＜目次＞

クラウドシフトによる情勢とリスク

働き方改革やテレワークなどワークスタイルの多様化に伴い、初期コストや社内資産の低減、保守体制の移行を目的として、多くの企業でクラウドサービスの利用が活発となっています。　

総務省の「令和3年版情報通信白書」によると、クラウドサービスを一部でも利用している企業の割合は68.7％と約7割となっており、年々増加しています。

（出典）総務省「令和3年版情報通信白書」https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r03/html/nd242140.html

場所を問わず、あらゆるデバイスからのアクセスが可能となり、便利になった一方で、クラウド特有の脅威などからセキュリティ環境に不安をお持ちのお客様もいらっしゃるのではないでしょうか。

従業員が利用しているクラウドサービスの実態把握や制御ができずにいると、以下のようなセキュリティリスクが発生します。

シャドーITによるリスク

クラウドサービスは業務の利便性を高めてくれますが、利用が増加したことにより、企業では管理しきれないほどのシャドーITが増えています。シャドーITとは、企業が利用状況や存在を把握していないIT機器やサービスのことを指します。

企業が本来許可していないクラウドサービスを社員が利用
従業員が未許可のクラウドサービスに会社の機密情報をアップロードしてしまった際、そのサービスがデータを暗号化せずに保存していた場合、ハッキングにより機密情報を盗み取られてしまいます。
2015年には「I Love Translation」というオンライン翻訳サービスを利用すると、入力した内容がサーバ内に保存され、翻訳を行った情報が誰でも閲覧可能な状態になっていたという事件もありました。

サンクションITによるリスク

シャドーITによる情報漏洩リスクの他にも、サンクションITによるリスクもあります。サンクションITとは、企業単位で契約利用している認可クラウドサービス(Microsoft365、Box、Slack等)を指します。認可しているサービスとはいえ、個々のクラウドサービスの管理機能だけでは対応できないアカウントの不正利用や、外部とのデータ共有等のセキュリティ問題があります。

悪意のある内部者や第三者によるクラウドサービスの不正利用
従業員がクラウドストレージサービス等に会社の機密情報をアップロードして外部に持ち出し、情報漏洩に繋がるケースがあります。
また、悪意のある第三者にユーザIDやパスワードが奪われてしまい、機密情報を窃取されるリスクもあります。

独立行政法人 情報処理推進機構（IPA）が公開している「情報セキュリティ10大脅威 2021」によると、「内部不正による情報漏えい」は6位にランキングしており、依然として高い脅威となっています。「インターネット上のサービスへの不正ログイン」は昨年の16位から8位に浮上しており、認可しているクラウドサービスだからといって安全とは言い切れない状態です。

（出典）独立行政法人 情報処理推進機構「情報セキュリティ10大脅威 2021」 https://www.ipa.go.jp/security/vuln/10threats2021.html

CASBによるセキュリティ対策

時代の変化に伴い、企業でのクラウドサービスの利用が活発となり、それに伴いクラウドサービスに関するセキュリティインシデントも増加しています。クラウドサービスのセキュリティ対策にはCASB（Cloud Access Security Broker）が有効です。
CASBはGartner社が提唱したコンセプトで、ユーザと複数のクラウドの間に単一のコントロールポイントを設け、クラウド利用の可視化や制御を実施します。CASBには以下4つの機能が必要となります。

CASB製品を導入することで、「誰が」、「いつ」、「何を」、「どのくらい」クラウドを利用しているか可視化し、リスクを把握することでクラウドサービスに関するセキュリティインシデントの対策を講じることができます。

例えば、「誰が何をどのくらい使っているか？」、「本来は許可されていないサービスを利用していないか？」などを把握することでシャドーITを可視化します。
さらに、「匿名ユーザで使用できるか？」や「ストレージが暗号化されているか？」などの評価項目から各サービスのリスクを洗い出し、ファイアウォールやProxyと連携しアクセス制御を行うことが可能になります。

おわりに

デジタルトランスフォーメーション(DX)や働き方改革に伴い、クラウド利用の加速やリモートワーカーの増大、モバイルデバイスの利用が増加しています。こうした状況の中、適切にクラウドを利用するため、管理者が全てのクラウドサービスを把握し、アクセス制御をすることは、現実的に難しくなっています。
セキュリティインシデントへの対応について、企業で利用されているクラウドの利用状況を可視化・コントロール・保護を行うことができるCASB製品の導入をぜひご検討ください。

⇒CASB製品のご紹介はこちら

約3万のクラウドサービスを検出可能なCASB製品の紹介動画

シャドーIT対策にも有効な次世代SWGについてはこちらから