クラウド環境を守る！
「AWSセキュア設計ガイド」の整備に向けた取り組みテクニカルレポート

R&D本部DI部 シニアITアーキテクトの熊です。
パブリッククラウド（以下、クラウド）の活用が企業の競争力を左右する中、セキュリティ対策の重要性が一層増しています。クラウドセキュリティインシデントの多くはクラウド利用者の設定ミスや設計不備に起因しており、クラウドにおける安全なシステムの構築方法が重要な課題となります。
本コラムでは、キヤノンITソリューションズ（以下、キヤノンITS）が取り組む「AWSセキュア設計ガイド」の整備を通じて、実践的かつ再現性のあるクラウドセキュリティ対策のあり方を紹介します。クラウド活用における不安を少しでも軽減し、より安心して導入／運用いただくためのヒントとなれば幸いです。

近年、企業のデジタル化が加速する中、クラウドの利用が拡大しています。クラウドはシステム構築／運用の柔軟性やコスト／時間面の効率性を高める一方で、新たなセキュリティリスクをもたらしています。

Cloud Security Alliance（CSA）^※1により2024年公開されている「Top Threats to Cloud Computing 2024」によると、クラウド事業者起因の脅威ランキングは下がり続け、クラウド利用者起因のものが増えてきているとされます。列挙されている11の脅威のうち、「設定ミスと不適切な変更管理」、「アイデンティティとアクセス管理」、「セキュアでないインターフェースAPI」と「クラウドセキュリティアーキテクチャと戦略の欠如」が重要なセキュリティ課題と認識されています。

国内外／業界を問わず、クラウド利用者に起因するインシデントの事例が報告されていますが、この中で特に注目すべきものを紹介します。

クラウドセキュリティインシデントの増加により、従来のセキュリティ対策では十分に対応できない現実が浮き彫りとなり、今や組織にとってクラウドに特化したセキュリティ対策の強化は喫緊の課題となります。

クラウドは、従来のオンプレミスと異なるため、それに対応した新たなセキュリティ対策の考え方が求められています。ここでは、オンプレミスとクラウドの違いに注目して、クラウドセキュリティ対策の考え方を解説します。

クラウドの活用にあたっては「責任共有モデル」について理解しておく必要があります。
責任共有モデルとは、クラウドサービス（例えば、EC2、RDS、S3など）におけるセキュリティと運用において、クラウド事業者とクラウド利用者がそれぞれの責任範囲を定めるものです。
責任共有モデルの基本的な考え方の例を図1に示します。クラウドサービスの種類（IaaS^※2、PaaS^※3、SaaS^※4）によって責任範囲が異なり、昨今では、CaaS^※5、FaaS^※6などの新たな形態が登場しています。これらの多様なクラウドサービスを組み合わせてシステムを構築することが一般的になり、責任分担の構造がより複雑化しています。

クラウドの主な特長である、インターネット経由でのアクセス、共有環境、API操作について、これらがセキュリティ面に与える影響を解説します。

従来のオンプレミスと異なり、クラウドには、以下の特長があります。

クラウドの「動的な性質」に合わせて、継続的なモニタリングとアセスメントが重要です。環境の変化を常に把握し、新たなリスクを迅速に特定する必要があります。自動化されたセキュリティスキャンやリアルタイムの脅威検知の導入が有効です。

クラウドセキュリティは従来のアプローチを見直し、新たな技術や考え方を積極的に取り入れることが成功の鍵となります。常に変化する脅威に対応するため、継続的な学習と適応が求められるのです。

クラウドセキュリティ対策を行う際は、利用するクラウドサービスごとにベストプラクティスを参考にしながら、最適なセキュリティ対策を実施することが一般的です。しかし、世の中の多くのガイドラインは、利用者がクラウドサービスの仕様や設定項目を十分に理解していることを前提としています。また、これらのガイドラインは主に設計原則の提示に重点を置いており、具体的な実装方法まで踏み込んでいないことが特長です。
そこでキヤノンITSでは、技術力の向上と提供するシステムやサービスの品質確保を目指し、キヤノンITSのAWS案件を担当する社員をサポートする「AWSセキュア設計ガイド」の整備に取り組んでいます。その特長は、次の通りです。

このガイドを活用することで、キヤノンITSは、クラウドセキュリティに対する当事者意識が高まり、開発者間の知識共有が促進されます。その結果、一貫性のある高品質なシステム開発が可能となり、さらにお客さまでは、クラウドを利用する際の不安が軽減されます。

クラウドの利用は日々拡大している一方で、さまざまなセキュリティリスクが存在します。
本コラムでは、クラウドセキュリティの現状とオンプレミスからの変化について触れました。クラウドセキュリティ向上に向けて、キヤノンITSは「AWSセキュア設計ガイド」の整備に引き続き取り組みます。次回は、「AWSセキュア設計ガイド」のコンセプトについて、さらに詳しくご紹介します。