クラウド コンピューティング: プライバシー、機密性、およびクラウド
クラウド サービスを通じてデータを移動および保管したり、データにアクセスしたりするときには、いくつかの従来からある懸念事項と新しい懸念事項に対処する必要があります。
Vic (J.R.) Winkler
出典: 『Securing the Cloud』(Syngress、2011 年)
最近では、法規制やコンプライアンスの対象となるデータを処理、保管、または転送することが往々にしてあります。データが法規制やコンプライアンスの制約条件の対象となる場合、クラウド展開の選択肢は、(プライベート クラウド、ハイブリッド クラウド、またはパブリック クラウドのいずれの場合も) クラウド プロバイダーが法規制やコンプライアンスに完全に準拠していることを確信できるかどうかにかかっています。確信できない場合は、プライバシー、法規制、またはその他の法的な要件に違反する危険を冒すことになります。プライバシーについては、情報のセキュリティを維持することが重要になります。
クラウド コンピューティング以外の分野では、機密情報を保管、処理、または転送するときにプライバシー侵害が頻繁に発生しているため、クラウド ベースのシステムと従来のシステムのどちらについても、プライバシー侵害を懸念するのも無理はありません。クラウド ベースのシステムでも実際にプライバシー侵害が発生しています。2010 年には、多数のクラウド ベースのサービス (Facebook、Twitter、Google など) で個人情報が漏えいする問題が発生しました。
クラウド モデルにおけるプライバシーの侵害は、新しいものではありません。プライバシーに関する法的な義務に対応する必要があるテナントでは、クラウドを使用する場合でもプライバシーの問題への取り組み方は同じです。十分な制御機能がないサーバーに個人情報を格納しないのと同様に、クラウド プロバイダーが、保管されているデータや転送中または処理中のデータを保護するときに同じ基準を満たしていることを確認せずに、クラウド プロバイダーを選択することはないでしょう。
会社の方針として、機密情報の管理に外部プロバイダー (クラウド プロバイダーなど) を使用することが禁止されている場合があります。パブリック クラウドよりもデスクにあるコンピューターの方が安全だという感覚があるかもしれませんが、(一連の手順を実行する必要がある技術的に特殊な予防装置を講じていない限りは) おそらくデスクトップ コンピューターのセキュリティの方が脆弱です。安全性と管理は個別の問題です。適正評価の一環として、クラウド プロバイダーのプライバシー管理、セキュリティ手法、およびガイドラインについて十分理解する必要があります。
個人情報がプライバシー保護法の対象となるように、他の種類の企業情報と国家の安全に関する情報も、法規制の対象になります。国家の安全に関する情報とプロセスは、成熟した厳しい法律、規制、およびガイダンスの対象となります。これらの法規制は公法から派生しており、個々の政府機関または公式に責任を有する組織によって施行されています。
政府機関の規模、その階層と司法管轄の数を考えると、政府自体が、一連のコミュニティ クラウドを運用して排他的に使用できるのではないかと思われます。排他使用によって、クラウドの恩恵を享受し、パブリック クラウドで他のユーザーと環境を共有するという問題を回避できます。一方、政府機関がパブリック クラウドを使用する場合、クラウド サービスでは、テナントのニーズを十分に満たし、すべての適用される法規制に準拠している必要があります。
基盤となるパブリックな Infrastructure as a Service (IaaS) や Platform as a Service (PaaS) が法規制の要件を満たしていない場合でも、テナントは、これらの要件を満たすセキュリティ制御を追加で実装することができます。ただし、テナントが追加できる制御の範囲は限られており、パブリック クラウド サービスに用意されていない多くの機能の穴は埋められないことを理解する必要があります。
データの所有権と場所に関する懸念事項
プライバシーと機密性に関する懸念事項に加えて、情報資産の所有権も新たな問題となっています。リソースを外部システムに移動するときには、情報資産の所有権の侵害が生じるおそれがあります。というのも、データの所有権とデータ管理者としての責任には、根本的な違いがあるからです。
法的なデータの所有権は元のデータ所有者にありますが、パブリック クラウドでは、クラウド プロバイダーが両方の役割を担う可能性があることが懸念されます。これは、法執行機関がクラウド プロバイダーにテナントの情報資産へのアクセスを保証することを考えるとわかりやすいでしょう。
データが存在する場所とデータを移動する管轄区域は関連する懸念事項です。データをオンラインで保管および移動すると、他人の秘密を不正に入手する可能性があります。この問題に対応するため、欧州連合 (EU) データ保護条令が制定されました。この条例では、EU 加盟国の個人情報の移動または存在が問題ない国と、そうでない国が定義されています。これは、すべての EU 加盟国に大きな影響を与えています。
クラウド コンピューティングの観点では、この条令はパブリック クラウド プロバイダーによるサービスの実装に影響を与える可能性があります。これは、データの管轄範囲を制限して、移動、処理、または保管中にデータが侵害される可能性を最小限に抑えるため、非常に合理的なモデルです。すべてのクラウド サービス テナントとユーザーは、パブリック クラウドによって、テナントが存在する、または法的な義務を持つ管轄範囲外にデータまたはアプリケーションが出る可能性を考慮する必要があります。
監査と調査
監査は、セキュリティ分野ではよく使われる用語ですが、ここではセキュリティに関するポリシー、手順、手法、および技術的な制御を正確性や完全性について評価する意味で使用します。監査、制御と手順が、コンプライアンス、保護、検出、調査など、運用上のすべてのセキュリティの側面を満たすのに十分であるかどうかを評価するために必要です。
クラウド サービスの場合、このような監査は、テナントや顧客がセキュリティを保証するクラウド プロバイダーの適正評価に対して信頼感を得られるため非常に価値があります。情報資産の所有者として、テナントはプロバイダーに対して情報に基づいた適正評価を行う必要があります。一般的に、顧客による適正評価は、プロバイダーのビジネス モデルほど規模が大きくないため、プロバイダーはセキュリティに関するポリシー、管理、および手順を顧客に公開する必要があります。その結果、テナントは、情報に基づいた決断を下しやすくなります。
監査の実行に際して法的効力のある証拠を収集するとき、テナントやプロバイダーに影響する役割と制限にはいくつか問題があります。データ収集の役割がプロバイダーとテナントの間で共有される場合、だれが何をどのように実行したかを把握するだけでも一苦労です。
一方がデータの合法的な所有者になる場合、もう一方はデータの管理者となります。一部のサービスによるアクセスの性質を考えると、データ侵害の原因となる操作やデータ侵害の後に発生する操作の記録をきちんと示したり、または確認するだけでも困難になることがあります。まず、あるテナントにプロバイダーの記録へのアクセス権を付与すると、他のテナントのプライバシーを侵害するおそれがあります。
また、システム クロックが同じでない場合、2 つのログのイベントを追跡することはできません。パブリック クラウドで収集および保管されているテナントの証拠となるデータが変更されていないことを証明するのが難しい場合があります。この状況は、クラウド プロバイダーが、高度なサービスを提供することで差別化を図る非常に良い機会となりました。
新たに出現した脅威
古いプログラムの中には、何年にもわたって潜んでいた脆弱性が検出される場合があります。安全だと思っていたプログラムでも、その脆弱性に気付く前に、脆弱であることが判明する可能性があることを常に想定しておく必要があります。また、クラウド コンピューティングを構成する一部のテクノロジとソフトウェア コンポーネントの大半は間違いなく新しいものなので、経験豊富なセキュリティ担当者のサポートによって信頼性を高める必要があります。
一部のコンポーネントは、一連のソフトウェアとプロトコルの層を基盤に構築されているとしか言いようがないものもあります。これらのコンポーネントを統合すると、セキュリティが強化されるかと言うと、強化されない可能性が高いでしょう。脆弱性は、コンポーネント間の複雑さと対話という 2 つの領域が原因で生じます。
安全性についてのまとめ
クラウドはまだ新しいサービスなので、クラウドにおける情報保護の効果的な制御に対する動きも発展途上です。現在、クラウドのセキュリティ ソリューションには、従来のインフラストラクチャにおける物理デバイスほどセキュリティを確保する方法は多くありません。仮想セキュリティ アプライアンスのインスタンス化にかかるコストは、クラウドの方が従来のインフラストラクチャより安価ですが、新しいテクノロジです。
現在、パブリック クラウドの導入で見られる動きの多くは、早期導入者の行動に基づいています。データや処理が法規制の要件やコンプライアンスに違反しているかどうかを確認するのは困難です。米国政府は、Federal Risk and Authorization Management Program (FedRAMP) と呼ばれる取り組みを始めました。これは、クラウド インスタンスが個々の政府機関での使用に適していることを保証するプロセス全体を実現することを目的としています。
クラウドにおけるデータ保護とセキュリティ制御の改善に積極的に取り組む組織として、Cloud Security Alliance および Cloud Computing Interoperability Forum という 2 つの組織があります。他にも Jericho Forum というグループがあります。このグループでは、主にファイアウォールをトンネリングして重要なサービスにアクセスし、インフラストラクチャの境界に入り込むさまざまなサービスが原因で、境界は既になくなっているという異なる観点から、この問題に取り組んでいます。
多くの証明書では、境界がないサービス指向の新しい世界ではなく、施設やプロセスを重視していることが問題になっています。また、使用中の多くのシステムで仮想化されたサーバーが実行されていることも問題となっています。このような仮想化されたサーバーに競合するセキュリティ要件がある場合、実際には問題が既に発生していることになります。
クラウド コンピューティングに関するセキュリティ問題の多くはクラウド コンピューティング モデルに固有なわけでも、対処がそれほど難しいわけでもありません。クラウド モデル自体は、セキュリティを改善するためのよい機会を提供しています。ただし、違いがあることは認識しておく必要があります。クラウド モデルのセキュリティについて無頓着にならないようにしてください。
.jpg)
Vic (J.R.) Winkler は、Booz Allen Hamilton のシニア アソシエートで、主に米国政府を顧客として技術コンサルティングを行っています。彼は情報セキュリティとサイバー セキュリティの研究者として著書を出版し、侵入検出や異常検出の専門家でもあります。
©2011 Elsevier Inc. All rights reserved.Syngress (Elsevier の事業部) の許可を得て掲載しています。Copyright 2011. “『Securing the Cloud』(Vic (J.R.) Winkler 著)この書籍と類似書籍の詳細については、elsevierdirect.com (英語) を参照してください。