クラウドへの侵害は避けられない？　セキュリティリスクや侵害後の回復力を阻むもの

　ビジネスにおいてクラウド活用のメリットは大きいが、同時に存在するリスクも小さくない。このリスクは、ワークロードとデータが従来オンプレミス環境とクラウド環境で重複しているといったシステム的な問題から、外部からの攻撃、内部の設定ミスなど多岐にわたる。また、侵害が発生した場合の影響も大きい。今回は、クラウドにおけるリスクと侵害を受けた場合の影響について紹介する。

企業が考えるクラウド利用における脅威

　前回の記事でクラウドサービスの利用における脅威について紹介したが、企業はどのように考えているのだろうか。今回も、まずはイルミオが公開したグローバル調査レポート「Cloud Security Index: Redefine Cloud Security with Zero Trust Segmentation（クラウド・セキュリティ・インデックス2023：ゼロトラスト・セグメンテーションでクラウドセキュリティを刷新）」から抜粋する。

　調査では、対象となった企業の全て（100％）がクラウドサービスを利用していた。その利用範囲はさまざまだが、89％の企業が自社サービスの大部分または全てをクラウドで運用している。また、38％が自社を「完全にクラウドネイティブ」と表現しており、このことから、98％の企業が機密データをクラウドに保存しているという結果も納得できる。

　98％の企業がクラウド上に財務情報、業務データ、顧客や従業員の個人を特定できる情報（PII）などを保存しており、89％の企業が最も価値の高いアプリケーションをクラウドで運用していると回答している。これらのことから、サイバー犯罪者がクラウド環境を狙うことは当然だろう。

　企業のITセキュリティの意思決定者のほとんどは、自社のクラウドセキュリティ体制が脅威にさらされていることを認識している。ただし、地域によって認識が異なることも明らかになっている。例えば、「自社のクラウドセキュリティのリスクや、リスクにさらされている資産の割合を理解している」という問いに対し、米国は55％だが、オーストラリアでは39％であった。

　さらに掘り下げると、クラウドの回復力に対する3大の脅威とは、「ワークロードとデータの従来の境界（オンプレミス、クラウド、仮想など）が重複していること」（43％）、「クラウドプロバイダーとベンダー間の責任分担が理解されていないこと」（41％）、「不正アクセスを目的としたソーシャルエンジニアリングに関する懸念」（36％）であることが明らかになった。

　このような脅威や、クラウドのワークロードが設定ミスひとつでインターネットに公開されてしまうという現実的なリスクを考えると、このような信頼できない環境でも安全な生産性を実現するセキュリティ戦略の採用が必須であり、それが「ゼロトラスト」の考え方だ。ゼロトラストの考え方による対策については、次回に詳しく解説する。