クラウドセキュリティ必須戦略：リスク・脅威・脆弱性を最小化する34の実践的アプローチ

あなたのクラウド内のデータがバックアップされ、脅威から安全だと考えていませんか？そう甘く考えてはいけません。

2018年に記録的な数のサイバーセキュリティ攻撃が発生したことからも明らかなように、すべてのデータが脅威にさらされています。

誰もが「自分の身には降りかからない」と考えがちです。現実は、どのネットワークもハッカーから100%安全ではありません。

カスペルスキー研究所によると、ランサムウェアは2018年に250%以上増加し、非常に脅威的な方向にトレンドしています。ここで紹介するアドバイスに従うことは、クラウドでの大規模データ消失の壊滅的な影響から身を守る究極の保険となります。

クラウドでのデータ保護をどう始めるか？クラウドでデータを保護するベストプラクティスは？クラウドコンピューティングはどれほど安全か？

あなたのセキュリティ戦略をジャンプスタートさせるため、専門家たちにクラウドセキュリティのリスクと脅威についてのアドバイスを共有してもらいました。

専門家からのクラウド保護とセキュリティ脅威に関する重要なポイント

• 防御が侵害されるのは時間の問題だと受け入れ、それに備えて計画する
• クラウド内のデータがバックアップされていると決めつけない
• クラウドアプリケーションへのアクセスに二要素認証とIPロケーション制御を有効にする
• 暗号化を活用する。保存データ（データアットレスト）を暗号化する
• 人的要素はセキュリティへの最大の脅威の1つである
• 堅牢な変更管理プロセスを実装し、週次パッチ管理サイクルを確立する
• クラウドデータが破壊されたりランサムウェアで人質に取られたりした場合に備え、オフラインのデータコピーを維持する
• 24時間365日のセキュリティ監視サービスと契約する
• セキュリティインシデント対応計画を策定する
• WAF（Webアプリケーションファイアウォール）を含む高度なファイアウォール技術を活用する
• アプリケーションサービス、レイヤリング、マイクロセグメンテーションを活用する

1. クラウドでの可用性を維持する

Dustin Albertson、Veeam シニアクラウドソリューションアーキテクト

多くの人がクラウドベースのセキュリティについて考えるとき、ネットワーキング、ファイアウォール、エンドポイントセキュリティなどを思い浮かべます。Amazonはクラウドセキュリティを以下のように定義しています：

クラウドでのセキュリティは、施設とハードウェアの維持コストがないことを除けば、オンプレミスデータセンターでのセキュリティとよく似ています。クラウドでは、物理サーバーやストレージデバイスを管理する必要がありません。代わりに、ソフトウェアベースのセキュリティツールを使用して、クラウドリソースへの情報の出入りを監視・保護します。

しかし、しばしば見落とされるリスクの1つが「可用性の維持」です。ここで言う可用性とは、単なる地理的冗長性やハードウェア冗長性以上のものです。データとアプリケーションがカバーされていることを確実にすることを指します。クラウドは、すべての心配が消える魔法の場所ではありません。むしろ、すべての不安がより簡単に、より安く増幅される場所です。堅牢なデータ保護戦略が鍵となります。VeeamはしばしばPeter Kroghが提唱した「3-2-1ルール」を説いてきました。

このルールでは、データの3つのコピーを持ち、2つの異なるメディアに保存し、1つをオフサイトに保管することが述べられています。その1つのオフサイトは通常「クラウド」ですが、ではすでにクラウドにいる場合はどうなるのでしょうか？

ここがほとんどのクラウド問題が発生する場所です。すでにクラウドにいるとき、人々はデータを同じクラウド内に保存しがちです。だからこそ、クラウドへ移行する際に詳細な戦略を持つことが重要なのです。Veeamエージェントを活用してクラウドワークロードを保護し、Cloud Connectでバックアップをオフサイトに送り、同じデータセンターやクラウドの外部で可用性を維持することが重要です。データ保護はプロバイダーの仕事だと決めつけないでください。それはプロバイダーの仕事ではありません。

2. クラウド移行がセキュリティコントロールの進化を追い越している

Salvatore Stolfo、Allure Security CTO

ESGによる新しい調査によると、75%の組織が、パブリッククラウドに保存されている機密データの少なくとも20%が不十分に保護されていると回答しています。また、回答者の81%が、オンプレミスのデータセキュリティの方がパブリッククラウドのデータセキュリティより成熟していると考えています。

しかし、企業は組織のメリットを最大化するため、これまで以上に速いペースでクラウドへ移行しています。LogicMonitorのCloud Vision 2020レポートによると、2020年までに推定83%のビジネスワークロードがクラウドに移行すると予測されています。ここにあるのは、組織が生産性向上のために機密データをクラウドへ移行するスピードが、そのデータを保護するためのセキュリティコントロールの進化スピードを上回っている、ますます緊急性の高い状況です。

企業は、ユーザーの権限レベルに基づいてクラウド共有内のデータアクセスを制御するソリューションを見つける必要がありますが、同時に、そのデータが通常とは異なる、または疑わしい方法でアクセスされた際に警告を受け取る手段も必要です。たとえそれが信頼できるユーザーに見える場合でもです。

多くのハッカーと内部漏洩は、正規の盗まれた認証情報を持つ悪意ある行為者によるもので、彼らはクラウド共有内を自由に移動し、盗む価値のあるデータを探します。欺瞞ドキュメント（デコイ）も、これを検知する優れたツールになり得ます。デコイは、クラウドセキュリティ侵害の初期段階で異常な行動をセキュリティチームに警告し、サイバー窃盗犯を騙して、価値のあるものを盗んだと思わせることができます。実際には、非常に説得力のある偽のドキュメントです。そして、クラウド共有から持ち出されたドキュメントを制御し続けるという問題があります。

ここが多くのセキュリティソリューションが機能しなくなるポイントです。一度ファイルがクラウドリポジトリからダウンロードされると、それがどこに移動し、誰が見たかをどう追跡できるでしょうか？ジオフェンシングやテレメトリーなどのテクノロジーへの更なる投資が必要です。

3. セキュリティプランでクラウドコンピューティングの脅威と脆弱性を最小化する

Nic O'Donovan、VMware ソリューションアーキテクト兼クラウドスペシャリスト

ハイブリッドクラウドは、導入速度、拡張性、コスト削減がビジネスにとってより魅力的になっているため、エンタープライズでの人気が高まり続けています。インフラストラクチャが急速にクラウドへ進化し続けており、セキュリティも同様のペースで発展しなければなりません。エンタープライズにとって、クラウドでのセキュリティに信頼できるアプローチを持つクラウドサービスプロバイダーと連携することが不可欠です。

これは、データを安全に保つためのセキュリティプランを理解し実装するために、あなたのクラウドプロバイダーとのパートナーシップがますます重要になっていることを意味します。

マルチファクタ認証、データ暗号化、必要なコンプライアンスレベルなどのセキュリティコントロールは、セキュリティプラン構築時に注力すべき領域です。

4. 最大の脆弱性について学び続けることをやめない

Isacc Kohen、Teramind CEO

ますます多くの企業がクラウドの犠牲になっており、それはクラウドの誤設定と従業員の過失に関係しています。

1. データセキュリティへの最大の脅威はあなたの従業員です。過失によるものであれ悪意によるものであれ、従業員はマルウェア感染とデータ消失の主な理由の1つです。マルウェア攻撃とフィッシングメールがニュースで常用語になっている理由は、ハッカーがデータにアクセスする「簡単な」方法だからです。ソーシャルエンジニアリングを通じて、悪意ある犯罪者は従業員を「騙し」、クリティカルなビジネスおよびエンタープライズデータシステムのパスワードと認証情報を渡させます。防止策：効果的な従業員トレーニングプログラムと、システムを積極的にプローブする従業員監視
2. 学び続けることをやめないでください。継続的に変化し適応する業界において、最新のトレンドと脆弱性について常にアップデートされていることは重要です。例えばIoT（モノのインターネット）では、Wi-Fi接続の増加とオンラインデータストレージサービスにおけるデータ保護において、まだ「氷山の一角」しか見えていません。この話にはさらに発展があり、将来的に中小企業に直接的な影響を与えるでしょう。
3. ストレージの仕組みを調査・理解し、教育する。クラウドを通じてデータが露出する話を耳にしますが、多くはクラウド設定の誤設定が原因です。従業員はアプリケーションのセキュリティの性質を理解し、設定が簡単に改ざんされ、データを外部に露出させる「オン」状態に切り替わる可能性があることを知る必要があります。トレーニングプログラムを通じてセキュリティ意識を教育してください。
4. アクセスポイントを制限する。これを緩和する簡単な方法は、アクセスポイントを制限することです。クラウド露出の一般的なミスは、アクセス権を持つ従業員が誤ってグローバル権限を有効にし、データがオープン接続に晒されることです。これを緩和するには、誰と何がデータクラウドにアクセスできるか（すべてのアクセスポイント）を理解し、それらの接続を徹底的に監視してください。
5. システムを監視する。進歩的かつ徹底的に。クラウド上のデータの長期的な保護には、ユーザー分析と監視プラットフォームを使用して、侵害をより早く検知してください。監視とユーザー分析はデータを効率化し、ユーザー（従業員とコンピューター）の標準的な「プロファイル」を作成します。これらの分析は統合され、管理者が検知ソフトウェアで指定した最も重要なデータ預かりを追跡します。特定のクラウドデータが改ざん、移動、侵害されたとき、システムは「キャラクターの変化」を示し、即座に管理者に「ピン」を送ります。

5. ハイブリッドソリューションを検討する

Michael V.N. Hall、Turbot オペレーションディレクター

クラウドセキュリティについて理解すべき重要なことがいくつかあります：

1. パスワードは力です。全パスワード侵害の80%は、多要素認証で防止可能でした。テキストメッセージやメールで個人の身元を確認することで、誰かがあなたの詳細にアクセスしようとしたときに通知を受け取れます。現在最大の要因の1つは弱体化した認証情報です。つまり、パスワード、パスキー、パスフレーズがフィッシング詐欺、キーロギング、ブルートフォース攻撃で盗まれています。パスフレーズは新しいパスワードです。ランダムで覚えやすいパスフレーズは、より長く複雑な傾向があるため、パスワードより優れています。"MyDonkeysEatCheese47"は複雑なパスフレーズで、あなたがロバの飼い主やチーズ製造者でない限り、あなたとは無関係です。大文字小文字と全範囲の句読点を活用してください。
2. ホスティングプロバイダーと連絡を取り合ってください。適切なホスティングプロバイダーを選択してください。高いセキュリティ基準を備えた評判の良い会社です。定期的なコミュニケーションにより、変更や発生しつつある問題を把握し続けられます。
3. ハイブリッドソリューションを検討してください。ハイブリッドソリューションでは、クリティカルなデータを社内の安全なスタティックシステムに保存しながら、同時に優先度の低いデータをクラウドのより高い汎用性に開放できます。

6. クラウドセキュリティシステムの仕組みを学ぶ

Tom DeSot、Digital Defense, Inc. CIO

企業は、クラウドコンピューティングのセキュリティリスクとメリットを評価する必要があります。自社のデータセンターでシステムを運用することから、クラウドへの大きな飛躍をする前に、クラウドへ移行することが自分たちとシステムのセキュリティにとって何を意味するかを理解するための教育が必要です。

あまりにも多くの場合、企業が計画もなしに、自社システムのセキュリティについての知識もなしにクラウドへ移行しているのを見てきました。彼らのソフトウェアが、他の顧客と共有されるシステムで「生活」することを認識する必要があります。そのため、他の顧客のプラットフォームで侵害が発生した場合、攻撃者が彼らのシステムも侵害する可能性があります。

同様に、クラウド顧客は自分のデータがどこに保存されるかを理解する必要があります。米国のみなのか、プロバイダーが異なる大陸の他のシステムにレプリケートするのか。これは、情報がPIIやHIPAA、その他の規制法令で保護されるような機密情報である場合、実質的な問題を引き起こす可能性があります。最後に、クラウド顧客は、クラウドプロバイダーが遵守するサービスレベル契約（SLA）に細心の注意を払い、それが自社のSLAを反映していることを確認する必要があります。

クラウドへの移行は、コンピューティングリソースを解放し、アップタイムを確保する素晴らしい方法ですが、私は常にクライアントに、小さなステップで移行するよう助言しています。そうすれば、「クラウドにいる」ことの意味を理解する時間を得られます。

7. クラウド保護におけるデューデリジェンス（適正調査）を実行する

Ken Stasiak、SecureState CEO

クラウドに投入するデータのタイプと、そのデータを取り巻く義務付けられたセキュリティ要件を理解してください。

ビジネスがクラウドに保存しようとするデータのタイプを把握したら、さまざまなクラウドプロバイダーを評価する際に必要なデューデリジェンスのレベルについて、確固たる理解を持つべきです。例えば、保護対象医療情報（PHI）をホストするクラウドサービスプロバイダーを選ぶ場合、データをクラウドに移行する前に、セキュリティ標準とHIPAAコンプライアンスの評価を要求すべきです。

セキュリティを重視する組織にとって、クラウドサービスプロバイダーが適しているかどうかを評価する際の良い質問には以下があります：定期的なSOC監査と評価を実施しているか？悪意ある活動からどう保護しているか？全従業員のバックグラウンドチェックを実施しているか？従業員監視、アクセス決定、監査証跡のためにどのタイプのシステムを導入しているか？

8. アクセス制御とセキュリティ権限を設定する

Michael R. Durante、Tie National, LLC. 社長

クラウドは、ビジネスのニーズに合わせてスケーリングする柔軟性と、ロケーション間のコラボレーション増加のために、コンピューティングにおける成長する力ですが、比較的制御外の脆弱性を露出させる可能性という点でセキュリティ懸念も引き起こします。

例えば、ユーザーが定期的にセキュリティパッチとアップデートを適用しない場合、BYODはセキュアにするのが課題となります。私が最も推奨するのは、利用可能なアクセス制御を最大限に活用することです。

企業は、従業員の職務に関連するアクションのみを許可するよう、セキュリティ権限を制限するためにアクセス制御を活用すべきです。アクセスを制限することで、クリティカルなファイルがそれらを必要とするスタッフのみに利用可能となり、間違った当事者への露出リスクを減らせます。この制御により、雇用終了時に即座にアクセス権を取り消し、従業員がリモートからアクセスを試みても、機密コンテンツを守ることが容易になります。

9. サプライヤー/ベンダーの来歴とプロセスを理解する

Paul Evans、Redstor CEO

クラウドテクノロジーの活用により、あらゆる規模のビジネスが、リモートワークの増加、高可用性、より高い柔軟性により、パフォーマンス改善と効率化を推進できるようになりました。

しかし、導入される異種システムの数が増え、選択肢となるクラウドサプライヤーとソフトウェアが多数ある中で、データセキュリティの制御を維持することは困難になり得ます。クラウドサービスを導入しようとするとき、そのサービスを提供するサプライヤー/ベンダーの来歴とプロセスを徹底的に理解することが不可欠です。業界標準のセキュリティ認証は、良い出発点です。ISO 27001認証を持つサプライヤーは、国際的な情報セキュリティ管理標準を満たしていることを証明しており、認証を持たないサプライヤーよりも高く評価されるべきです。

あなたのデータが地理的にどこに行くのか、誰がアクセスできるのか、暗号化されるのかを完全に理解することが、データを保護する鍵です。また、データ侵害や損失、ダウンタイム発生時のサプライヤーのプロセスを知ることも重要です。許容可能なダウンタイムは、契約されたサービスレベル契約（SLA）に明記され、財政的裏付けによって安心感を提供すべきです。

クラウドプラットフォームの活用を検討している組織には、クラウドセキュリティ脅威として、誰がデータにアクセスできるか？データはどこに保存されるか？私のデータは暗号化されているか？といった点に注意すべきですが、大部分ではクラウドプラットフォームがこれらの質問に答え、高いレベルのセキュリティを持っています。クラウドを利用する組織は、データに影響するデータ保護法と規制を認識し、クラウドプロバイダーとの契約合意を正確に理解する必要があります。データはどう保護されるか？多くの規制と業界標準が、機密データの保存のベストプラクティスについてガイダンスを提供します。

非セキュアまたは非暗号化のデータコピーを保持すると、リスクが高まります。クラウドサービスのセキュリティレベルを把握することは不可欠です。

保持ポリシーはどうなっているか？バックアップはあるか？クラウドプラットフォームは幅広い用途を持ち、これが問題を引き起こすこともあれば防ぐこともあります。データがクラウドプラットフォームに保存されている場合、ランサムウェアや破損などのクラウドセキュリティリスクに対して脆弱になり得るため、データの複数のコピーが保持またはバックアップされていることを確認することで、これを防止できます。これらのプロセスが実行されたことを保証することは、組織のクラウドプラットフォームのセキュリティレベルを向上させ、リスクがどこから来る可能性があるかを理解することにつながります。

10. 強力なパスワードと多要素認証を使用する

Fred Reck、InnoTek Computer Consulting

すべてのクラウドユーザーに強力なパスワードを要求し、できれば多要素認証を使用してください。

2017年Verizonデータ侵害調査レポートによると、ハッキング関連侵害の81%が、盗まれたおよび/または弱いパスワードを利用していました。クラウドの最も重要なメリットの1つは、世界中のあらゆるデバイスから会社データにアクセスできることです。裏を返せば、セキュリティの観点からは、ユーザー名とパスワードを持つ誰でも（いわゆる「悪いやつら」）が、ビジネスデータに潜在的にアクセスできることを意味します。ユーザーに強力なパスワードの作成を強制することは、ハッカーがブルートフォースアタック（複数のランダム文字からパスワードを推測する）を使用することを極めて困難にします。

安全なパスワードに加え、多くのクラウドサービスは現在、従業員の携帯電話を多要素戦略におけるセカンダリの物理的セキュリティ認証ピースとして利用でき、これを組織が導入しやすく、手頃にしています。ユーザーはパスワードを知っているだけでなく、物理的に携帯電話にアクセスする必要があります。

最後に、所定の回数のログイン失敗後にユーザーアカウントをロックする機能の導入を検討してください。

11. IPロケーションロックダウンを有効にする

Chris Byrne、Sensorpro 共同創業者兼CEO

企業は、クラウドアプリケーションへのアクセスに二要素認証とIPロケーションロックダウンを有効にすべきです。

2FAでは、通常のメール/パスワードの組み合わせに、テキストメッセージによる別のチャレンジを追加します。IPロックダウンでは、オフィスのIPやリモートワーカーのIPからのアクセスを制限できます。プラットフォームがこれをサポートしていない場合、プロバイダーに有効化を依頼することを検討してください。

実際のクラウドプラットフォームプロビジョニングに関して、保存データの暗号化オプションを提供してください。いずれ、これはHTTPS（SSL/TLS）と同じように普及するでしょう。万が一、データが間違った手に渡った場合、例えばデバイスが盗まれたり電車に置き忘れられたりした場合、保存データの暗号化は、正しい暗号化キーなしでは誰もデータにアクセスできないようにする最後の防衛線となります。盗まれても使用できません。これは、例えば最近のEquifax侵害を緩和していたでしょう。

12. VPNを活用したクラウドストレージセキュリティソリューション

Eric Schlissel、GeekTek 社長兼CEO

クラウドに接続する際は常にVPN（仮想プライベートネットワーク）を使用してください。VPNは、Netflix USAやBBC Playerなど、地理的ブロックで視聴できないストリーミングサービスにアクセスする視聴者によって、Webトラフィックを半匿名化するためによく使用されます。また、クラウドに接続するあらゆるデバイスに不可欠なセキュリティレイヤーを提供します。VPNなしでは、パケットスニファーを持つ潜在的な侵入者が、どのメンバーがクラウドアカウントにアクセスしているかを特定し、潜在的にログイン認証情報を取得できる可能性があります。

保存データを暗号化してください。何らかの理由でユーザーアカウントがパブリック、プライベート、またはハイブリッドクラウドで侵害された場合、平文データと暗号化データの差は、数十万ドル単位で測れます。具体的には、保険会社Hiscoxが実施した調査の回答者らが報告したサイバー攻撃の平均コスト229,000ドルです。最近の出来事が示すように、このデータの暗号化と復号化のプロセスは、その代替案を耐えるよりはるかに苦痛が少ないでしょう。

すべてのクラウドベースアカウントで二要素認証とシングルサインオンを使用してください。Google、Facebook、PayPalはすべて二要素認証を利用しており、ユーザーがサインイン前にフォームに一意のソフトウェア生成コードを入力することを要求します。あなたのビジネスが彼らの地位を目指すかどうかに関わらず、彼らのセキュリティ戦略のこの核心部分を模倣でき、また模倣すべきです。シングルサインオンはアクセス管理を簡素化し、1組のユーザー認証情報で従業員がすべてのアカウントにサインインできます。これにより、システム管理者は忘れられて後で元従業員によって再アクセスされる可能性のある複数のアカウントではなく、1つのアカウントのみを削除すれば済みます。

13. 人的要素のリスクに警戒する

Steven J.J. Weisman、弁護士、ベントレー大学教授

シェイクスピアを言い換えれば、過ちはクラウドにあるのではなく、我々にあります。

機密データをクラウドに保存することは、多くのレベルでデータセキュリティの良い選択肢です。しかし、テクノロジーがどれほど安全であっても、人的要素は常にサイバー犯罪者によって悪用される潜在的なセキュリティ危険を提示します。過去の多くのクラウドセキュリティ侵害は、クラウドテクノロジーのセキュリティ欠陥ではなく、クラウドの個人ユーザーの行動によるものであることが証明されています。

彼らは、スピアフィッシングメール、電話、テキストメッセージを通じて、クラウドアカウントにアクセスするために必要な重要な情報を渡すよう説得するサイバー犯罪者に、知らず知らずのうちにユーザー名とパスワードを提供してしまいました。

この問題を回避する最善の方法は、スピアフィッシングを認識し防止するための従業員教育の改善に加え、クラウドアカウントへのアクセスが試みられるたびに従業員の携帯電話にワンタイムコードを送信するなどの二要素認証を使用することです。

14. クラウドベンダーからのデータ取得を保証する

Bob Herman、IT Tropolis 共同創業者兼社長

1. 二要素認証はアカウント詐欺から保護します。多くのユーザーが、悪意ある行為者が被害者を偽のウェブサイトでログイン情報を入力させるメールフィッシングの犠牲になります。悪意ある行為者は被害者として本物のサイトにログインし、サイトアプリケーションとユーザーアクセスに応じてあらゆる損害を与えられます。2FAでは、アプリケーションにログインする際に第2のコード入力が必須になります。通常、ユーザーの電話に送られるコードです。
2. あなたがデータを所有し、クラウドベンダーとの取引をやめたい場合にデータを取得できることを保証することは不可欠です。正当なクラウドベンダーの多くは、顧客がデータを所有することを利用規約で明記すべきです。次に、データを何らかの使用可能な形式で抽出またはエクスポートできるか、または要請があればクラウドベンダーが提供してくれるかを確認する必要があります。

15. リアルタイムかつ継続的な監視

Sam Bisbee、Threat Stack 最高セキュリティ責任者

1. リアルタイムセキュリティオブザーバビリティと継続的システム監視の構築
   あらゆるデータ環境で監視は不可欠ですが、モダンなクラウド環境、特にSaaS環境では変更がより頻繁に発生し、その影響が即座に及ぶことを強調することが重要です。
   結果は劇的になる可能性があります。弾力的インフラストラクチャの性質上、誰かの偶発的または悪意ある行動が、開発、本番、テストシステムのセキュリティをいつでも深刻に影響する可能性があります。
   リアルタイムセキュリティオブザーバビリティと継続的監視なしでモダンインフラストラクチャを運用することは、目隠し飛行のようなものです。あなたの環境で何が起きているかの洞察がなく、問題発生時に即座に緩和を開始する方法がありません。アプリケーションとホストベースのアクセスを監視し、アプリケーションの状態を時間経過とともに理解する必要があります。
   
   • 手動ユーザーアクションのシステム監視。これは現在のDevOpsの世界では特に重要で、エンジニアが本番環境へのアクセスを持つ可能性が高いためです。手動タスクでシステムを管理している可能性があるため、自動化に適したプロセスを特定する機会として活用してください。
   • アプリケーションパフォーマンスの経時的追跡による異常検知。「誰が、何を、いつやったか」を理解することは、環境で発生している変化を調査する上で基本です。
2. 設定のセットアップと継続的監視
   Amazon Direct Connectのようなクラウド環境でのセキュリティ設定は複雑で、システムとデータへのアクセスを意図せず世界中に公開してしまうことは容易です。これは、最近のS3リークに関するすべての話で証明されています。
   SaaS環境のような変化しやすい（時に不安定な）性質を考慮すると、サービスが継続的にリアルタイムで作成・削除される中、サービスを適切に設定せず、設定を監視しないことはセキュリティを危険にさらします。最終的に、これはデータを保護するという顧客の信頼を損なうことになります。
   確立されたベースラインに対して設定を行い、継続的に監視することで、サービス設定時の問題を回避し、設定問題が発生したときにより迅速に検知・対応できます。
3. セキュリティと運用の優先順位をクラウドセキュリティソリューションとインフラストラクチャで整合させる
   良いセキュリティは適切な運用と区別がつきません。これらのチームが組織内で対立することはよくあります。セキュリティは、ビジネスを遅らせるものと見なされることがあります。DevとOpsチームの活動を過度に監視することに焦点を当てすぎています。しかし、セキュリティはビジネスイネーブラーになり得ます。
   セキュリティは、ネットワーク管理、ユーザーアクセス、インフラストラクチャ設定、アプリケーション層全体の脆弱性管理において、自動化テストツール、セキュリティコントロール、監視を組織全体で活用すべきです。これにより、攻撃対象領域全体のリスクを軽減し、運用可用性を維持しながらビジネスを前進させます。

16. 監査ツールを使用してクラウド内のデータを保護する

Jeremey Vance、US Cloud

1. 監査ツールを使用して、クラウドに何があるか、すべてのユーザーがクラウドで何を使用しているかを把握してください。知らないデータを保護することはできません。
2. ネットワークで実行されているサービスが何かを発見するだけでなく、それらのサービスがどのように、なぜ、誰によって、いつ使用されているかを突き止めてください。
3. その監査プロセスを、ネットワーク監視の定期的な一部にし、単発のイベントにしないでください。さらに、そのための帯域幅がない場合は、US Cloudのような資格のあるサードパーティにその監査ルーチンをアウトソースしてください。

17. ほとんどの侵害は単純な無防備なポイントから始まる

Marcus Turner、Enola Labs チーフアーキテクト兼CTO

クラウドは非常に安全ですが、会社データを安全に保つためには、クラウドを適切に設定することが重要です。

特にAWSの場合、AWS Configがこれを行うために最適なツールです。適切に設定されたAWSは、世界で最も安全なクラウドコンピューティング環境の1つです。しかし、ほとんどのデータ侵害は、ハッカーが複雑なプログラムを使ってクリティカルなデータにアクセスするのではなく、単純な無防備なポイント、手の届きやすい果実が、会社データを脆弱にしています。

最高のクラウドセキュリティがあっても、人的エラーが最もクリティカルなギャップや侵害の原因であることがよくあります。継続的な設定精度を検証するルーチンを持つことは、クラウドで会社データを安全に保つための、最も過小評価され、過小評価されている指標です。

18. クラウドベンダーに重要なセキュリティ質問をする

Brandan Keaveny、Data Ethics LLC 創業者

クラウドベースソリューションへの移行の可能性を検討する際、侵害発生時の適切なサポートが整っていることを確認してください。クラウドベースプロバイダーと契約を結ぶ前に、以下の質問をすることを確認してください：

質問：プロバイダーはサービスを円滑にするために、いくつのサードパーティを利用していますか？
理由： プロセスと文書を、手続き的セーフガードとクラウドベースソリューションとの調整を含めるよう更新する必要があります。また、クラウドベースプロバイダーが提供するセキュリティレベルを明確に理解する必要があります。保存されるデータのプライバシーとセキュリティ要件を満たすために、より高いレベルのセキュリティを追加する必要があるかもしれません。

質問：彼らのシステムで侵害が発生した場合、どのように通知されますか？また、クライアント/顧客への通知を支援してくれますか？
理由： クラウドベースソリューションをデータストレージに追加することは、あなたのデータに適用される通知要件に考慮すべき新しい時間の次元を追加します。これらのタイミング要素は、侵害通知手順とプライバシーポリシーに組み込まれるべきです。

ローカルホスト型ソリューションからクラウドへ切り替える際、あなたのセキュリティリスクアセスメントプロセスを更新する必要があります。切り替え前に、移行されるデータの完全性の現在の状態を理解するために、リスクアセスメントを実施すべきです。

さらに、データがクラウド環境にどう転送されるかを調査すべきです。検討すべき質問には：

質問：あなたのデータは転送の準備ができていますか？
理由： データ品質評価を実施するタイミングは、データをクラウドベースソリューションに移行した後ではなく、前です。

質問：この転送はクラウドプロバイダーによって円滑化されますか？
理由： 特に大規模データセットを考慮する際、データをクラウドプロバイダーに転送するためのセキュリティパラメータを理解することが重要です。

19. パスワード以上のクラウドアカウント保護

Dexter Edwardチームによる寄稿

クラウドアカウント自体を保護してください。サーバー/OS/アプリケーション上のすべての保護も、誰でもコントロールを乗っ取れれば無意味です。

• アカウントに強力で安全なパスワードと2要素認証を使用する
• クラウドキー/認証情報を定期的にローテーションする
• IPホワイトリストを使用する
• 関連するクラウドキー/認証情報でロールベースアクセスを使用する

クラウド内のコンピュートインスタンスへのアクセスを保護します。

• クラウドプロバイダーが提供するファイアウォールを使用する
• ログインアクセスを必要とするデバイスには安全なSSHキーを使用する
• 管理タスクにはパスワードを要求する
• アプリケーションをroot権限なしで動作するように構築する
• アプリケーションがクラウド外との通信に暗号化を使用することを確保する
• パブリック通信の確立前に認証を要求する

プライベートクラウドネットワークを最大限に活用してください。

• すべてのパブリックネットワークへのサービスバインドを避ける
• プライベートネットワークを使用して、ログインアクセスでさえ分離する（VPNは選択肢の1つ）

クラウドプロバイダーが提供する監視、ファイル監査、侵入検知を活用してください。

• クラウドは移動するために作られています。この機能を使ってネットワークロケーションを変更してください
• 使用していないインスタンスをオフにする。b. 毎日イメージを取得し、サーバー/アプリケーションをインターネット上でより頻繁に移動できるようにする

20. マネージドバーチャルデスクトップの導入を検討する

Michael Abboud、TetherView CEO兼創業者

自然災害、サイバー脅威、データ侵害、ハードウェア問題、人的要因が混在し、ビジネスが何らかのコストのかかる停止や混乱を経験するリスクが高まっています。

プライベートクラウドを通じて提供されるマネージドバーチャルデスクトップへの移行は、コスト削減とスタッフへの安全なリモートアクセス提供、ビジネス継続性イニシアチブの支援、ダウンタイムリスクの軽減という、組織にとってユニークな機会を提供します。

スタンバイバーチャルデスクトップを活用することで、適切なビジネス継続性ソリューションは、セキュリティとコンプライアンスの基盤をビジネスに提供します。

バーチャルデスクトップの導入により、ユーザーは完全に機能するブラウザベースの環境でリモートワークできる柔軟性を得ながら、同時にIT部門がエンドポイントを一元管理し、ビジネスクリティカルなデータをロックダウンできます。パフォーマンス、セキュリティ、コンプライアンスは影響を受けません。

スタンバイバーチャルデスクトップは事前設定済みで、瞬時に導入可能であり、突然の災害時でもチームを「ビジネスアズユージュアル」状態に保てます。

これに加え、定期的なデータ監査とバックアップを確実に実施すべきです。

あなたのクラウドに何があるかわからないなら、今すぐ調べる時です。データを頻繁に監査し、すべてがバックアップされていることを確認することが不可欠です。誰がこのデータにアクセスできるかも検討すべきです。古い従業員やアクセスを必要としなくなった人の権限は取り消すべきです。

多要素認証やデフォルト暗号化など、最新のセキュリティ対策も使用することが重要です。常に従業員をこれらの対策に関して最新の状態に保ち、潜在的な脅威を発見するよう訓練し、すぐに対処できるようにしてください。

21. プロバイダーのセキュリティポリシーを把握する

Jeff Bittner、Exit technologies 創業者兼社長

多く、あるいはほとんどのビジネスは、単純なコスト/ベネフィットの利点から、ミッションクリティカルなデータやシステムをサードパーティクラウドサービスプロバイダーの手に委ねることへの躊躇まで、さまざまな理由でオンプレミスインフラストラクチャに依存しながら、クラウドでの拡大を続けるでしょう。このハイブリッド環境で、どの資産がどこにあるかを把握することはトリッキーで、セキュリティギャップを生む可能性があります。

クラウドでのセキュリティ責任は、サービスプロバイダーと加入者の間で共有されます。したがって、加入者はサービスプロバイダーのセキュリティポリシーだけでなく、ハードウェアリフレッシュサイクルのような一見些細な事項も把握する必要があります。

サイバー攻撃者は、古いOSやアプリケーションのギャップを見つけ、悪用することに長けています。これらは陳腐化しているか、もはや更新されていません。SpectreとMeltdownの脆弱性が公開された今、チップレベルでハードコードされたエラーや見落としを悪用する脅威も懸念しなければなりません。

サーバーやPCなどのハードウェアには限られたライフサイクルがありますが、ベンダーがサポートを撤回し、新しいセキュリティ脅威に対抗するために必要なファームウェアとソフトウェアアップデートを中止した後も、多くのビジネスがこれらのシステムを運用し続けています。

クラウドプロバイダーが何をしているかを把握することに加え、ビジネスは自社の資産を把握し、必要に応じてリフレッシュまたは廃棄し続ける必要があります。コンピューターシステムが非クリティカルな目的で再利用されるとき、リスク管理とセキュリティ監督の外に出てしまうのはあまりにも簡単です。

22. クラウド送信前にバックアップを暗号化する

Mikkel Wilson、Oblivious.io CTO

1. ファイルメタデータは、データ自体と同じくらい警戒して保護すべきです。攻撃者がクラウドに保存したデータ自体にアクセスできなくても、すべてのファイル名とファイルサイズを取得できれば、重要な情報が漏洩しています。例えば、あなたが弁護士で、「michael_cohen_hush_money_payouts.xls」という15MBのファイルがあることがわかれば、答えたくない疑問を招くことになります。
2. バックアップをクラウドにアップロードする*前に*暗号化してください。バックアップは攻撃者にとって高価値のターゲットです。自社データセンターを持つ多くの企業でさえ、Amazon S3のようなクラウド環境にバックアップを保存します。S3の暗号化機能をオンにすることもあります。残念ながら、Amazonは暗号化キーをデータと一緒に保存します。これは、車に鍵をかけてキーをフードの上に置いておくようなものです。

23. データの所在を把握してクラウド脅威を減らす

Vikas Aditya、QuikFynd Inc 創業者

データが最近どこに保存されているかを把握し、どのデータが侵害リスクにあるかをプロアクティブに特定できるようにしてください。

現在、データはビジネス内のストレージデバイスに加え、複数のクラウドロケーションとアプリケーションに保存されています。企業は、Google Drive、Dropbox、OneDriveなどのクラウドストレージサービスや、あらゆる種類のビジネスプロセスのためのオンラインソフトウェアサービスを採用しています。これにより、会社データの大規模な断片化が生じ、多くの場合、マネージャーはすべてのデータがどこにあるか把握していません。

例えば、会社の機密財務レポートが、デバイスが自動的にクラウドと同期するためにクラウドストレージに保存されたり、機密ビジネス会話がSlackのようなクラウドベースメッセージングサービスで行われたりすることがあります。クラウド企業はすべて、顧客データを安全に保つ正しい意図を持っていますが、何百万もの加入者のデータに潜在的にアクセスできるため、ハッカーにとってより良いROIを得られる標的となっています。

では、企業は何をすべきでしょうか？

クラウドサービスの採用を続け、データが多くの場所に分散する中で、それらのサービスに何のデータが存在するかを示す検索とデータ整理ツールを使用できます。全文検索機能を使えば、これらの情報のいずれかが侵害された場合に会社にとって潜在的リスクになるかを非常に迅速に判断できます。どこにあるかわからないものは守れません。そしてもっと重要なのは、盗まれたことすらわからないということです。したがって、ビジネスデータを保護しようとする企業は、少なくともすべての情報がどこにあるかを把握するための措置を講じる必要があります。

24. 定期的なパッチ適用でクラウド脆弱性を回避する

Adam Stern、Infinitely Virtual CEO

ビジネスユーザーは、WannaCryやPetya/NotPetyaのような最近のクラウドコンピューティング攻撃の後でも、無防備ではありません。

最良の解毒剤はパッチ管理です。システムとサーバーをパッチで常に最新に保つことは、常に健全な実践です。それは安心への最短ルートです。確かに、「パッチ管理意識」は、セキュリティがイベントではなくプロセスであり、チェックボックスをチェックして先に進む問題ではないという、包括的なマントラの一部である必要があります。マインドセットであり、ボックスチェックの問題ではありません。警戒はすべての人のデフォルトモードでなければなりません。

スパムは誰の友でもありません。未知の送信元からのメールには警戒してください。つまり、開かないことです。中小規模ビジネスは、クラスターファイアウォールや侵入検知・防止システム（IDPS）のようなテクノロジーで、セキュリティ保護に戦略的な重点を置くことで勝ちます。

25. セキュリティプロセスの徹底 - スタッフはリスクを認識しきれていないことが多い

Murad Mordukhay、Qencode CEO

1. セキュリティを優先事項にする
   デッドラインや複雑な新機能に取り組むとき、セキュリティ対策の徹底は難しくなります。製品を前進させようとする中で、チームは自社のセキュリティプロセスで定められたルールを、自分たちが会社にどんなリスクをもたらしているか気づかずに曲げてしまうことがあります。よく考えられたセキュリティプロセスは、データを保護するという目標を達成するために、しっかりと徹底される必要があります。製品開発プロセスでクラウドセキュリティを優先事項に含める企業は、データ消失とセキュリティ脅威への露出を劇的に減らします。
2. パスワードと暗号化
   クラウドでのデータ保護の重要な2つの要素は、パスワードと暗号化です。
   不適切なパスワード管理は、悪意ある行為者が会社データにアクセスし制御を得る最大の機会です。これは主に、ソーシャルエンジニアリング手法（フィッシングメールなど）によって達成され、その多くは従業員教育の不備が原因です。適切な従業員トレーニングとメール監視プロセスは、パスワード情報の暴露を大幅に防ぎます。また、パスワードは長く、数字、文字、記号を含めるべきです。パスワードを書き留めたり、メールで共有したり、チャットやチケットコメントに投稿したりしてはなりません。暗号化を通じて追加のデータ保護レイヤーが実現されます。データが長期間クラウドに保存される場合、送信前にローカルで暗号化すべきです。これにより、侵害されるわずかな可能性において、データは実質的にアクセス不能になります。

26. 二要素認証を有効にする

Tim Platt、Virtual Operations, LLC ITビジネスサービス担当VP

最高のクラウドサーバーセキュリティのために、可能な限りあらゆる場所で二要素認証（2FA、多要素認証、二段階認証とも呼ばれる）の使用を推奨します。

これは何ですか？2要素は「あなたが知っているもの」と「あなたが持っているもの」を組み合わせます。パスワードと、スマートフォンにテキストで送られる一意のコードの両方を提供する必要があるなら、あなたは両方を持っています。誰かがあなたのパスワードを知っていても、あなたのアカウントに入ることはできません。彼らはあなたのパスワードを知り、かつあなたの携帯電話へのアクセスを持つ必要があります。不可能ではありませんが、アカウントをハッキングすることを劇的に困難にしました。彼らはより簡単な標的を探すでしょう。例として、iCloudとGmailは2FAをサポートしています。ビジネスユーザーに非常に人気のある2つのサービスです。すべての人に使用を推奨します。

なぜこれがクラウドセキュリティに重要なのか？

クラウドサービスは、多くの場合、ファイアウォールやサービスへのアクセス元を制御する他のメカニズムによって保護されていません。2FAは、セキュリティに追加する優れた追加レイヤーです。また、Salesforceのような一部のサービスは、ユーザーにとって大きな負担にならない、非常に効率的で使いやすい2FAの実装を持っていることも付け加えておきます。

27. クラウド内のデータがバックアップされていると決めつけない

Mike Potter、Rewind CEO兼共同創業者

クラウド内のデータのバックアップ：クラウドベースプラットフォーム（例：Shopify、QuickBooks Online、Mailchimp、WordPress）がどのようにバックアップされているかについて、大きな誤解があります。通常、クラウドベースアプリはプラットフォーム全体のディザスタリカバリクラウドバックアップを維持しています。何らかの理由でサーバーに問題が起きた場合、全員のデータを最後のバックアップまで復旧しようとします。しかし、ユーザーとして、あなたはそのバックアップにアクセスして自分のデータを復元することはできません。

これは、以下の場合に、望ましくない変更を手動で元に戻すか、データを永久に失うリスクがあることを意味します：

• あなたのアカウントに統合されたサードパーティアプリが問題を引き起こす
• 一連の変更をロールバックする必要がある
• あなたやチームの誰かがミスをする
• 不満を持った従業員や請負業者が悪意を持ってデータを削除する

クラウドアカウントのセカンダリバックアップへのアクセスを持つことは、あなたのデータに対するより大きな制御と自由を与えます。ベンダーのサーバーに何かが起きたり、あなたの個別アカウント内で何かが起きたりした場合、データを迅速に復元できれば、失われる収益、修復コスト、時間で数千ドルを節約できます。

28. ファイル権限を最小化し検証する

Randolph Morris、Releventure 創業者兼CTO

1. クラウドベースサーバーを使用している場合、Spectre脆弱性とその変種の監視とパッチ適用を確実に行ってください。クラウドサーバーは特に脆弱です。この脆弱性は、脆弱性がエクスプロイトとして利用されている時点で処理されているデータの暗号化を含め、講じられたあらゆるクラウドセキュリティ対策をバイパスできます。
2. 各サービスのファイルアクセスを見直し、厳格化してください。過去に権限の問題があったため、「動作することを確実にする」ためにフルアクセス権限を持つアカウントが使われることがよくあります。可能であれば、各サービスは独自のアカウントを使用し、重要なもののみにアクセスできる制限付き権限を持ち、必要最小限の権限のみを与えるべきです。

29. クラウドでファイルを保護する際、まずローカルでデータを暗号化する

Brandon Ackroyd、Tiger Mobiles 創業者兼モバイルセキュリティエキスパート

ほとんどのクラウドストレージユーザーは、このようなサービスが独自の暗号化を使用していると想定しています。彼らはそうであり、例えばDropboxはファイルに優れた暗号化システムを使用しています。

しかし、問題はあなたが暗号化する主体ではないため、復号化キーも持っていないことです。Dropboxが復号化キーを保持しているため、同じキーを持つ誰もがあなたのデータを復号化できます。Dropboxシステムにログインすると自動的に復号化されるため、あなたのアカウントにアクセスする誰か（例：ハッキング経由）も、あなたの今や非暗号化されたデータを取得できます。

この解決策は、選んだクラウドストレージサービスに送信する前に、暗号化アプリケーションやソフトウェアを使用して、あなた自身がファイルとデータを暗号化することです。

30. AWS S3の公開バケットは脆弱

Todd Bernhard、CloudCheckr プロダクトマーケティングマネージャー

1. 過去1年ほどで最も一般的かつ広く報道されたデータ侵害は、AWS S3ストレージバケットへのパブリック読み取りアクセス許可が原因です。デフォルト設定は確かにプライベートですが、人々は変更を加えて忘れ、その後それらの公開バケットに機密データを置いてしまいます。
2. データを転送中と保存時の両方で暗号化してください。データセンターでは、エンドユーザー、サーバー、アプリケーションサーバーがすべて同じビル内にあるかもしれません。対照的に、クラウドではすべてのトラフィックがインターネットを経由するため、データがパブリックで移動する際に暗号化する必要があります。これは、封筒に入れて手紙を送るのと、誰が接触しても内容を読めるハガキを送るのとの違いのようなものです。

31. 暗号化のゴールドスタンダードを使用する

Jeff Capone、SecureCircle CEO

GmailやDropboxのようなクラウドベースサービスを使用してコミュニケーションと情報共有を行うビジネスには、誤ったプライバシー感覚があります。これらのサービスはクラウドベースでパスワードでアクセスできるため、共有される通信とファイルが自動的に安全でプライベートだと想定されます。現実は、そうではありません。

組織がデータを確実に保護する1つの方法は、メールとファイル共有のためのエンドツーエンド暗号化のような新しい暗号化手法を使用することです。これは「ゴールドスタンダード」の手法と見なされ、中央の攻撃ポイントがないため、サーバーが侵害されてもユーザーデータを保護します。

これらの高度な暗号化手法は、適切に調整された内部ポリシーと併用すると、ビジネスにとって最も有用になります。例えば、可能な場合はデータへのアクセスを分散化し、アカウントを最小化または排除し、データ共有やSaaSサービス利用を決定する際にリスクを慎重に検討することです。

32. 包括的なアクセス制御を導入する

Randy Battat、PreVeil 創業者兼CEO

すべてのクラウドプロバイダーは、あなたのデータへのアクセス制御を確立する機能を持っています。これは本質的に、データにアクセスできる人々のリストです。「匿名」アクセスが無効化され、アクセスを必要とする認証済みアカウントのみにアクセスを提供していることを確認してください。

それに加えて、データが保護され、覗き見から遠ざけられるよう暗号化を活用すべきです。クラウドプロバイダーによって多数のオプションがあります。データへのアクセスの利便性と保護の必要性のバランスを取ってください。クライアントサイドキーと暗号化プロセスの活用など、いくつかの方法は他より安全です。そうすれば、誰かがデータにアクセスしても（ポイント1参照）、暗号化版のみにアクセスでき、それでも復号化するためにキーが必要です。

ガバナンスポリシーへの継続的なコンプライアンスを確保してください。上記の項目を実装し、その他無数のセキュリティと保護標準を定めたら、ポリシーに準拠し続けることを確認してください。多くの組織がクラウドデータ侵害で経験したように、リスクはクラウドプロバイダープラットフォームにあるのではなく、スタッフがプラットフォームで何をするかにあります。変更を監視するか、より良いのは、環境が設定ドリフトを経験した場合に自動修正アクションを実行するツールを導入して、コンプライアンスを確保してください。

33. クラウドでデータを安全に保つ5つの基本原則

David Gugick、CloudBerry プロダクト管理担当VP

• ペネトレーションテストを実施し、脆弱性が検出・修正されることを確認する
• ファイアウォールを使用してプライベートネットワークを作成し、不正ユーザーを排除する
• AES暗号化を使用してデータを暗号化し、キーをローテーションして、転送中と保存時の両方でデータを保護する
• ロギングと監視で、誰がデータで何をしているかを追跡する
• アイデンティティとアクセス制御で、アクセスとアクセスの種類を、必要なユーザーとグループのみに制限する

34. セキュアなマルチテナント環境を確保する

Anthony Dezilva、PhoenixNAP CISO

クラウドを考えるとき、私たちは2つのことを考えます。共有インフラストラクチャの利用による効率化からのコスト削減、そしてクラウドストレージセキュリティリスクです。

多くの公開された侵害がクラウドベース環境の誤設定に起因するとされていますが、この数が非クラウドベース環境の報告された侵害より多いとは思えません。

最高のクラウドサービスプロバイダーは、セキュアなマルチテナント環境を作ることに既得権益を持っています。これらの環境の構築に費やす総額は、ほとんどの企業のIT予算、ましてやセキュリティ予算よりはるかに大きいです。したがって、正しく設定されたクラウド環境は、中小規模ビジネスがオンプレミスで構築できるあらゆるものより、はるかに高いレベルのセキュリティを提供すると主張できます。

さらに、セキュリティ人材が深刻な不足している環境では、組織が必要なセキュリティ人材を見つけることは不可能であり、ましてや雇う余裕もありません。その結果、次善の策として、強力なセキュアインフラストラクチャを持つだけでなく、クラウド監視セキュリティソリューションも提供するプロバイダーと、ビジネスアソシエイト関係を構築することになります。

クラウドコンピューティングの脅威と脆弱性：知っておくべきこと

• オンプレミス設計プロセスと同様にソリューションをアーキテクトする
• アプリケーションサービスのレイヤリングとマイクロセグメンテーションを活用する
• 厳格なACLでプロセス間通信を制御するトランザクション処理レイヤーを使用する。PKIインフラストラクチャを使用して認証し、プロセス間通信を暗号化する
• WAF（Webアプリケーションファイアウォール）を含む高度なファイアウォール技術を活用し、Webベースアプリケーションをフロントエンド化して、基盤ソフトウェアの脆弱性の影響を最小化する
• レコードレベルまで暗号化を活用する
• 防御が侵害されるのは時間の問題だと受け入れ、それに備えて計画する。それが起きた場合の影響を最小化するようすべてのシステムをアーキテクトする
• フラットネットワークは決してOKではない！
• 堅牢な変更管理プロセス、週次パッチ管理サイクルを確立する
• クラウドサービスの崩壊や、クラウド環境を一掃する悪意ある攻撃のリスクを軽減するため、データのオフラインコピーを維持する
• インシデント対応機能を持つ24時間365日のセキュリティ監視サービスと契約する