平素は、弊社サービスをご利用頂き、誠にありがとうございます。
この度、お客様により分かりやすく弊社製品を認識いただくため、クラウドブリック株式会社紹介及びCloudbric WAF＋サービス紹介動画をYoutubeに公開しました。
クラウドブリック株式会社のミッション及びWebセキュリティ、IoTやモバイルセキュリティなど各事業について簡単に分かりやすく説明した動画を製作しています。
そして、企業や組織のセキュリティ担当者にとって、最重要課題となるWebセキュリティ対策の「Clooudbric WAF＋」を分かりやすく説明しておりますので、是非ご覧いただけたらと思います。Webセキュリティ対策の知識がない方にもおすすめの動画です。
クラウドブリック株式会社紹介
Cloudbric WAF＋紹介
今後とも弊社製品をご愛顧いただきますよう宜しくお願い申し上げます。
総務省調査の令和得元年通信利用動向の「クラウドサービス利用状況」からみると、国内企業の64.7％がクラウドサービスを利用していると答え、導入効果については「非常に効果があった」又は「ある程度効果があった」のような応答が8割を超えています。企業システムのクラウドシフトによって変化しつつあるIT環境に必要とされるセキュリティ対策にも変化があるはずです。そのため、クラウド中心に変化したIT環境に最も適切なセキュリティ対策は何かを把握することが、クラウド導入の前後を問わず解決すべき課題だと言えるでしょう。そこで今回は、従来のIT環境とは違うクラウド環境の特殊性を理解し、クラウド環境に適切なセキュリティとは何かをお伝えしたいと思います。
Accenture の調査によると企業のクラウド移行を妨げる障壁として「セキュリティ」が挙げられています。
企業はクラウド導入の際、新たなIT環境がサイバー攻撃者の浸透経路にならないよう、クラウド環境に適切なセキュリティ対策に取る組む必要があります。そのためには、まず従来のIT環境とは違う「クラウド環境のみの特殊性」を理解しなければりません。
AWS、Azure等のCSP（Cloud Service Provider、クラウドサービス企業）は安全なクラウド環境のために、様々なセキュリティポリシーやサービスをビルトインさせました。
しかしそれだけでセキュリティが担保できるとは言い切れません。CSPの提供するセキュリティサービスはクラウドセンター自体を守ることに限定され、クラウドにて仮想的に結合された顧客のシステムやデータまで保護するものではありません。
AWSをはじめとしたCSPは、クラウドの情報セキュリティに関して一般的に「責任共有モデル」という考え方を採用しています。これは、CSPとユーザ(顧客)で責任範囲を明確にし、全体のセキュリティを担保しようという考え方です。こちらのイメージをご覧ください。
引用：AWS 責任共有モデル
こちらのイメージは、AWSの「責任共有モデル」を示した図であります。イメージの上半分はユーザ(顧客)が担う責任部分、下半分のオレンジ色の範囲はクラウド提供企業(AWS)が責任を負うクラウドのセキュリティ分担です。ネットワークやコンピューティングなどクラウドプラットフォームに対するセキュリティの責任はCSPにあり、クラウド内部のデータ、OS、トラフィックなどに対するセキュリティの責任は顧客にあります。
つまり、クラウドにて結合されたシステムやデータなどにおけるセキュリティの主導権はユーザ側にあるため、ユーザ自らセキュリティ対策を厳重に点検し、どのようなセキュリティ対策を導入するかを決定する義務があるとのことです。
クラウド環境もオンプレミス環境と同じくアプリケーション、システム、ネットワークレベルに分けられます。そして、クラウドといっても実は、クラウド環境にて使用されているデータは最終的に物理的サーバ上に保存されます。このように、クラウドの基本的な構造はオンプレミスと類似ていますが、「仮想化と分散処理技術」によってユーザビリティを高め、更に柔軟性の高い環境にてデータを活用できるというクラウドならではの特殊性もあります。
つまり、クラウド環境は従来のオンプレミス環境に仮想化・分散処理技術を加えたもので、セキュルティ対策もクラウド環境の特殊性に対応できる形態が求められます。WAF導入の例を挙げて
簡単に言いますと、「仮想化と分散処理」ができるWAFが、クラウド環境に最も適切なWAFであることです。
WAFの他にも、クラウド環境のために考慮すべきセキュリティ要素は多い、これらもまたクラウド環境のみの特殊性を理解してからセキュリティ対策構築に取り組む必要があります。
それでは、クラウド導入の際に、どのような領域のセキュリティを優先すべきでしょうか。こちらはクラウドをアプリケーション、システム、ネットワーク3つのレベルで分類し、レベルごとにセキュルティ重要度のランクをつけた表です。
この表をみると、アプリケーションレベルは最も脆弱で、最も攻撃されやすい領域であることが分かります。そのため、アプリケーションレベルのセキュリティを最優先し、クラウド環境の基本的な安全性を確保しなければなりません。
情報セキュリティ専門企業ペンタセキュリティはクラウド環境の特殊性に対する理解を基にクラウドセキュリティを実現する「Cloudbric WAF+」を提供しております。
安全なクラウドシフトのために、多くの企業がクラウド環境のセキュリティに投資していますが、セキュリティ担当者不在、コスト、クラウドに対する理解不足などによって対策に踏み切れない問題を抱えています。このようなセキュリティ課題を解決できる簡単かつ安全なセキュリティ対策がCloudbric WAF+です。
Cloudbric WAF + はクラウド型でWAFサービスを提供するSaaS型WAFサービスであります。該当サービスにはWAF機能のみならず、DDoS保護、SSL証明書、脅威IP遮断、悪性ボット遮断まで、必須的なセキュリティサービスを1つのクラウドプラットフォームにて統合し、ユーザのクラウドセキュリティをサポートします。特に全ての要素がクラウドにて起動するため、別途の設置や、メインテナンス過程の必要なく、簡単に利用できるというメリットがあります。
企業のクラウドシフトは、今までより拡大していくと見込められますが、セキュリティに対する十分な理解のないITシステムシフトは、サイバー攻撃者らの浸透を簡単に許すリスクを抱えています。クラウドセキュリティのリスクをカバーするためには、クラウド導入に先立ち従来のIT環境とは違うクラウド環境の特殊性への理解を基に、必要なセキュリティ要素は何かを把握することが最重要ポイントだと言えるでしょう。
「パブリッククラウド（クラウドコンピューティング）」とは、クラウドサービスプラットフォームからインターネット経由でコンピューティング、データベース、ストレージ、アプリケーションをはじめとした、さまざまな IT リソースをオンデマンドで利用することができるサービスの総称です。IoTの浸透にも伴い、日本国内のクラウド市場は近い将来1兆円を超える規模になると言われており、現在急速に普及しています。世界的規模でみると、Amazon Web Services (AWS)、 Microsoft Azure、Google Cloud Platform (GCP) 、IBM Cloudといったメジャーサービスが現在シェアの半数以上を締めていますが、どんどん新しいサービスも登場しています。今回はクラウドコンピューティング時代に求められる本当に良質なクラウドサービスの選び方や、セキュリティソリューションについて解説していきたいと思います。
クラウドは大きく分けて「パブリッククラウド」と「プライベートクラウド」の2つに分けられます。パブリッククラウドとは、企業や個人など不特定多数のユーザに対し、インターネットを通じて、サーバやストレージ、データベース、ソフトウェアなどのクラウドコンピューティング環境を提供するサービスのことを言い、AWS等もパブリッククラウドに含まれます。特定ユーザにのみ向けたプライベートクラウドと異なり、パブリッククラウドは高額のハードウェアや通信回線を自社で購入・保守する必要がなく、必要なときに必要な量のクラウド環境を、素早く利用することが可能となります。
プライベートクラウドとは、ひとつの企業のためだけに構築された環境を提供するサービスのことです。企業がクラウドコンピューティングのシステムを自社で構築し、企業内の部署やグループ会社のみでクラウドサービスを利用します。パブリッククラウドが誰でも使えるサービスであるのに対し、より利用者が限られたクラウドサービスと言えます。企業内でシステムを構築・管理できるので、より柔軟に運用できます。プライベートクラウドは、「オンプレミス型」と「ホスティング型」の2つがあり、オンプレミス型は独自のサーバを所有し、独自のクラウド環境が構築できます。ホスティング型は、サーバや設置場所はクラウドのプロバイダーが提供し、システムの一部を企業が占有して利用する方法です。
AWSは2006年からサービスを開始しており、世界では売上でトップシェアクラスのユーザ数を誇ります（米調査会社のガートナー2020年8月発表、2019年の世界シェア45％）。AWSはAmazonが自社商品の在庫管理やデータ分析を行うため、インフラやアプリケーションを一般利用者に公開したのが始まりです。クラウドコンピューティングを利用して、ストレージやデータベース、サーバなど、さまざまなサービスを貸し出しています。
AWSはサーバやストレージなどのインフラを提供するIaaS（Infrastructure as a Service）の種類が豊富なため、パブリッククラウドによるシステムの構築では、OSやミドルウェアの制限が少ないのが特徴です。その点では、利用者側でOSを含めたソフトウェアのセキュリティ管理などまで行う必要があります。
Microsoft Azureとは、2008年10月にマイクロソフト社のデベロッパーカンファレンスで発表され、2010年10月に「Windows Azure」としてサービスを開始しました。クラウドだけでなくオンプレミスでもMicrosoft Azureと同様の機能を利用することのできる「Azure Stack」が提供されていることも特長の一つです。さらに、アプリケーションとサービスのオンライン上のマーケットであるAzure Marketplaceでは、Microsoftやそのパートナーから提供されるサービスやツールを利用することができます。
Google Cloud Platform（GCP） とは、Google がクラウド上で提供するサービス群の総称です。Google 社内で使われているものと同じテクノロジーやインフラを使用して、お客様のインフラ環境をクラウド化できます。
基本的な構成要素が初めから各種サービスとして用意されているため、それらを使用してすばやく開発を行うことができます。日本では2016年の11月から提供開始しています。
メジャーなパブリッククラウドはそれまでの実績や規模から安心を覚え導入する企業も多いですが、パブリッククラウドベンダーを選ぶ場合は「メジャーである」という以外にも、きちんとサービスの質や信頼性をチェックする必要があります。パブリッククラウドを提供する事業者の信頼性は一つの重要な指標となります。会社の経営規模、事業としての安定性、そしてサービス利用者の数や、過去の事故情報の有無や安定性、そして何よりコストパフォーマンスが重要になってきます。
大きくなったデータセンターに障害や災害による被害があるとその影響は大きく、昨年、日本時間2019年8月23日に業界トップのAWSのサーバに数時間の障害があり、アクセス不能となっただけでも、その障害の影響力の大きさは大々的に報じられました。しかも障害発生中リアルタイムでサポートが受けられないことに不満の声も噴出しました。
メジャークラウド以外にも長い実績とクオリティの面優れたベンダーもあります。「Linodeクラウドコンピューティング」はアマゾンのAWSの3年前の2003年に設立されたクラウドプロバイダーです。Linodeには、「専門家によるリアルタイムサポート体制」「コストとパフォーマンスの最適化」「クラウド料金のコスト削減を実現」「オープンクラウド (ベンダーロックインなし)」といったAWSと異なるアドバンテージが存在します。
クラウドコンピューティングを導入するメリットの一つに、オンプレミスに比較し、通産でのコストパフォーマンスがよいというのがあげられます。しかし、メジャーに代表されるAWSはそのコスト試算が非常に分かりにくいという声がしばしば聞かれます。実際本当に安いの？というのに疑問があるのです。
AWSの代替としてお勧めしたいのがLinodeクラウドコンピューティングです。LinodeはアマゾンのAWSの3年前の2003年に設立されたクラウドプロバイダーです。
LinodeではAWSとは異なるこれらのアドバンテージを掲げ、現在世界中で800000人の利用者と開発者に選ばれています。
Web脅威を可視化し、遮断するクラウド型WAFを提供するクラウドブリックは、Linodeの日本パートナーです。詳細はこちらの記事をご覧ください。
パブリッククラウドとプライベートクラウドはどちらにもメリットとデメリットがあります。パブリッククラウド多くは初期費用が無料なため、低コストで導入できるのがメリットです。ただしセキュリティ面では、専有環境を持てるプライベートクラウドの方が優れているとも言われてきました。そのため、セキュリティを含め、自社が必要とする要件や規模に合わせてプライベートクラウドを導入する企業も多かったのです。
「CASB（Cloud Access Security Broker）」は2012年に米ガートナーが最初に提唱したクラウドサービスに対する情報セキュリティコンセプトです。一般的に「キャスビー」と呼ばれます。CASBのコンセプトは、「ユーザー（企業）と複数のクラウドプロバイダーの間に単一のコントロールポイントを設けて、クラウドサービスの利用状況を可視化/制御することで、一貫性のあるセキュリティポリシーを適用する」ことです。サービス利用においてインターネットを経由する際にCASBを経由させることでセキュリティを担保することができるようになります。CASBの機能には可視化・分析、コンプライアンス、データセキュリティ、脅威防御といったものがあります。
こうしたセキュリティが導入されているパブリッククラウドは安心して利用することが可能です。もちろんLinodeのすべてのデータセンターは、24時間365日のオンサイトセキュリティ診断、アクセス制御など、最新の設備を維持されています。
