こんにちは、SCSKの村上です。
ここ最近、クラウド利用におけるセキュリティインシデントが急増しています。特に、企業や学校からの個人情報漏洩のニュースが後を絶ちません。今回はそのようなインシデントを防ぐためには欠かせない、クラウドセキュリティ「CSPM」について解説していきたいと思います。
CSPMとは？
CSPM（Cloud Security Posture Management : クラウドセキュリティ態勢管理）とは、パブリッククラウドの構成やセキュリティ設定を監視し、望ましくないセキュリティ状態を検知した場合に通知してくれるソリューションです。また、通常の運用では気付きにくい設定ミスや設定漏れなども可視化してくれるため、パブリッククラウドの安全運用には欠かせない役割を持ちます。
CSPMとは？
CSPMが注目されている背景
CSPMが注目されている背景には、クラウド利用者の「設定ミス」によるセキュリティインシデントの多発があります。
セキュリティ会社のソフォス社は、「2019年の1年間でパブリッククラウド利用者の70%がセキュリティインシデントに遭遇し、そのうち約３分の２が構成ミス/設定ミスによるものであった」という調査結果を発表しています。※1
※1 2020年7月30日 ソフォス社プレスリリース：『ソフォスの調査:70%の組織がパブリッククラウドでサイバーセキュリティ・インシデントに遭遇』
また、IPA（独立行政法人情報処理推進機構）は2021年に届け出があった「不正アクセス」のうち2番目に多かった原因が「設定の不備」だったと公表しています。※2
※2 2022年7月15日 独立行政法人情報処理推進機構『情報セキュリティ白書 2022ゆらぐ常識、強まる脅威：想定外にたちむかえ』
実際に起きている国内企業や大学等の「個人情報漏洩」についても、「ソースコードを公開設定のままGitHubにアップロードしてしまう」「共有ストレージをインターネットに公開してしまう」など、多くは利用者の設定ミスが原因だと言われています。
こうした社会的課題に対し、総務省は2022年10月に「クラウドサービス利用・提供における適切な設定のためのガイドライン」を公表しました。その中で、設定ミス防止のためには「CSPM などの管理部門が把握できる監視ツールを使用すること」を推奨しています。※3
※3 2022年10月31日 総務省『クラウドサービス利用・提供における適切な設定のためのガイドライン』
このような背景もあり、セキュリティインシデントから守るソリューションとしてCSPMが注目を集めているのです。
CSPMの必要性とは？ ～設定ミスがインシデントを引き起こしてしまう理由～
設定ミスを防ぐためには、オンプレのセキュリティ対策の踏襲では不十分だという認識を持つことが重要です。そして、クラウドネイティブなサービスの特徴を理解した上で、有効的な対策を実施していく必要があります。
オンプレの場合、基本的にファイアウォールなどの境界セキュリティと従来型のウイルスチェッカーによって保護されています。インターネットの出入り口で対策できていれば、サーバやストレージの公開設定ミスがあっても外部からの直接的な攻撃を受けにくい、というのが特徴です。
これに対し、そう簡単にうまくいかないのがパブリッククラウドのセキュリティ対策です。
例えば、共有ストレージを誤ってインターネットへ公開してしまい、情報漏洩してしまうリスクがあります。これは、クラウドネイティブなリソースは設定ひとつで簡単にインターネットへ公開できてしまうこと、更に権限が付与されているユーザであれば、誰でも簡単にあらゆるリソースへアクセスできてしまい設定を変えられること、が大きな要因です。
パブリッククラウドのセキュリティ機能もありますが、うまく活用していくためにはそれなりの知識と、アップデート情報のインプットが必要になります。そしてこのセキュリティ機能も、最終的には利用者の設定に依存してしまうことを押さえておかなければなりません。
総じて、パブリッククラウドの特徴がゆえに設定ミスから重大インシデントが発生するリスクがあることを理解し、対策を打つことが重要です。そして、その対策として有効なのが「CSPM」というわけなのです 。
CSPMのメリットとは？
では、CSPMツールを利用するメリットは具体的にどこにあるのでしょうか？CSPMの仕組み/機能を交え、3点挙げていきます。
①リスクの可視化によりクラウド環境の安全性を向上
CSPMでは、パブリッククラウド上にあるリソースのセキュリティ設定やネットワーク情報、機密データの管理状況、各種ログなどを監視します。そして、セキュリティ設定に不備がないか、自社ポリシーや各種ガイドライン、国際基準（コンプライアンス）などの準拠状況に基づいてチェックをしていきます。チェック結果は、管理コンソールから常時確認ができます。
②アラート・是正策の提示によりリスクを低減
チェックの結果、ルール違反や重大リスクが発見された場合は、速やかに担当者へアラート通知を行います。すぐに設定ミスに気づくことができるため、修復までの時間を必要最小限に抑えることができます。
③一元管理によりガバナンスを強化・管理負荷を軽減
複数のクラウドサービスやアカウントに対し、同一の管理コンソールで、かつ統一したポリシーで管理（セキュリティ監視）が可能です。運用負荷がかかることなくセキュリティ統制をかけることが可能になります。
CSPMのメリット
CSPM利用時に気を付けることとは？
しかしながら、CSPMツールを導入しただけでは十分な効果を発揮することはできません。運用において、検知したアラートをどのように管理し対応していくのかが非常に重要となります。
以下にCSPMの運用で気を付けるべきポイントを挙げていきます。
① 問題ではないアラートの検知
CSPMでは、意図した設定なのか、ミスによる設定なのかを判断することはできません。意図してそのような設定をしている場合でもアラートは発生してしまいます。意図した設定である場合、そのアラートを適切に管理する必要があります。
② アラートの対応
検知した設定が意図した設定ものだった場合、対応を実施してしまうと予期せぬ問題が生じる場合があります。アラートの対応を実施する前に、システムに影響がないか確認を行う必要があります。
③ アラートの管理
CSPMを運用していくと、
- 意図した設定でのアラートか否かの判断が難しい
- 全てのアラートをリアルタイムで対応するのが難しい
など、さまざまな問題が発生します。これらの問題に適切に対処するために運用のルールを整理することが重要となります。未対応のアラートが放置されないよう定期的な棚卸も重要となります。
④ 独自ポリシーへの対応
自社の独自ポリシーに適応したい場合は、CSPMツールで独自のルールを作成する必要があります。利用者にて独自ルールを作成する場合は技術者の育成やルール設計・検証等が必要となります。
おわりに
CSPMは適切に運用していくことが重要となりますが、うまく活用することでパブリッククラウドをより安全に利用することができます。
皆さまも自社のセキュリティ強化のために、CSPMを導入してみてはいかがでしょうか？
参考
当社では、CSPMをマネージドで提供するSmart One Cloud Securityを提供しております。ご興味のある方は、以下より是非お気軽にお問い合せください。
