クラウドセキュリティにおける「責任共有モデル」とは?

責任共有モデルの定義

責任共有モデルとは、Amazon AWS、Microsoft Azure、Google Cloudなどのクラウドサービスプロバイダー(CSP)が担う責任と、顧客が自ら確保すべきセキュリティ対策を明確化する、セキュリティおよびコンプライアンスのフレームワークです。

このモデルにより、CSPと顧客はそれぞれが対応すべき事項を把握できるようになり、可視性のギャップが生じるリスクを低減できます。一方で、どちらか一方がクラウドセキュリティの責務を果たせなければ、データ漏洩が発生する可能性があるということも意味します。

CSPは「クラウドそのもの」のセキュリティ(クラウドインフラストラクチャなど)を担い、顧客は「クラウド内」のセキュリティ(データ、エンドポイント、アイデンティティ、アプリケーションなど)を管理します。両者間での責任分担の詳細は、IaaS(Infrastructure as a Service)、PaaS(Platform as a Service)、SaaS(Software as a Service)といったクラウド導入形態によって異なります。

すべてのデータ、アプリケーション、インフラストラクチャがオンプレミス環境に限定されていた時代には、顧客がそのすべてに対する責任を負っていました。従来型のセキュリティ境界の内側ですべてを保護できたため、セキュリティ責任について混乱が生じる余地はありませんでした。

しかし現在では、物理インフラへの依存を減らし、データやアプリケーションへリモートでアクセスし、ITコストを削減し、より効果的にスケールするために、多くの企業がリソースやアプリケーションをクラウドへ移行するようになっています。その結果、セキュリティ責任の所在が分かりにくくなっています。

責任共有モデルが存在する理由

オンプレミス環境ではすべてを自社で管理していた顧客が、クラウドではインフラストラクチャを所有・管理しないことから、よくある誤解が生まれました。CSPがセキュリティ機能を提供するようになった結果、顧客は「何のセキュリティを実際に誰が管理しているのか」を把握しづらくなったのです。

責任共有モデルは、クラウドセキュリティの責任範囲を明確にする助けとなります。セキュリティは共有される形となり、ある側面はCSPが、別の側面は顧客が担うことになります。

クラウドの責任共有モデルには、次のようないくつかのメリットがあります。

• ITの負担軽減: CSPがクラウドインフラストラクチャを提供・保護するため、顧客のITコストが削減されます。
• コンプライアンスとセキュリティ体制の向上: CSPは高度なセキュリティ機能を提供することが多く、セキュリティ予算の少ない顧客でもクラウド上の資産を保護し、コンプライアンス要件を満たしやすくなります。
• 透明性のある責任範囲: CSPが自らの保護対象を明確にすることで、顧客は自社のリソースやアプリケーションを保護する責任がどこにあるのかを把握できます。

一方で、責任共有モデルには次のような課題も存在します。

• 複雑性の増大: 自社の責任をどのように果たすかを判断することが、顧客にとってセキュリティおよびコンプライアンス上の複雑性を増大させる要因となる場合があります。これは特にマルチクラウド環境やハイブリッドクラウド環境において顕著であり、異なるクラウド導入形態やCSPの存在が、顧客のセキュリティ要件に関する混乱を招くことがあります。
• リスク修復の難しさ: 顧客は、脆弱性のパッチ適用やインフラストラクチャに関連するその他のクラウドセキュリティリスクの管理をCSPに依存しています。そのため、CSPの対応が迅速でない場合、顧客側が脆弱な状態に置かれる可能性があります。

サービスプロバイダーと顧客の間の責任分担

前述のとおり、CSPは一般的に「クラウドそのもの」のセキュリティに責任を負い、顧客は「クラウド内」のすべてのセキュリティを担います。

両者間での分担は、多くの場合次のようになります。

クラウドサービスプロバイダーの責任

CSPは、自らが管理するクラウドコンピューティングの側面について、セキュリティを提供します。具体的には以下が含まれます。

• 物理データセンター(ハードウェア、施設、ネットワーキングなど)
• インフラストラクチャ(サーバー、ストレージ、仮想化レイヤーなど)
• クラウドサービスの可用性と冗長性
• マネージドサービス(サービスの種類による)

顧客の責任

CSPは自社のサーバー上でホストされているものを可視化できないため、顧客は通常データセキュリティに重点を置きます。その他の領域には以下が含まれます。

• アイデンティティおよびアクセス管理(IAM):認証情報の保護やシークレット管理など
• データ保護:暗号化、分類、権限付与など
• アプリケーション、オペレーティングシステム、エンドポイントのセキュリティ
• ファイアウォールおよびその他のセキュリティツールの構成

例えば:

• AWSの責任共有モデルでは、AWSがすべてのAWSクラウドサービスのインフラストラクチャを保護します。
• Azureの責任共有モデルでは、クラウド導入形態によってMicrosoftがIAM、アプリケーション、ネットワーク制御の一部を顧客と共有します。
• Google Cloudの責任共有モデルは、従来型の分担方式に従っています。

サービスモデルごとの責任共有

クラウドサービスモデルを検討する際、企業は自社とCSPの間でクラウドセキュリティがどのように分担されるかを理解する必要があります。クラウド導入の選択肢は通常、IaaS、PaaS、SaaSのいずれかです。

Infrastructure as a Service(IaaS)

IaaSとは、Google Cloud Compute Engineなど、クラウドインフラストラクチャへのアクセスに対して顧客が料金を支払うクラウドコンピューティングモデルです。

IaaS導入の場合、顧客が自社のクラウド資産・環境に対して最も大きな責任を負います。顧客は、データセキュリティ、アプリケーションおよびエンドポイントのセキュリティ、アクセスおよび認証、ネットワークセキュリティ、そしてゲストOS・データ・アプリケーションについて対応する必要があります。

CSPは多くの場合、インフラストラクチャとストレージ(ハードウェアセキュリティ、データセンターセキュリティ、データストレージ、仮想化およびサーバー利用を含む)に対する責任を負います。

Platform as a service (PaaS)

PaaSとは、Google Kubernetes EngineやAzure App Serviceなど、アプリケーションを構築・管理・展開するためのプラットフォームに対して顧客が料金を支払うクラウドコンピューティングモデルです。

PaaS導入では、より多くの責任が顧客からCSP側へと移ります。CSPはネットワークセキュリティ、監査ログ、ゲストOS・データ・コンテンツ、ストレージ、ハードウェアを提供します。顧客はデータセキュリティ、コードセキュリティ、アプリケーションの展開およびセキュリティに重点を置きます。

PaaSでは、CSPと顧客が責任を共有する場合もあります。例えばAzureの場合、顧客とMicrosoftはアイデンティティおよびディレクトリインフラストラクチャ、アプリケーション、ネットワークについて責任を共有します。

Software as a service (SaaS)

SaaSとは、Microsoft 365やGoogle Workspaceなど、ローカルマシンではなくWebブラウザ経由でアプリケーションにアクセスするために顧客がサブスクリプション料金を支払うクラウドコンピューティングモデルです。

SaaS導入の場合、CSPまたはベンダーがアプリケーション、ネットワーク、ハードウェアのセキュリティなど、責任の大部分を担います。顧客はワークロードおよびデータセキュリティ、アクセスポリシーに重点を置きます。

責任共有モデルにおける主要なベストプラクティス

1. クラウド導入形態と自社の責任範囲を理解する: 自社のクラウド導入形態について理解を深め、サービスレベル契約(SLA)を確認して、自社とCSPそれぞれの責任範囲を明確にし、可視性のギャップが生じないようにします。
2. データセキュリティを確保する: クラウド導入形態にかかわらず、顧客は自社のデータおよびCSPのインフラストラクチャ上で開発・作成されたものすべてを保護する責任を負い続けます。
3. 強固なIAMを実装する: ロールベースアクセス制御(RBAC)、最小権限、多要素認証(MFA)などのIAMコントロールを採用し、クラウド上のデータを保護します。クラウド上のアイデンティティを保護する方法としては、従来型のIAMツール(一定の制約あり)、またはクラウド基盤権限管理(CIEM)ソリューションが挙げられます。
4. パッチおよび脆弱性管理を継続的に行う: 継続的なパッチ適用と脆弱性管理を実施し、実際に本番環境へ影響を及ぼしうるクラウドリスクを排除します。
5. セキュリティのシフトレフトを進める: DevSecOpsを採用し、安全なソフトウェア開発ライフサイクルを実現します。これには、構成のドリフトを検知するためのInfrastructure as Code(IaC)や、インフラストラクチャのポリシーおよびルールを管理するためのPolicy as Codeが含まれます。
6. 継続的な監視と脅威検知ツールを活用する: クラウドネイティブアプリケーション保護プラットフォーム(CNAPP)を導入し、クラウド導入環境への深い可視性を確保するとともに、リアルタイムでの脅威検知とリスクのコンテキスト化を実現します。また、クラウドセキュリティポスチャ管理(CSPM)を採用し、設定ミスやコンプライアンス違反を検知します。
7. マネージドサービスの活用を検討する: 自社の予算では責任共有モデルにおける自社担当範囲を十分に保護できない場合は、マネージドセキュリティサービスの利用を検討します。

これらの責任共有モデルのベストプラクティスを実践することで、データ漏洩につながりがちな一般的な設定ミスをより適切に管理し、不十分なIAMを改善し、未対応の脆弱性を発見し、クラウド環境全体にわたる可視性を確保することができます。

Sysdig Secureで包括的なクラウドセキュリティを実現

Sysdig Secureは、ランタイムを起点としたCNAPPであり、実際に存在するセキュリティリスクや脅威を特定・優先順位付けし、リアルタイムで対応するとともに、データがどこに存在するかを深く可視化することを支援します。

Sysdigのランタイムインサイトにより、イベント、脅威、脆弱性に関するコンテキストが得られ、それぞれが自社にもたらすリスクを理解できるようになります。