ルートユーザーって使っちゃダメなの？――クラウドを始める前に覚えておきたいセキュリティの基礎知識：親子の会話から学ぶクラウドセキュリティ（1）

親子の会話で出てくるような素朴な疑問点から、クラウド環境における情報セキュリティの技術を学習する連載。初回は、クラウドを始める前に覚えておきたいセキュリティの基礎知識について。

クラウドを使ってみたいなあ

　こんな親子の会話が、日常的に聞かれる日も近いのではないでしょうか。

　2020年から小学校でプログラミング教育が必修化となるなど、若年層向けのIT教育が盛んになっています。今や情報セキュリティはITにおいて切り離せない重要なものになりました。ITインフラの運用にも、アプリケーションの開発にも必要です。

　「デジタルネイティブ」とも呼ばれる現代の子どもたちは、日常的に躊躇（ちゅうちょ）なくITに触れています。紙とハサミで工作するのと同じように、マウスとキーボードでアプリケーションを作るような時代です。何ならスマホだけで作っているかもしれません。しかし、それらのセキュリティ対策は十分でしょうか？

　一方で、それを教えるべき大人、ビジネスや社会の基盤を支える社会人のセキュリティ知識はどうでしょうか？

　新型コロナウイルス感染症（COVID-19）拡大の影響によりテレワークの導入に本腰が入り、予定していた場合でも、そうでなかった場合でも、クラウドサービスへの移行が進んだことと思います。クラウドサービスの活用は、オンプレミスの場合とはさまざまな点で異なります。一見似たように思えることも多く、思わぬ落とし穴にはまることもあるのではないでしょうか。

　セキュリティも同様で、基本的にはクラウドもオンプレミスの場合と同じですが、細かいところでクラウド特有の注意点があります。

　ハードウェアからネットワークまで全てを自分が管理するオンプレミスと、SaaS、PaaSのように必要な部分だけを利用するクラウド。日々のセキュリティ対策や、いざインシデントが発生した場合の対応について、どのような差があるのでしょうか？

　本記事では、ITを扱う全ての人に身に付けてほしい情報セキュリティの知識を、クラウド環境における実践的な環境を題材に学習していきます。親子の会話で出てくるような素朴な疑問点を挙げることで、大人から子どもまで一緒に学習できればと思っています。また、親から子どもへの、もしくは情シスから従業員への、セキュリティ指導の参考になれば幸いです。

セキュリティって何を考えればいいの？

　セキュリティ対策を考える上で基本となる観点は「機密性」「完全性」「可用性」の3つです。常に念頭に置く必要があります。

　まずは、保護対象とする情報資産を決定します。次に、それらの情報資産の機密性・完全性・可用性を脅かす脅威を特定します。そしてその脅威に対する現状の対策状況、脆弱（ぜいじゃく）性の有無、発生頻度、脅威が顕在化した場合の影響を見積もり、対策の内容やコスト、優先順位を決定します。

　また、ここで把握した情報資産は、継続的に資産管理と構成／変更管理を行っていくことが重要です。常に所持している資産を全て把握し、増減や変更があった際はそれを記録して最新の状態にしていく必要があります。

　それを行っておかないと、適切で継続的なセキュリティ対策が難しくなります。例えば、「メーカーから新しいセキュリティパッチが公開されたのに、適用すべき機器を把握していないので適用していなかった。その結果、サイバー攻撃の被害を受けてしまった」「設定ミスで、クラウドストレージ上のデータが全世界に公開されていた。その結果、情報漏えいが起きてしまった」といった状況になる危険をはらんでいるわけです。さらに、問題が起こった場合の調査、原因究明も難しくなり、対外的な信用を失う原因となり得ます。

クラウドって自分のサーバと何が違うの？

　セキュリティ対策を考える上で、顧客とベンダーの責任分界点を考えることはとても重要です。なぜなら、セキュリティが話題の中心となるのは、サービスが順調に動いている時ではなく、主に「サイバー攻撃を受けた」「情報が漏えいした」といった、問題が発生した時だからです。

　クラウドを利用する場合、ざっくりいうと、インフラはクラウドベンダー側、データは利用者側が管理することになっていることが多いと思います。

　インフラ部分のセキュリティ管理をクラウドベンダー側に任せられるのは大きなメリットです。クラウドベンダー全体で統制されているセキュリティレベルのインフラ管理を享受できます。そのため、利用者はインフラ管理に必要なノウハウを蓄積したり、インフラの運用に手を割いたりする必要がなくなります。

　クラウドサービスにはSaaS、PaaS、IaaSなど、いろいろなサービスの提供形態があります。具体的にどこまでをベンダー側の責任とし、どこから利用者側の責任とするかは、提供形態によって異なります。

　自分の責任範囲外のデータやログは、基本的に扱えないことが多いので、「ここのログは見たい」「ここのデータは自分で管理したい」などの要件がある場合は、サービス形態を選定する際に考慮する必要があります。

何となく、AWSが使いたいなあ