsoft Sentinel導入・運用サービスの概要資料をダウンロードする＞＞
クラウドセキュリティ対策
ここまで、クラウド環境における主な脅威やリスクを整理してきましたが、こうしたリスクを低減するには、ID・アクセス管理、構成管理、データ管理、ログ・監査の各領域で、継続的に対策を行うことが重要です。
本章では、4つの領域ごとにクラウドセキュリティ対策の考え方を整理し、Microsoft 製品を活用した対応例を紹介します。
ID・アクセス管理の対策
ID・アクセス管理では、正しい利用者だけが必要な条件を満たしたうえでアクセスできる状態をつくることが重要です。
クラウドサービスはインターネット経由で利用されることが多いため、IDとパスワードだけに依存した運用では、不正ログインやアカウント悪用のリスクを十分に抑えきれない場合があります。
そのため、多要素認証の導入や、アクセス元やデバイス状態に応じた制御、リスクの高いサインインの検知などを組み合わせて対策していくことが有効です。
Microsoft では、こうした対策を支える機能として Microsoft Entra ID の条件付きアクセスが利用できます。
条件付きアクセスは、ユーザー、場所、デバイス、アプリケーション、サインインリスクなどのシグナルをもとにアクセス制御を行います。たとえば「特定のアプリにアクセスする場合は多要素認証を必須にする」「リスクの高いサインインはブロックする」といった制御が可能です。これにより、認証情報が漏えいした場合でも、そのまま不正アクセスにつながるリスクを下げることができます。
さらに、Microsoft Entra ID Protection という機能を活用することで、不審なサインインやリスクの高いユーザーを検知し、必要に応じて追加確認や対応につなげることも可能です。こうした機能を組み合わせることで、ID・アクセス管理に関するリスクを軽減できます。
構成管理の対策
構成管理のリスクに対しては、クラウド上のリソースや設定が適切な状態になっているかを継続的に確認し、設定不備を早い段階で把握することが重要です。
特に、ネットワーク設定の不備や推奨設定の未適用、保護が不十分なリソースの放置などは、不正アクセスにつながる弱点になりやすいため、環境全体を継続的に可視化しながら管理していくことが求められます。
Microsoft では、こうした対策を支える機能として Microsoft Defender for Cloud を利用できます。
Defender for Cloud では、クラウド環境のセキュリティ状態を可視化し、改善が必要な設定やセキュリティ推奨事項を確認できます。
たとえば、保護設定が不十分なリソースや、見直しが必要な構成を把握し、設定の改善につなげることが可能です。
また、継続的に構成状況を確認していくことで、新たに作成されたリソースや変更された設定にも気づきやすくなります。
これにより、設定不備を起点とした不正アクセスや脆弱な構成の放置といったリスクを低減できます。
データ管理の対策
データ管理のリスクに対しては、まず「どのデータが重要なのか」を把握したうえで、適切に保護し、必要な範囲だけで共有される状態をつくることが重要です。
クラウドサービスは、場所を問わずデータを活用できる利便性がある一方で、共有設定やアクセス権限の不備によって、意図しない相手に情報が共有・閲覧されるリスクがあります。そのため、重要なデータを識別・分類し、データの重要度に応じた保護や管理を行うことが有効です。
Microsoft では、こうした対策を支える機能として Microsoft Purview を利用できます。
Purview を活用することで、機密情報を含むデータを把握したり、情報の種類に応じて保護や管理のルールを適用したりできます。これにより、重要なデータが適切に管理されないまま保存・共有されることを防ぎ、不適切な共有や情報漏えいのリスク低減につなげることができます。
Microsoft Purviewについては、弊社の別コラムにて詳細な内容を記載しております。
ご関心があれば、こちらもあわせてご覧ください。
【コラム】Microsoft Purviewで始める内部情報漏洩対策 を読む＞＞
ログ・監査の対策
ログ・監査のリスクに対しては、必要なログを適切に取得・保管し、異常な挙動を早期に把握できる状態をつくることが重要です。
クラウド環境では複数のサービスや利用者が関わるため、何が起きているかを継続的に把握できなければ、不正アクセスや不審な操作の発見が遅れる可能性があります。また、インシデント発生時に原因や影響範囲を十分に特定できないおそれもあります。そのため、ログを集約し、監視・分析に活用していくことが有効です。
Microsoft では、こうした対策を支える機能として Microsoft Sentinel を利用できます。
Sentinel を活用することで、複数のクラウドサービスやセキュリティ製品からログを収集・集約し、相関分析やアラート検知を行うことができます。これにより、不審なアクセスや異常な操作を早期に把握し、必要な調査や対応につなげることが可能です。
また、インシデント発生後の調査や影響範囲の確認にも活用できるため、対応の迅速化や被害拡大の防止にもつながります。
Microsoft Sentinelについても、弊社の別コラムにて詳細な内容を記載しております。
ご関心があれば、こちらもあわせてご覧ください。
【コラム】Microsoft Sentinelとは？主な機能、料金計算と導入について を読む＞＞
Microsoft Sentinel導入・運用サービスの概要資料をダウンロードする＞＞
TISIのクラウドセキュリティ対策サービス（Microsoft）
ここまで、Microsoft 製品を例にクラウドセキュリティ対策の考え方を見てきました。
もちろん、クラウドセキュリティ対策は Microsoft 製品だけに限られるものではなく、他にもさまざまな製品やサービスがあります。
ここでは、TISIが提供している Microsoft 関連サービスを中心にご紹介しますが、クラウドセキュリティ対策をご検討の際は、ぜひお気軽にお問い合わせください。
Microsoft セキュリティ
TISIでは、Microsoft セキュリティとして、Defender for Cloud や Microsoft Sentinel をはじめ、Microsoft Entra や Microsoft Purview など、さまざまな Microsoft 製品の導入・活用支援サービスを提供しています。
また、Microsoft Entra や Microsoft Purview の一部機能は Microsoft 365 E5 という企業に必要なセキュリティ機能を幅広く利用できるライセンスに含まれており、Office 365を含むさまざまな製品を利用する場合には、ライセンス集約によるコストメリットに期待ができます。
一方で、Microsoft 365 E5 は機能が豊富である分、導入していても十分に活用しきれていないケースも少なくありません。
そのため当社では、各製品の導入支援に加え、Microsoft 365 E5 に含まれる機能をお客様の環境や課題に応じて効果的に活用するための支援も行っています。
さらに、AI 活用が多くの企業で注目される中、セキュリティ分野でも Security Copilot や AI Agent の活用が広がりつつあります。Microsoft 365 E5 でも Security Copilot の提供が進んでおり、今後は Microsoft のセキュリティ機能と組み合わせた活用がより重要になっていくと考えられます。
著者
ＩＴ基盤技術第１事業本部 ＩＴ基盤サービス事業部 セキュリティソリューション部 栁津 雅也