タグ: #クラウド

Security NEWS TOPに戻る
バックナンバー TOPに戻る

サイバー攻撃の高度化・巧妙化が進む中、「ゼロトラスト」は企業の情報資産を守る新たなセキュリティ戦略として注目を集めています。本記事では、ゼロトラストの基本概念から導入メリット、成功事例、よくある課題とその解決策、導入の進め方までをわかりやすく解説。さらに、導入効果を最大化するためのおすすめ診断サービスもご紹介します。失敗しないゼロトラスト導入を目指す方は必見です。

はじめに

従来の境界型セキュリティでは防ぎきれないサイバー攻撃が増加する中、企業の情報資産を守る新たなアプローチとして「ゼロトラスト」が注目されています。ゼロトラストは「守るべき情報資産に対するあらゆるアクセスを信頼せず、すべて検証する」という原則に基づき、すべてのアクセスを検証・制御し、最小限の権限だけを与えることで内部・外部の脅威から組織を守るセキュリティモデルです。

ゼロトラスト導入のメリット

ゼロトラストを導入することで得られる主なメリットは以下の通りです。

• サイバー攻撃リスクの低減
  すべてのユーザーやデバイスを都度認証するため、不正アクセスや情報漏洩のリスクを大幅に減らせます。
• クラウド・リモートワーク対応の強化
  社内外問わず安全なアクセス環境を構築でき、テレワークやクラウド活用が進む現代の働き方に最適です。
• 適切なアクセス権限管理と運用
  最小権限の原則により、不要なアクセス権を排除し、万が一の被害範囲も最小限に抑えられます。
• コンプライアンス対応の強化
  アクセス履歴や認証の記録が残るため、各種規制や監査にも対応しやすくなります。

ゼロトラスト導入における課題と段階的な進め方

ゼロトラストは単なる技術導入ではなく、企業のセキュリティパラダイムの転換を意味します。IPAの導入指南書では、まず現状評価と戦略策定から始め、資産の棚卸しやセキュリティギャップの特定、経営層の支持獲得を行うことが重要とされています。

セキュリティギャップの例：

• 古いOSのまま運用されている端末の存在
• 重要な業務システムに対して多要素認証が導入されていない
• 誰がどのシステムにアクセスできるかの管理が不十分

こうしたギャップを洗い出すことで、優先的に対処すべき課題が明確になります。

次に、ID管理基盤の構築として多要素認証やシングルサインオン、特権アクセス管理の強化を段階的に実施します。さらに、クラウド利用の増加に伴い、クラウド環境の適切なセキュリティ設定も欠かせません。クラウドサービスの利用率は70％を超えていますが、約3割の企業がクラウド起因のセキュリティインシデントを懸念しており、専門家による設定診断が求められています。

導入成功事例：ゼロトラストで業務とセキュリティを両立

事例1：大手製造業A社
クラウドサービスの利用拡大とテレワーク推進により、従来のVPNだけではセキュリティリスクが高まっていました。A社はゼロトラストネットワークアクセス（ZTNA）を導入し、従業員の端末認証や多要素認証（MFA）を徹底。加えて、クラウド環境のセキュリティ設定診断も実施したことで、リモートアクセスの安全性を大幅に向上させました。

導入のポイント：
・既存の社内システムと段階的に連携
・社内教育と啓発活動も並行して実施
・定期的な脆弱性診断でリスクを可視化

事例2：医療系サービスB社
個人情報を多く扱うB社では、ゼロトラストの導入により、アクセス権限の細分化とログ監視を強化。クラウドセキュリティ設定診断も活用し、外部からの不正アクセスや内部不正のリスクを大幅に低減しました。

導入のポイント：
・多要素認証の全社導入
・クラウド環境の設定ミスを専門家が診断
・定期的な保守サービスでセキュリティレベルを維持

失敗しないゼロトラスト導入の進め方

ゼロトラストは一度にすべてを切り替えるのではなく、段階的に進めることが成功のカギです。

STEP1：現状把握と目標設定
まずは自社のIT資産・業務フローを棚卸しし、どこにリスクや課題があるかを洗い出します。経営層を巻き込んだ目標設定が重要です。

STEP2：ID管理・認証基盤の強化
多要素認証（MFA）やシングルサインオン（SSO）など、ID管理の強化から始めましょう。これがゼロトラストの基盤となります。

STEP3：クラウド・ネットワーク環境のセキュリティ診断
クラウドサービスやネットワーク機器の設定に脆弱性がないか、専門サービスで診断を受けることが推奨されます。

STEP4：段階的な導入と運用改善
重要度の高いシステムから順次ゼロトラスト化を進め、運用しながら改善していくことが成功への近道です。

STEP5：継続的な教育と保守
社員へのセキュリティ教育と、定期的な診断・保守サービスの活用で、最新の脅威にも対応できる体制を維持しましょう。

おすすめの脆弱性診断サービス

ゼロトラスト導入を成功させるには、専門家による診断サービスの活用が有効です。専門家の助言を受けることで、組織が保有するリスクへの具体的な対策を講じ、リスクを最小限に抑えることが可能となります。BBSecの「SQAT®脆弱性診断」は、システムやクラウド環境の脆弱性を高精度で診断し、具体的な改善策を提案します。さらに、脆弱性診断保守サービスやクラウドセキュリティ設定診断により、導入後の運用やクラウド環境の安全性維持にも役立ちます。

サービス詳細

SQAT® 脆弱性診断
システムに潜む脆弱性は、重大な被害につながるリスク要因です。BBSecの「SQAT® 脆弱性診断」は、自動診断と手動診断を組み合わせ、高精度で脆弱性を発見します。診断結果はスピーディーに報告。対応優先度もご提示するため、お客様側での効率的な対策が可能です。また診断後3か月間の再診断やご相談も受け付けており、サイバー保険も付帯しています。

脆弱性診断保守サービス
定期的な診断と診断間のリスク検知を自動化。継続的なセキュリティレベル維持に最適です。

クラウドセキュリティ設定診断
AWS、Azure、GCPなど主要クラウドの設定を専門家が診断し、最適な対策を提案します。

まとめ

ゼロトラスト導入は、企業のセキュリティレベルを飛躍的に高める最良の選択肢です。成功事例のように段階的な導入と定期的な診断サービスの活用で、リスクを最小化しつつ柔軟な働き方やクラウド活用も実現できます。まずは現状の課題を可視化し、信頼できる診断サービスとともに、失敗しないゼロトラスト導入を進めてみてはいかがでしょうか。

【参考情報】

Security NEWS TOPに戻る
バックナンバー TOPに戻る

Security NEWS TOPに戻る
バックナンバー TOPに戻る

クラウドサービスの普及に伴い、セキュリティ対策の重要性が高まっています。本記事では、クラウド利用時に必要な適切なセキュリティ対策について、セキュリティポリシーの策定から、クラウドサービス特有の課題に触れながら解説します。クラウドサービスを安全に活用したい企業や組織のセキュリティ担当者は、クラウドの利点を最大限に活かすための指針としてぜひお役立てください。

クラウド利用時の適切なセキュリティ対策とは

前回記事「事例でみるクラウドサービスのセキュリティ」で述べてきたように、近年、クラウドサービスのセキュリティに関する設定が十分でなかったために、意図せず、クラウドサービスで管理している機密情報を無認証状態で外部に公開してしまい、機密情報を漏洩させてしまった事例が相次いで報告されています。クラウドサービスの設定ミスでセキュリティインシデントが多発している原因の一つとして考えられるのが、クラウドサービスを利用している企業や組織において対応すべき情報セキュリティ対策が曖昧になっていることです。クラウドサービスの利用にあたっては、アクセス制御や権限管理についてユーザ側で対応する必要があり、これらを軽視すると設定ミスが発生し、それが重大なインシデントを引き起こしかねません。設定ミスを起こさないためには、クラウドサービスにおけるセキュリティ設定を確実に確認する必要があります。

セキュリティポリシーの策定と運用

設定ミスを未然に防ぐために、セキュリティポリシーの作成が重要となります。セキュリティポリシーとは、組織が情報資産を保護するために策定するルールやガイドラインの総称です。これには、データの取り扱いやアクセス権の管理、セキュリティ対策の実施方法などが含まれます。セキュリティポリシーは、組織内のすべてのメンバーが遵守すべき基準を定めることで、情報漏洩や不正アクセスなどのリスクを低減します。内容をルール化、明文化することで、クラウドサービスを適切に使用してもらうための具体的なマニュアル、手順書などを作成することが可能となります。

組織のセキュリティ文書は、「基本⽅針」、「対策基準」、「実施⼿順」の構成をとることが多いです。このうち、「基本⽅針」、「対策基準」がポリシーにあたります。「実施手順」はポリシーから作成されるもので、ポリシー自体には含まないのが一般的です。

情報セキュリティ文書の構成

• 基本方針　情報セキュリティに対する組織の基本方針
• 対策基準　実施するための具体的な規則
• 実施手順　マニュアルなど対象者や用途に合わせ必要な手続き

クラウドサービス利用に関する不安

総務省「令和５年通信利用動向調査の結果」によると、国内でクラウドサービスを利用している企業は、いまや8割近くになります。一方で、セキュリティ担当者はクラウドサービスの利用に次のような不安・課題を抱えています。

このような不安や課題を払拭するためには、「ベストプラクティスに基づく適切な設定」「定期的なセキュリティチェック」が必要になります。ベンチマークやベストプラクティスに基づく適切な設定ができていないと、攻撃者に攻撃の隙を与えてしまいます。

クラウドセキュリティの対策方法の一つに、クラウドサービスの設定に関わるベストプラクティス集を利用する方法があります。各クラウドベンダーから公開されており、日本語版も用意されています。CISベンチマークという第三者機関が開発したセキュリティに関するガイドラインもあります。ただし、網羅性が高く項目も多いため、必要な項目を探すには時間がかかる場合もあります。

クラウドサービスが持つ特性

クラウド環境のオンプレミス型とSaaS型のサービスにおけるセキュリティ上の留意点は、主にシステム特性の違いから生じます。オンプレミス型では、ユーザ側が自組織内でインフラやソフトウェアを管理するため、完全なコントロールが可能です。しかし、これは同時にセキュリティ対策の全責任をユーザ側で負うことを意味します。定期的なアップデートやパッチ適用、物理的なセキュリティ確保など、あらゆる面での対策が必要となります。一方、SaaS型では、クラウド事業者がインフラやソフトウェアの管理を行うため、ユーザ側の負担は軽減されますが、アクセス制御や暗号化など対策はユーザ側でも求められます。両者の違いを理解し、適切なセキュリティ対策を講じることが重要です。

また、クラウドサービスは仕様やメニューの更新が必要な場合があるため、定期的に設定の確認が必要になります。クラウドサービスを安心して利用し続けるためには、利用するシステムの特性（スピード感・システム更新頻度・従来のシステムから移行しているかなど）を理解しておくことも重要になります。

セキュリティ設定診断の重要性

クラウドサービスのセキュリティに関する担当者の不安を払拭するのに有効な手段の一つが第三者機関によるセキュリティ設定診断です。適切なセキュリティ設定確認を自組織内ですべて確認するためには人的リソースなどの工数がかかります。セキュリティ設定診断では、自組織が扱う設定項目の確認を自動化し、セキュリティ担当者の負担の軽減につながります。また、第三者機関による網羅的な確認により、クラウドサービス利用時のリスクを可視化することができます。

クラウドサービスに関する設定項目の確認

設定ミスを起こさないためには、クラウドサービスにおけるセキュリティ設定を確実に確認する必要があります。以下の表のような情報を参考に、自組織が扱う設定項目の洗い出しやチェックリストの作成、委託先などとの認識共有を行うことが、設定ミスの予防に役立つでしょう。

設定項目のうち特に重要とされるのはアカウント管理であり、管理者などの特権アカウントについては、多要素認証や複数人でのチェック体制、ログの監視など、厳格な取り組みを行うことが強く推奨されます。

セキュリティガイドラインの紹介

パブリッククラウドにおけるセキュリティ設定の基準に、「CISベンチマーク」があります。CIS（Center for Internet Security）は、米国の複数の政府機関、企業、学術組織らがインターネットセキュリティの標準化に取り組む非営利団体です。OSを含む各種コンポーネントに対するベンチマークを策定しており、有効なセキュリティ評価基準として認識されています。パブリッククラウドにおいては、AWSをはじめ、Azure、GCP対応のCISベンチマークも公表されています。

また、自組織の環境の安全性をより高めていく上で、ツールやガイドラインの活用も有効です。

■クラウドサービス提供者向け
総務省
「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」
■クラウドサービス利用者・提供者向け
IPA
「中小企業の情報セキュリティ対策ガイドライン」付録6：中小企業のためのクラウドサービス安全利用の手引き」
総務省
「クラウドサービス利用・提供における適切な設定のためのガイドライン」
経済産業省
「クラウドセキュリティガイドライン 活用ガイドブック」

まとめ

近年、クラウドサービスの設定ミスによる機密情報漏洩事例が増加しています。この問題の主な原因は、クラウドを利用している企業のセキュリティ対策の不明確さにあります。設定ミスを未然に防ぐために、セキュリティポリシーの策定と運用が重要です。これは組織の情報資産保護のためのルールやガイドラインを定めるものです。クラウドサービスを利用している企業は増加していますが、セキュリティ担当者は様々な不安を抱えています。これらを解消するには、ベストプラクティスに基づく適切な設定と定期的なセキュリティチェックが必要です。クラウド環境には、オンプレミス型とSaaS型があり、それぞれ特性が異なるため、両者の違いを理解し、適切なセキュリティ対策を講じることが重要です。

クラウドサービスの基本的なセキュリティ対策は、従来のオンプレミス環境での対策と同様の方法です。ただし、環境によって管理する内容が異なるため、クラウド環境特有のセキュリティ対策も必要となる点に注意が必要です。クラウドセキュリティの対策のポイントとしては、ベストプラクティスにもとづいた設定の見直しと、第三者機関による定期的なセキュリティチェックを受けることです。自組織において適切な対策を実施し、セキュリティリスクを最小限に抑えましょう。

Security NEWS TOPに戻る
バックナンバー TOPに戻る