目次

• パブリッククラウドでのセキュリティインシデントの増加
• パブリッククラウド特有のセキュリティ対策の問題
• CNAPPの機能
• CNAPP製品の導入検討のポイント
• さいごに

パブリッククラウドでのセキュリティインシデントの増加

PaaSやIaaSなどのパブリッククラウドの利用は年々増加しており、パブリッククラウド上でのシステム開発が主流となっています。その一方で、国内外のパブリッククラウド上で、情報漏洩などの重大なインシデントが発生しています。

2023年には、MicrosoftのAI研究者がGithubを通して38TBの機密性の高いデータを誤って公開したインシデントが発生しています。原因は、クラウドストレージサービス「Azure Storage」からデータを共有できる機能「SASトークン」の設定ミスでした（※1）。

こうしたパブリッククラウド上でのインシデントは、年々増加する傾向にあります。トレンドマイクロが調査した2023年から2024年のクラウドへのサイバー攻撃被害公表件数は、前年を上回る勢いで増加しています（※2）。

パブリッククラウドへのサイバー攻撃や設定ミスによる情報漏洩を防ぐには、脆弱性や設定ミスに対処することを含む、総合的なセキュリティ対策が必要です。
本稿では、サイバー攻撃の脅威や情報漏洩のリスクからパブリッククラウドを守るための有効な方法を紹介します。パブリッククラウドを利用中、または利用を検討しており、現状のセキュリティ対策に不安を感じている方や、効果的なセキュリティ対策の情報をお探しの方に、本稿が参考になれば幸いです。

パブリッククラウド特有のセキュリティ対策の問題

パブリッククラウドで発生する設定ミスは、システム開発や運用を行う方のクラウドに関する技術スキル不足や注意不足が原因であるため、セキュリティ教育や運用の見直しを行えば解決できると思うかもしれません。しかし、以下の理由から、担当者の技術スキルや注意力が向上するだけでは、解決は難しいのです。

• パブリッククラウドで提供されるサービスは多岐にわたり、仕様変更や新しいサービスのリリース、マイナーな変更のペースも速いため、担当者がすべての仕様を正確に理解してミスなく設定することは難しい

• メインのクラウドプラットフォームに別のクラウドベンダーのSaaSを組み合わせるシステム構成では、各クラウドベンダーのサービス仕様を把握し、それぞれに必要なセキュリティ対策を講じなければならず、一貫したセキュリティ対策が困難になる

• 負荷分散やフェールセーフのため、同一パブリッククラウドで複数のアベイラビリティゾーン（AZ）やリージョンを組み合わせるシステム構成では、ネットワーク設定やアクセス制御が複雑になるので、設定ミスが発生しやすくなる

• たとえばAmazon Web Services（AWS）は、セキュリティ情報を管理するAWS Security Hubや設定ミスを検知するAWS Config、脅威検出を行うAmazon GuardDutyなどのセキュリティサービスを提供している。複数のパブリッククラウドサービスを利用する組織の担当者は、これらのセキュリティサービスを複数のプラットフォームで運用管理しなければならず、大きな負担を強いられる

• クラウドネイティブアプリケーションは、複数のコンテナが相互通信をする複雑な構成が多く、監視や脆弱性対策が難しい

このようなパブリッククラウド特有のセキュリティ対策の問題を考慮しなければなりません。そこで、この問題を解決する手段として、近年注目されているのが「CNAPP」と呼ばれるセキュリティ製品です。

CNAPPの機能

上記の問題を解消すべく、複数のセキュリティ機能を一つのプラットフォームに統合し、開発から運用までの一連のライフサイクルでセキュリティを担保するセキュリティ製品がCNAPPです。CNAPPとは「Cloud Native Application Protection Platform」の略称で、米国の調査会社Gartner^®は「クラウド・ネイティブ・アプリケーション保護プラットフォーム（CNAPP）は、開発環境と本番環境の両方でクラウド・ネイティブ・アプリケーションのセキュリティと保護を支援するために設計された、セキュリティとコンプライアンスに関連した機能のセットである。」（※3）と定義しています。CNAPPは、図に示す複数の機能を持っています。クラウド基盤を保護するCSPMやアプリケーションを安全に保つためのCWPPが中核的な機能です。

図：CNAPPを構成する機能

以下の表1でCNAPPの5つの機能を説明します。各機能は異なるセキュリティ対策の問題を対処していますが、それぞれの機能が連携して補完しあうことで、パブリッククラウドを全体としてより強固にセキュリティ対策することが可能です。

表1：CNAPPを構成する機能の説明

CNAPP製品の導入検討のポイント

先に説明したように、パブリッククラウドのセキュリティ対策を行うには、パブリッククラウドベンダーが提供しているセキュリティサービスを利用する方法やCNAPP製品を導入する方法があります。利用しているパブリッククラウドやセキュリティ対策のニーズ、予算などに合わせて自組織に最適な方法を選択します。以下の表2では、パブリッククラウドベンダーが提供しているセキュリティサービスを利用して自前で運用する方法とCNAPP製品を導入して運用する方法を比較し、参考となるポイントをまとめています。

表2：CNAPP製品の導入検討のポイントと具体的な導入ケース

さいごに

パブリッククラウドサービスは、多種多様なパブリッククラウドサービスと連携して複雑化しているため、担当者が手動で行うセキュリティ対策では不十分です。開発から運用までの全体をカバーするセキュリティ対策として、本稿で説明をしたCNAPP製品の導入が有効な方法です。CNAPP製品を導入すれば、複数のパブリッククラウドサービスを一元管理でき、複数のセキュリティ機能を統合してGUI上で視覚的に利用できるため、作業負荷を軽減できます。

特に、大規模な組織で複数のパブリッククラウドを利用したクラウドサービスを管理する必要がある場合や、セキュリティ管理の運用負荷を削減したい場合に、CNAPP製品の導入は効果を発揮します。その一方で、導入にはコストがかかるため、費用対効果を考慮し組織に最適な方法を選択する必要があります。CNAPP製品の導入の検討の際に、本稿で紹介をしたポイントが参考となれば幸いです。