昨年、クリスティーナ・シャノン氏がカタリナ・USAのグローバル最高情報セキュリティ責任者（CISO）として新たな職務に就いた際、 40 を超えるクラウド環境を抱える組織であることに驚かされました。
レジでの購入履歴に基づいてクーポンを作成することで知られるこのマーケティング会社は、以前から紙媒体からデジタルへの移行を進めていました。 その変革の一環として、同社はスマートフォンでのショッピング割引を提供したいと考えていました。そのためには、 を100％クラウドに移行する必要がありました。。
シャノンの見解によれば、これはITセキュリティチームが、複数のクラウド環境にまたがる資産を特定・保護・復旧する能力を向上させるため、クラウドネイティブなセキュリティツールの導入に本格的に取り組む必要があることを意味していました。
「私が着任した当時、社内に数多くのクラウド環境が存在していたにもかかわらず、私のセキュリティチームはそれらを一切監視していなかったのです」とシャノン氏は振り返ります。 「彼らはデータセンター内に何が存在しているかだけを見ており、サイバーリスクを定量化するために必要な の可視性の半分を、 で見落としていたのです。」
クラウドコンピューティングの導入は、セキュリティ上のリスクをもたらします
カタリナだけではありません。 企業がクラウドへの移行を急ぐ中、多くの企業は、複数のクラウド環境にわたる資産を保護するための堅牢なセキュリティ戦略を事前に導入することなく、移行を進めてきました。
のSplunkによる調査（）によると、どのクラウドサービスプロバイダー（CSP）のプラットフォームにも縛られたくないと考える組織の 73％が、現在、Amazon Web Services（AWS）、Microsoft Azure、Google Cloudなどの複数のパブリッククラウドにデータを保管しているため、これは深刻な問題となっています。 「Thales Cloud Security Study」第 2022 回調査によると、クラウド環境の急増を管理するための安全策が欠如していたことが一因となり、過去 12 ヶ月間に、 の企業の45％が、クラウドベースのデータ漏洩や監査不合格に見舞われたとのことです。
このような制御の行き届かない複雑さは、クラウドやファイアウォールの設定ミスを招き、それを狙うハッカーに侵入の隙を与えてしまうため、どのITセキュリティ部門にとっても悩みの種となり得ます。 実際、ガートナーによると、 クラウドセキュリティの障害の99％ から 2025 に至るまでが、「顧客の責任となる」とのことです。 Twitch（）、 、Uber（）、 、Imperva（）、そして設定ミスが原因でクラウドが侵害された数多くの企業（
）が、その事実を裏付けています。
オンプレミスとクラウドのインフラストラクチャ全体に、適切なサイバーセキュリティ対策を展開することは、決して容易なことではありません。 その実施には数年を要する場合がありますが、その一因として、デジタル環境が絶えず変化していることが挙げられます。 たとえ自社内の体制が整っていたとしても、パートナー企業が自社のクラウド、ネットワーク、製品を十分に保護していない可能性があります。
「組織がマルチクラウド環境を導入するにあたり、
サイバー攻撃が成功する多くのケースでは、
膨大な テクノロジーベンダーのサプライチェーン が悪用されていることに留意する必要があります」と、IBMのクラウドセキュリティ担当最高技術責任者（CTO）であるナタラジ・ナガラトナム氏は述べています。 「このような複雑さゆえに、悪意のある攻撃者は、設定ミスや
セキュリティ対策が不十分な慣行によって生じた脆弱性を容易に
悪用することができます。」
各クラウドには、専用のサイバーセキュリティ対策が必要です
専門家によると、各クラウドにはそれぞれ固有のセキュリティ上の課題と解決策があることを認識することが重要だとのことです。 したがって、画一的な手法やツールではうまくいきません。
「私が着任した際、数多くのクラウド環境が存在していたにもかかわらず、私のセキュリティチームはそれらを一切監視していませんでした。」クリスティーナ・シャノン、CISO、カタリナ・USA
「マルチクラウドのセキュリティ確保における最大の課題は、各クラウドサービスによって、基本的なセキュリティ機能の実装や監視の方法がわずかに異なることを認識することです」と、SANSインスティテュートの新興セキュリティ動向担当ディレクター、ジョン・ペスカトーレ氏は述べています。 「セキュリティ対策については、その環境全体で機能するよう調整する必要があります。」
パブリッククラウドを利用する場合、企業はまずCSPが提供するツールから導入を始めるべきです。 たとえば、Microsoft Azureでは、ID、データ、ネットワーク、アプリケーションにわたる組み込みの制御機能やサービスが提供されています。 一方、AWSでは、基本的なデータ保護、IDおよびアクセス管理（IAM）、マネージド検出・対応（MDR）、ならびにネットワークおよびアプリケーションの保護を提供しています。
包括的なアプローチによるマルチクラウドのセキュリティ課題への取り組み
CSPツールは堅実ですが、自社のクラウド環境において最も効果を発揮します。
ほとんどの企業では、包括的なマルチクラウド環境を構築するために、互いに補完し合うツールや手法を組み合わせて活用する必要があります。 によるコンテナ化 の普及により、アプリケーションを分離できるほか、アプリケーションの構成要素を疎結合にするマイクロサービスの普及も相まって、幅広いアプローチの重要性が高まっています。 これらの戦略は、アプリケーションがさまざまなクラウド環境で動作できるようにするものであり、そのすべてにセキュリティ対策が必要です。
マルチクラウドの可視性とセキュリティを適切に管理するためには、専門家たちは、CSPのツールを活用することに加え、いくつかの対策を講じることを推奨しています。
- DevOpsにセキュリティを組み込みましょう。 IDCクラウドセキュリティ部門のリサーチマネージャーであるフィリップ・ブース氏は、多くの組織には、プライベートクラウドやパブリッククラウド向けのコードを記述する社内開発者が複数在籍しており、そのコードは機能面では問題なく動作するものの、デフォルトでは必ずしも安全であるとは限らないと指摘しています。 同氏は、あらゆるクラウドセキュリティ戦略には、「シフト・レフト」という要素を含めるべきだと述べています。これは、クラウドベースのソフトウェアやサービスの開発において、 開発の最も早い段階 で、より多くの運用およびセキュリティテストを実施することを指しています。
- エンドポイント保護プラットフォームを導入してください。 94％の企業において、エンドポイントの最大 20％が未把握となっています。 最近では、こうしたエンドポイントのすべてがパブリッククラウドやプライベートクラウドにアクセスしており、セキュリティ対策が不十分なデータに対する脅威にさらされています。 エンドポイント保護プラットフォーム（EPP）は、 セキュリティ衛生管理、 脅威検知、 インシデント対応 に加え、IT アセット管理 および運用管理機能を提供します。
[関連記事：セキュリティ侵害の是正には、フォレンジックチームの迅速な対応が不可欠です]
- MDR技術についてご検討ください。 シャノンさんによると、彼女が着任した後、セキュリティチームが最初に行ったことの一つは、カタリナの 40 のクラウドのうち、どれに最も重要な資産が含まれているかを特定することだったそうです。 「そこが、情報漏洩が最も起こりやすい場所でした」と彼女は言います。 そこで、同社はこれらの拠点をより適切に監視、管理、保護するために、クラウドネイティブのセキュリティツールを組み合わせて導入しました。 シャノンのチームは、セキュリティ対策をクラウドからデバイスにまで拡大したいと考え、 のエンドポイント保護機能の上にMDRツールを導入しました。
- 脆弱性管理を優先してください。 中規模の電子 健康記録ソフトウェア プロバイダーであるGreenway HealthのCISO、ブライアン・ボボ氏も、MDRとEPPを活用しています。 しかし、彼は、システム内の既知の脆弱性を特定・分類・対処するためには、 の脆弱性管理 技術も必要であると考えています。 「ほとんどの組織は、私が思うほど脆弱性管理に力を入れていません」とボボ氏は述べています。 「私としては、他に何をしようとも、脆弱性管理こそが最優先事項であるべきだと思います。」 「世界最高のテクノロジーをすべて備えていても、たった一つの脆弱性があれば、攻撃者はそれらすべてを突破し、システムを乗っ取ってしまう可能性があります。」
- 暗号鍵管理ソリューションを評価してください。 データの復号化を許可できるユーザーを確実に管理するためには、IBMのナガラトナム氏は、1つのダッシュボードから暗号鍵の確認、割り当て、管理を行えることが重要だと述べています。 この統合ビューにより、運用を簡素化でき、企業がさまざまな環境にわたってワークロードを安全に実行できるようになります。 また、IT部門や法務部門がデータ主権に関する規制への準拠を証明する際にも、より迅速に役立てることができると、同氏は付け加えています。
- 侵入テストを実施してください。 また、シャノン氏は、現在のセキュリティ対策がどの程度機能しているかを確認するために、定期的な侵入テストを実施することを推奨しています。 「私は、懸念しているビジネス上のリスクを特定し、その後、ペネトレーションテストを実施した場合、どのような状況になるかを確認するようにしています」と彼女は言います。 「例えば、先日、クラウドの脆弱性を原因として『 』ランサムウェア（ ）による攻撃が発生する可能性を把握するために、分析を行いました。」 シャノンは、攻撃に備えて会社がバックアップをセグメント化していると聞いていましたが、それを確かめたかったのです。 そこで、彼女は、誰かがアクセス権限をどれほど容易に拡大して、システム全体への攻撃を仕掛けることができるかを確認するために、侵入リスクテストを実施しました。
マルチクラウドインフラストラクチャのセキュリティを確保するための要点は、企業が環境の設計やコーディングを開始したその瞬間から、そのライフサイクル全体を通じて、ベストプラクティスとツールを導入する必要があるということです。 雲は決して眠りません。 また、攻撃は24時間体制で、さまざまなタイムゾーンにわたって発生しているため、それらを攻撃するハッカーたちも同様です。
