知っておきたいクラウドのリスクとセキュリティ 第1回

オンプレミスとクラウドのセキュリティの違いを理解しよう

クラウド導入の懸念事項「セキュリティ」の問題はどこ？

クラウドは、さまざまな点で大きなメリットを企業、ユーザーにもたらすソリューションである一方、セキュリティに関する懸念が浮き彫りになっていることがわかる。ここからは、クラウドコンピューティングにおいて、具体的にどのようなセキュリティの問題があるかを解説していきたい。

　クラウド導入に当たって、多くのIT管理者がもっとも懸念している問題は「セキュリティ」だ。2010年3月～4月にIDCが行なった調査では、54.6％の回答者がクラウドコンピューティングの最大の懸念事項はセキュリティであると回答している。

図1　クラウドサービスの阻害要因（出典：IDC Japan, 2010年6月 プレスリリース「国内クラウドサービス市場ユーザー動向調査結果を発表」）

クラウドコンピューティングが脅威になる背景

　従来のIT資源運用形態では、基本的にITインフラ構築に必要なハードウェアからソフトウェアまですべて自前で調達し、導入や管理を行なってきた。つまり、IT資源のすべてが社内に物理的に存在していたのである。

　一方、クラウドコンピューティングになると、IT資源の一部がインターネットの向こうにあるクラウドに移行する。情報、データという資産の一部も、自らの管理下からクラウドに移行することになる。

　すると、移行先のクラウドで情報資産がどのように処理され、物理的にも論理的にもどのように守られているのかが、ユーザーからわからないという懸念が出てくる。企業やIT管理者としては、情報漏えいが起こってしまった際の責任の所在がどこにあり、どこまで保障してくれるのかも大きな懸念材料となる。

　また、クラウドコンピューティングの場合には、サービスプロバイダのインフラ運用としてマルチテナント型を採用するケースが多いであろう。つまり、サーバやストレージなどのITインフラと情報資産が赤の他人であるほかの企業、ユーザーのものと物理的に同居することになるという懸念がある。

　さらに、自分が利用しているクラウドサービスのインフラ全体がどのように守られているのか、サービスプロバイダがどのようなセキュリティ対策を採用しているのかが見えないという懸念も存在する。自社であれば、利用しているシステムやアプリケーションが把握できるため、どのような対策が必要かも明確になる。ところが、クラウドではどのようなシステムやアプリケーションが使われているかはおろか、対策が施されているのかわからないことも考えられる。IT資源が社内に存在しないのだから、コンプライアンス監査も非常に難しくなる。

クラウドを支える仮想化環境におけるセキュリティ

　クラウドコンピューティングを支える重要な技術に仮想化がある。仮想化は多数存在する物理サーバの集約化とコスト削減を実現するプラットフォームとしても、ここ最近注目が集まっている。この仮想化技術にも仮想化固有のセキュリティ上の懸念点がいくつか存在する。

　物理サーバしか存在しない環境では、マシン間の通信は物理的なネットワークを経由してきた。しかし、仮想化プラットフォームでは、同一の物理サーバ内のゲストマシンは、ハイパーバイザーを経由するだけで通信が行なえる。通信は物理ネットワークには出てこないわけで、ネットワークセグメントごとに導入するようなファイアウォールやIPSでは、トラフィックを見ることができなくなってしまう。

　クラウドコンピューティング、そして仮想化の大きなメリットは、使いたいリソースを使いたいだけ使いたい時に利用できることだ。逆をいうと、使われずにしばらく「眠っている」IT資源、ゲストマシンも存在するわけだ。このような眠っているゲストマシンは稼動していないため、脆弱性に対するパッチの適用を含め適切なセキュリティ対策を常時行なうことが難しくなる。

図2　仮想化環境で発生する問題点

　また、仮想化のメリットには、ゲストのイメージ（仮想イメージ）の移動や複製が容易に行なえることもある。しかし、セキュリティの観点からすると、この点は問題がある。つまり、移動先でのセキュリティ対策が脆弱であれば外部から攻撃を受ける危険があるし、仮想イメージ内のデータを読み出されてしまう可能性があるのだ。さらに、テンプレートとなるイメージにウイルスが感染していた場合、イメージから複製されるすべてのゲストマシンにもウイルスが複製されるという問題もある。

（次ページ、「クラウドを守るためのセキュリティとは？」に続く）