クラウドセキュリティ
～クラウド時代のセキュリティ変遷（Vol.1）～

昨今クラウドコンピューティングが広がり計算機リソースの利用においても、電気やガスのように従量制でいつでも使える時代になってきました。その結果、従来個社で所有していたIT資源と混在し、システム構成が複雑化しています。また、AI技術によるビッグデータ活用においてITで扱われるデータの信頼性も考慮すべき時代になりました。

従来のセキュリティは、ファイヤーウォールを用いて内側と外側に分け、内側の安全性を確保するための境界防衛型セキュリティ技術が、体系化され、使われてきました。

しかし、クラウドサービスの拡大により守るべき対象が内側にも外側にもあること（ネットワークがゼロトラスト）、さらに、悪意ある攻撃やなりすましなどによる情報漏洩などが拡大しており、ネットワークへの入り口や境目が脅威にさらされ（エンドポイントがゼロトラスト）、単純な境界防御方式では安全が確保できない状況が当たり前になっています。

このように、ネットワークもエンドポイントも信用しづらい状況下で通用するセキュリティを考えていく必要があり、クラウド活用時代において早期のゼロトラスト・セキュリティ確立が急がれています。

セキュリティの区分と脅威

システムのセキュリティを考えるとき、以下の3つの区分で考えていくことで、網羅的にセキュリティ脅威への対策を整理することができます。

1. 物理セキュリティ
   施設や設備の保護を目的とし、人の不正侵入や盗難、災害から守るための物理的な対策を講じること
   例：監視カメラ、施錠など物理アクセス制御など
2. 情報セキュリティ
   情報、データの機密性、完全性、可用性を保護するための対策を講じること
   例：暗号化、VPN,バックアップ、情報アクセス権管理。
3. サイバー・セキュリティ(NW＆ｴﾝﾄﾞﾎﾟｲﾝﾄ・セキュリティ)
   ネットワークやシステムをサイバー攻撃から守るための対策を講じること
   例：ファイアウォール、侵入検知システム、ウイルス対策

上記3つの基本切り口に加えて、以下の視点でのセキュリティ保全環境を強化することで、適用業務や人間系も含んだ全体システム系としてのセキュリティ施策を考慮し、より安全性の高いIT環境設計ができます。　　　

• アプリケーション・セキュリティ
• 認証と権限管理（誰が利用可能かをチェック）
• コンプライアンス
• 事故対応
• セキュリティリテラシー教育

本稿では、これらの中で、クラウド環境と最も密に関係するサイバー・セキュリティ(NW＆ｴﾝﾄﾞﾎﾟｲﾝﾄ・セキュリティ)について、掘り下げていきます。

^{出典：「ITビジネス・プレゼンテーションライブラリー/LiBRA」by　ネットコマース株式会社サービス斎藤昌義}

サイバー攻撃の種類

サイバーセキュリティを考えるにあたり、最近では安全な範囲を定義してその範囲内を守るという境界防御の概念が破綻しており、広く第三者による悪意ある攻撃が起こる可能性があることを前提に考える必要があります。一般的なサイバー攻撃の種類（脅威）を確認していきましょう。

1. マルウェア
   悪意のあるソフトウェアで、意図せずシステムに侵入して、システム破壊や情報盗難をおこないます
2. ランサムウェア
   データを暗号化し、解除のための身代金要求を行う」攻撃
3. フィッシング詐欺
   偽装メールやSMSでユーザーに個人情報や認証情報を入力させて盗む
4. 標的攻撃
   特定組織や個人を標的として狙うカストマイズされた攻撃
5. DoS/DDoS攻撃
   サーバーに大量のリクエストお送り、そのサーバーをパンクさせてサービス停止をさせる攻撃
6. ゼロデイ攻撃
   ソフトウェアの未知の脆弱性を狙って仕掛ける攻撃で、防御がで きていないため被害が大きい
7. SQLインジェクション
   データベースに不正な検索要求を送り、データを盗み取る

最近のAIシステムへの攻撃としては上記に加え、学習データに不正なものを送り込んで誤動作を誘発させる“ポイズニング攻撃”、AIに不正指示をして意図しない動作を引き起こす“プロンプト・インジェクション”など新種の攻撃が増え続けています。そのため未知の攻撃にも耐性のある防御の仕組みづくりがゼロトラスト環境には求められます。

ゼロトラストセキュリティ

昨今、複雑化したシステム構成においてセキュリティ系全体の保全を考えるにあたり、サイバー・セキュリティの比重が増してきており、様々な悪意のある攻撃に対する対応策として、ゼロトラストセキュリティの考え方が企業における脅威に向き合う基本姿勢になってきました。　経営者も、セキュリティ担当技術者に任せきりにするのではなく、その新しい概念を網羅的に把握し、リーダーシップを発揮してサイバー・セキュリティ強化へ舵を切る必要があります。

次回は、ゼロトラストセキュリティ基本対策について詳しく見ていこうと思います。