特権を委譲してクラウドのセキュリティーを強化する

この記事では、データ・センターをクラウドへと移行する必要性を考察し、パブリックおよびプライベート両方のクラウド・インフラストラクチャーで仮想化が果たす役割を詳しく説明します。そして、「管理アクセス権限」と「特権委譲」を利用して行うクラウド内の機密データを保護する方法を理解する手掛かりとなるように、クラウド・コンピューティングでセキュリティーおよびコンプライアンスが持つ意味を概説します。

Jim Zierick, Executive Vice President, BeyondTrust Software

Jim Zierick は、技術系企業で培ってきた 25 年を超える運営および販売経験を BeyondTrust 社で生かしています。彼の任務は、特権 ID 管理市場やその関連市場における生産成長および技術的見解を主導する国際的イニシアティブの指揮です。彼は、BeyondTrust 製品スイート全体の開発方法論、プロセス、および管理を推進しています。



2012年 2月 03日

「仮想マシンを利用すると、ソフトウェアをデプロイするためにハードウェアを購入して配備する必要はなくなり、仮想マシンを利用しない場合に比べ、企業内でソフトウェアを利用できるようになるまでの時間が 10 倍から 20 倍、場合によっては 30 倍短縮されます。」Gartner 社の VP 兼 Distinguished Analyst、Thomas J. Bittman 氏の言葉から引用。

今日の経済情勢のなか、組織が重点を置いているのは、競争力を維持しつつもコストを削減し、より少ないコストでより多くの成果を上げることです。このことは、組織が最も効率的かつコスト効果の高い方法で重要なビジネス・ニーズを満たし、目的とされる成果を確実に達成できるように、IT 部門には今まで以上に厳格な取り組みが求められていることを意味します。この難題に対処するために、IT 組織は IT についての考え方として、機器を中心に考える考え方から、アプリケーション、情報、人間に重点を置いたクラウド・コンピューティングならではの特徴によりフォーカスした考え方へと次第に移行するようになっています。

新たなトレンドとなっているクラウド・コンピューティングは、動的にスケーリング可能な仮想 IT リソースをすぐさま利用できるソリューションとして、よりビジネスの目標に即していて、無駄がなく、堅牢でコスト効果の高い IT インフラストラクチャーを構築するための、新たな絶好の機会を組織に提供することを約束します。しかし、クラウド・コンピューティングのメリットをフルに活用するには、制御、コンプライアンス、そしてセキュリティーに関するトレードオフに対処しなければなりません。

この記事では、パブリック・クラウド・インフラストラクチャーで仮想化が果たす役割を含め、データ・センターからクラウドへのマイグレーションを駆り立てる要素について説明します。そして、「管理アクセス権限」および「特権委譲」という、クラウド内の機密データを保護する鍵となる 2 つの方法を理解する手掛かりとなるように、クラウド・コンピューターにおけるセキュリティーとコンプライアンスの意味を概説します。

クラウドに移行する理由

組織はなぜ、データ・センターをクラウドに移行しようとするのでしょう?その理由は単純です。クラウドにデータ・センターを構えるモデルは、サーバーを仮想化することでもたらされる柔軟性と、大規模なプライベート・クラウドまたはパブリック・クラウドを使用することによるスケール・メリットによって、今日のコンピューティング・ニーズによく適した経済モデルとなるからです。

この優れた経済モデルの基礎となるのは仮想化です。仮想化のおかげで、ワークロードが変動した場合でもサーバーおよびストレージ・ハードウェアの高い使用率を維持することが可能になります。この経済モデルによって以下のメリットがもたらされます。

  • スケール・メリットに加え、パブリック・クラウド内で複数の事業部門あるいは複数の企業がリソースを共有することで実現される高いリソース使用率のおかげで、より低コストのモデルが可能になります。
  • リソースのために大きな固定費や多額の設備投資費を支払わなくても、使用したリソースの分だけ支払えばよいという柔軟性があるおかげで、IT をさまざまな業界のビジネスにより適切に対応させることが可能になります。

クラウド・モデルには、単なる経済上のメリットのみならず、運用上も大きなメリットがあります。優れた運用モデルの基礎となるのも、同じく仮想化です。仮想化により、必要なアプリケーションのプロビジョニングに要する時間やサーバー 1 台あたりのワークロードを削減することが可能になります。クラウド・モデルでは、物理インフラストラクチャーの複雑さも、プロビジョニング・プロセスや管理プロセスの詳細も、エンド・ユーザーには隠され、他のあらゆるビジネス・サービスと同じように簡単にクラウド・コンピューティングを購入して管理することができます。さらに、クラウド・モデルはサービスおよびサービス・レベル・アグリーメントの測定手段を提供するだけでなく、信頼性に優れ、モバイル・ユーザーやリモート・ユーザーにとってアクセスしやすいことから、非常に魅力的な価値提案となります。


クラウドを実現する鍵としての仮想化

クラウドはそれ自体が仮想化というわけではありませんが、仮想化はクラウドに不可欠の部分であり、クラウド・コンピューティイングを実現する重要な鍵となっています。サーバーおよびストレージを仮想化することで、ワークロードが変動した場合でも物理ハードウェアのより高い使用率が実現されるようになります。

必要に応じて自動的にワークロードを移すことができれば、あらゆるアプリケーションに冗長構成の (そして大抵は十分に活用されない) ハードウェアを用意しなくても、信頼性が向上します。クラウド・プロバイダーはこの仮想化による経済面での強みをベースに、スケール・メリットと、ルーチン・ワークとなっているシステム管理の高度な自動化を組み合わせることで、コストの削減を実現します。これにより、クラウド・ベースのデータ・センターは経済的に実現可能な代替手段あるいは補足手段となります。それでもなお、組織がデータをクラウドに移す際には、この仮想環境が適切に管理されない場合に直面するリスクを考慮しなければなりません。

さらに、仮想化は IT 部門がビジネスに対して実質的なサービス・プロバイダーとして機能することも可能にします。優れた運用モデルの基礎となるのもやはり仮想化で、仮想化によって必要なアプリケーションのプロビジョニングに要する時間やサーバー 1 台あたりのワークロードを削減することが可能になります。物理インフラストラクチャーの複雑さも、プロビジョニング・プロセスや管理プロセスの詳細も、エンド・ユーザーには隠すことで、サーバーの仮想化は「IT がクラウド・プロバイダーのような役割を果たせるように支援し、ビジネスがクラウド・コンピューティングをより有効に利用するためのお膳立てをします。」(GartnerGroup の「Server Virtualization: One Path That Leads to Cloud Computing」(RAS Core Research Note G00171730、Thomas J. Bittman 著、2009年 10月 29日) から引用。)

このことは、データ・センターおよび IT 運用にとって何を意味するのでしょうか?大々的に仮想化されたデータ・センターでは、第 1 の特徴として管理対象のサーバー数が急増します。この増加の規模 (数百から数千に、あるいは数千から数万に増加する場合もあります) は、データ・センターの運用にかなりの複雑さをもたらします。変更と構成を管理することが、これまで以上に重要かつ困難になり、自動化はコスト節約に有効な方法というよりも、基本的な要件となってきます。

このような仮想環境やクラウド環境に伴う複雑さから、クライアントのデータは、純粋な物理環境にはないセキュリティーのベクトルにさらされます。IT スタックに仮想化層を追加すると、すでに確立されたセキュリティー・モデルに新しい障害点が生まれます。それは、外部からの侵入者や悪意のある内部関係者にとって新たな攻撃のターゲットとなります。ハイパーバイザー・レベルでセキュリティーが侵害されたとしたら、オペレーティング・システム、データ層、アプリケーション層を含め、そのハイパーバイザーをベースとするスタック全体のセキュリティーが危うくなります。


クラウド・データ・センターにおける危険

IDC Enterprise Panel の調査によると、クラウド・コンピューティング環境に移行する企業が最も懸念している点は、セキュリティーです (図 1 を参照)

図 1. クラウドに移行する際の最大の懸念事項はセキュリティーです
クラウドに移行する際の最大の懸念事項はセキュリティーです

エンタープライズ IT 環境の規模が大幅に拡大して、複雑さが急激に増した結果、特定のアプリケーション、顧客、事業部門、運用、そして法規制へのコンプライアンスのそれぞれを中心とした専用の IT インフラストラクチャーが構築され、他のインフラストラクチャーとの連携がないサイロとなることはよくあります。

クラウド・コンピューティングは、データ・センター内での従来のアプリケーションのサイロを取り除き、IT 組織に新しいレベルの柔軟性とスケーラビリティーをもたらします。その一方で、マルチテナント型コンピューティング環境のサポートによって新たなセキュリティー・リスクも取り込まれます。そのなかで最も油断のならないリスクは、データ窃盗です。

セキュリティーは、クラウドに移行する顧客にとっての最優先事項ですが、クラウド・プロバイダーにとって最も重要なこととは限りません。Ponemon Institute による最近の「Security of Cloud Computing Providers」の調査結果には、「クラウド・コンピューティング・プロバイダーの大半は、セキュリティーを最も重要な責務の 1 つとして捉えていない」ことが示されています。さらに、「回答者の圧倒的多数は、リソースのセキュリティーを確保する責任はクラウド・コンピューティングのユーザーにあると確信している」ことも示されています。

多くのクラウド・ベンダーでは、仮想化およびクラウド・モデルに付きもののセキュリティーの難題に対処するためのリソース、専門技術が必要に応じて拡充されるように大規模な取り組みを行っています。

クラウドを利用すれば、組織がサーバー、ストレージ、ネットワーク、ソフトウェアを自ら所有して運用する必要がなくなりますが、それと同時に、組織のデータ資産の定義と保護に役立つ従来の物理的境界の多くがなくなることにもなります。仮想サーバーとモバイル仮想マシンが物理サーバーと物理ファイアウォールに置き換わることにより、新しいリスクがもたらされます。仮想化によって物理サーバーの間に存在する空間的隔たりがなくなり、機器を物理的に分離されたネットワークに分けることができなくなるためです。

ネットワークの物理的な分離がなくなると、システム管理者およびネットワーク管理者のアクセス・ルートを限定するのが難しくなります。クラウド環境は規模も柔軟性も大きくなることから、変更と構成の管理に複雑さが加わり、最小特権の原則と、職務の分離の原則を実施するのも困難になります。

例えば、悪意のあるユーザーが仮想インフラストラクチャーの管理者の資格情報を持っているとしたら、そのユーザーは仮想マシンを複製して、ゲスト・マシンに含まれるすべてのデータにアクセスすることができてしまいます。さらに、その仮想マシンを複製してクローンを削除し、削除したイメージを通常のセキュリティーの監視が届かないところにマウントする恐れさえあります。

クラウドでは、機密データおよびアプリケーションを追跡して管理するプロセスが常に変化するため、これらの資産を保護するのがなおさら困難になります。クラウド・プロバイダーが適切な情報保護レベルを確保するために用いている技術とプロセスを認知できない限り、機密データをクラウドで保管および処理することは禁物です。


クラウド・コンピューティングに対する脅威のトップ・ランキング

Cloud Security Alliance の「Top Threats to Cloud Computing v1.0」(2010年 3月) によると、以下の脅威が、クラウド・コンピューティングに対するセキュリティー上の脅威の上位を占めています (順不同)。

  • クラウド・コンピューティングの悪用および不正な使用: IaaS プロバイダーは、無制限であるかのように見えるコンピューティング・キャパシティーと、ネットワーク・キャパシティー、そしてストレージ容量を、単純かつ簡単な、かなりオープンな登録プロセスによって提供しています。この登録プロセスを、スパマーが不正に使用する可能性があります。これまで、この種の攻撃に最も悩まされていたのは PaaS プロバイダーでしたが、最近では、ハッカーたちが IaaS ベンダーも攻撃のターゲットにしているという兆候が明らかになっています。攻撃の対象として懸念されるのは、パスワードと鍵のクラック、DDoS 攻撃、動的な攻撃ポイントの立ち上げ、悪意のあるデータの格納、ボットネットによるコマンドおよび制御、レインボー・テーブルの作成、CAPTCHA 解決ファームといった領域です。
  • 非セキュアなインターフェースおよび API: クラウド・プロバイダーは、顧客がクラウド・サービスを管理および操作 (プロビジョニング、管理、オーケストレーション、および監視) するために一連のソフトウェア・インターフェースまたは API を公開しています。一般的なクラウド・サービスのセキュリティーと可用性は、これらの基本 API のセキュリティーに依存します。組織は通常、これらの API を拡張して付加価値のあるサービスを提供しますが、そのような API を重ねることによって複雑さが増してきます。この脅威が懸念される領域には、認証、アクセス制御、暗号化、アクティビティー監視が含まれます。
  • 悪意のある内部関係者: この脅威がクラウド・サービスのコンシューマーにとってますます大きくなるのは、プロバイダーが採っているプロセスおよび手段の透明性が欠けているなかで、IT サービスと顧客が 1 つの管理ドメインに収束される場合です。この脅威が懸念されるのは、プロバイダーが従業員に物理資産および仮想資産へのアクセス権限を付与する方法、アクセス権限を付与した従業員の監視方法、ポリシーへのコンプライアンスを分析および報告する方法などです。クラウド・プロバイダーに対する標準およびプラクティスの採用も懸念事項となる可能性があります。
  • 共有技術の脆弱性: IaaS ベンダーはスケーラブルな方法でサービスを提供するために、インフラストラクチャーを共有するという方法を採ります。けれども、インフラストラクチャーを構成するコンポーネントが、マルチテナント型アーキテクチャーの強力な分離特性を実現するように設計されていない場合もあります。ゲスト OS と物理コンピューティング・リソースとの間のアクセスは仮想化ハイパーバイザーが仲介しますが、ハイパーバイザー自体に欠陥があり、ゲスト OS がそのベースにあるプラットフォームを不相応なレベルで制御したり、影響を与えたりすることを許してしまう可能性も考えられます。この脅威が懸念される領域には、コンピューティング、ストレージ、およびネットワーク・セキュリティーの実施と監視があります。
  • データ損失/漏洩: データ漏洩の脅威は、クラウドでは一層高まります。クラウドには、クラウド環境のアーキテクチャーまたは運用上の特性が原因で危険度が増しているリスクや難題、あるいはクラウドに特有のリスクや難題があり、それらを扱う機会が増えるためです。この脅威が懸念されるのは、バックアップせずにレコードを削除または変更すること、レコードをその周りのコンテキストから切り離すこと、エンコードの際に使われた鍵の紛失、許可されない関係者による機密データへのアクセスなどの領域です。
  • アカウントまたはサービスの乗っ取り: クラウドでは、セキュリティーの全体像に新たな脅威が加わります。それは、アカウントまたはサービス・インスタンスがアタッカーにとって新しい攻撃拠点となる可能性があるためです。この脅威が懸念されるのは、フィッシング、詐称、ソフトウェアの脆弱性が悪用される可能性、そして頻繁に再利用される資格情報とパスワードなどの領域です。

クラウド・ベンダーが管理するハイパーバイザー/VMM 層にアクセスするために使用する管理ツールについては、厳重な警戒姿勢を維持するように厳密に制御しなければなりません。組織はビジネス要件とセキュリティー要件を慎重に分析し、セキュリティー機能およびクラウド・サービス・レベルの深さと信頼性を評価する必要があります。

「悪意のある内部関係者が、あるレベルのアクセス権限を持ち、組織に入り込んで資産にアクセスできることを考えると、彼らが組織に与える影響は多大なものとなりかねません。ブランドの評判が傷つく、財務的影響が出る、生産性が失われるなど、悪意のある内部関係者はさまざまな形でビジネス運営に影響を及ぼす可能性があります。人的要素は、組織がクラウド・サービスを導入する際にはさらに深い重要性を持つことになります。したがって、悪意のある内部関係者の脅威を見つけ出して防御するために、プロバイダーがどのような措置を採っているかを理解することが、クラウド・サービスのコンシューマーにとって非常に重要です。」Cloud Security Allianceの「Top Threats to Cloud Computing v1.0」(2010年 3月) から引用。

それなのに、顧客の要件とベンダーの優先事項との間に関係がないように見えるのはなぜでしょうか?それは一部に、クラウドのセキュリティーは本質的に共同責任であることが理由となっているのかもしれません。セキュリティーをどのように定義し、実装するかは、ほとんどコンプライアンスによって左右されます。その一方、COBIT から PCI に至るまでの多数のフレームワークがあるにも関わらず、これらのコンプライアンス標準はそれほど明確なものではないため、監査員ごとにそれぞれ違った解釈をする余地が十分にあります。

Ponemon の調査によると、クラウド・プロバイダーは「機密データに対する特権ユーザーのアクセスを制限することにおいては、ほとんど自信がありません」。この自信の欠如は、特権アクセスおよび適切な制御の内容が明確に定義されていないことが少なからず原因となっているはずです。さらに、従業員に物理資産と仮想資産に対するアクセス権限を付与する方法をはじめ、プロバイダーが使用しているプロセスおよび手段の透明性が全体的に欠けていることが、データ窃盗の防止をますます難しくしています。多数の顧客からの貴重なデータが集まっていれば、その場所は、非倫理的なシステム管理者や悪意のあるインターネット・ベースのアタッカーが攻撃を仕掛けるにはもってこいの対象です。したがって、特権ユーザーのアクセスについては十分に注意しなければなりません。

クラウドをセキュアに、そしてコンプライアンスに対応した方法で使用することを目指す企業は、具体的な責任の内容、そしてその責任の所在を考える必要があります。

  • クラウド・ベンダーはその役割として、セキュリティー技術の確固たる基盤を提供すること。具体的には、ファイアウォール、アンチウィルスとアンチマルウェア、送受信中のデータ暗号化、パッチ管理、ログ管理などを提供する必要があります。
  • 顧客もその役割として、クラウド・ベンダーが提供するセキュリティー基盤を使用してクラウドの運用をセキュアに行い、適切なポリシーと手段が採られていることを確実にすること。

上記を定義した後は、複雑な部分だけが残ります。それは、共同責任、そしてクラウドという特殊な環境での特権ユーザーです。

このように考えると、ベンダーの優先事項は顧客の優先事項と一致してきます。現在、ほとんどのクラウド・ユーザーが優先事項としているのは、コストとワークロードを削減し、デプロイメント時間を短縮すると同時に、新しいレベルのスケーラビリティーを実現することです。これらの優先事項のなかには、適切なセキュリティーを実現するために必要な時間とリソースに相反するものもあります。

そのような優先事項でも、顧客が要求し、料金を支払うと表明した場合には、ベンダーは必要とされるセキュリティーを強化して提供するはずです。Ponemon Institute による「Security of Cloud Computing Providers」の最近のレポートから引用すると、「現在、クラウドからセキュリティーが真のサービスとして顧客に提供されることはめったにありません。調査したクラウド・プロバイダーの約 3分の1 は、そのようなソリューションが今後 2 年のうちに新しい収入源になると考えています。」クラウド・プロバイダーがセキュリティーを真のサービスとして提供するようになるには、妥当なセキュリティー・プロセスの提供がクラウド・ベンダーにとって有効なビジネスであると判断されるように、顧客が監視、コスト、およびサービス・レベルの要件を提供することが必要です。これにより、顧客である企業ではセキュリティー・チームの関与が深まり、セキュリティーをクラウド・サービス購入の決定要因として考慮に入れるようになり、セキュリティー・プロセスに関する定期的なレポートの作成やサービス・レベル・アグリーメントの作成をクラウド・ベンダーに対して主張するようになります。

最も慎重に扱うべき企業の機密データを保護できるだけのセキュアなクラウド・ベンダーを必要とする企業は、以上の点をベンダーに強く主張し、要件を伝え、制御を監視し、レポートを要求し、そして最終的にはクラウドのセキュリティーにベンダーと共同で責任を持たなければなりません。

パブリック・クラウドの代わりに、データの制御を強化する手段としてプライベート・クラウド・インフラストラクチャーを採用している組織もあります。その場合でも、悪意のある内部関係者の脅威を見つけ出し、防御するための手順を踏まなければならないことには変わりありません。

現在の組織の大半は、クラウド・モデルへの移行にかなり意欲的ですが、検証されていない領域にミッション・クリティカルなデータを置くことについては躊躇します。クラウドを促進させる技術のエコシステムはまだ成長を続けているものの、このエコシステム全体をクラウド環境特有の要件に適応させる必要があります。


コンプライアンスに関する懸念事項

クラウド環境を利用する組織が抱える最大の難題の 1 つは、ポリシーへのコンプライアンスを実証することです。一般にクラウドで実行されるビジネス機能の多くについては (例えば、Web サイトやウィキをホストするなど)、クラウド・プロバイダーに対してベースにあるインフラストラクチャーのセキュリティーを保証させるだけで十分であることが多いですが、ビジネスに不可欠なプロセスおよび機密データの場合、ベースにあるクラウド・インフラストラクチャーがセキュアであることを組織自らが検証できることが絶対に必要です。

仮想マシンを使用すると、クラウド・インフラストラクチャーはさらに複雑になります。個々の仮想マシンの ID を作成して、それぞれの仮想マシンが作成されてから削除されるまで追跡するのは成熟した仮想環境でさえも難しいことがあるためです。また、物理サーバーで制御を行うという現在のコンプライアンス手法は、仮想環境に合わせて変更しなければなりません。クラウドの物理インフラストラクチャーと仮想インフラストラクチャーのコンポーネントのすべてを外部サービス・プロバイダーが所有し、管理しているとなると、これらのインフラストラクチャーが信頼できるものであることを証明するのは、なおさら困難になります。

このことから、クラウドの使用を考えている企業は、既存の制御を再考する必要があります。幸い、クラウドを使用しても変わらない要素はあります。技術的な制御の多くは変わりません。また、アウトソース先ベンダーの管理などのプロセスも同様です。その一方、クラウド特有の側面については、ハイパーバイザーの保全性を監視するための新しい制御や、アプリケーションおよびデータ・ガバナンスを対象とした追加のプロセス関連の制御などを含め、ある程度のセキュリティー戦略の転換が必要となってきます。

クラウド・プロバイダーは、特権ユーザーによるアクセスの制御および監視が確実に行えることをテストして、実証可能でなければなりません。例えば、ISO/IEC 27001 では組織が ISMS (Information Security Management System) を作成することを要件としています。ISMS により、組織はリスク・ベースの手法を使用してすべてのコンプライアンス要件を識別して満たし、制御の選択と実装を正当化し、測定可能な証拠によって制御が効果的に機能していることを証明することができます。

したがって、ISO 27001 標準を導入済みであると主張する組織については、正式に監査して、この標準へのコンプライアンスを認定することができます。この標準は、米国以外ではすでによく知られており、米国でも、徐々に認識され、支持されるようになってきています。ISO 27001 では、以下の管理を要件としています。

  1. 組織の情報に関するセキュリティー・リスクについて、脅威、脆弱性、影響を考慮に入れて体系的に検討すること。
  2. 許容できないと見なされるリスクに対処するために、一貫した包括的な情報セキュリティー制御あるいはその他の形のリスク対策 (リスク回避やリスク移転など) を設計し、実装すること。
  3. 情報セキュリティー制御が、組織の情報セキュリティー・ニーズを常に満たしていることを確実にする、包括的な管理プロセスを導入すること。

重要な法規制には、PCI DSS (Payment Card Industry Data Security Standard: クレジット・カード業界データ・セキュリティー基準) も挙げられます。これは、クレジット・カード所有者の機密情報の盗難を阻止する目的で、クレジット・カードによる支払い時の顧客情報に関するセキュリティーを強化するためのさまざまな要件を集めた法規制です。これらの要件は、主に以下のグループに分類されます。

  1. セキュア・ネットワークの構築および保守
  2. カード保有者のデータの保護
  3. 脆弱性管理プログラムの保守
  4. 強力なアクセス制御手段の実装
  5. ネットワークの定期的な監視およびテスト
  6. 情報セキュリティー・ポリシーの保守

こうした標準や法規制へのコンプライアンスが必要な場合には、組織はプロバイダーに対し、規制基準 (PCI DSS、米国の HIPAA (Health Insurance Portability and Accountability Act: 医療保険の相互運用性と説明責任に関する法律)、EU Data Protection Directive (EU データ保護指令) など) を満たしていることを確約するように要求することも必要です。


クラウドをセキュアにする: 管理アクセス権限および特権委譲

「クラウドをセキュアにすることはできません。「クラウド」という実態は存在しないからです。確実なセキュリティー・プログラムを使用していないとしたら、クラウド・コンピューティングによって事態が悪化するでしょう。」Cloud Security Alliance の創設メンバーであり、現在技術アドバイザーを務める Christopher Hoff 氏の言葉。

エンタープライズ・アプリケーションでの ID とアクセス制御の管理は、今でも IT が直面する最大の難題の 1 つです。ID およびアクセスを管理するための優れた戦略がなくても、企業は複数のクラウド・コンピューティング・サービスを利用できますが、オンデマンド・コンピューティング・サービスを戦略的に使用するためには、最終的に組織の ID サービスをクラウドに拡張しなければならなくなります。

BeyondTrust 製ソフトウェア

BeyondTrust 製ソフトウェアは、特権許可管理、アクセス制御、セキュリティー・ソリューションを仮想化およびクラウド・コンピューティング環境に提供することで、IT ガバナンスを強力なものにします。これにより、セキュリティーを強化し、生産性を向上させ、コンプライアンスに準拠し、コストを削減できるようにします。BeyondTrust 社製品の目標は、異機種混合の IT システムでのデスクトップおよびサーバーで意図的、偶発的、および間接的に特権が誤用されるリスクを排除することです。

BeyondTrust 社のお客様は、金融、航空宇宙工学、防衛、薬理などの各種業界および学会にまたがっています。

BeyondTrust 社の PowerBroker 製品群は、異機種混合の IT 環境におけるサーバー、デスクトップ、データベース、アプリケーション、およびデバイスを対象とした包括的なエンタープライズ規模のソリューションで構成されています。これらの製品を使用することで、企業は既存のセキュリティー・インフラストラクチャー、ポリシー、コンプライアンス・レポートをプライベート・クラウド、パブリック・クラウド、およびハイブリッド・クラウドに拡張し、細かい粒度のアクセス制御で最小特権の原則と職務の分離の原則を厳格に実施するためのベスト・プラクティスを実装することができます。

企業は BeyondTrust 社の PowerBroker 製品群を使用することで、クラウド・インフラストラクチャーに対する特権ユーザーのアクセスを完全に管理し、監査できるようになります。PowerBroker で実行できるタスクには以下のものがあります。

  • すべての特権ユーザーの把握
  • 特権資格情報のプロビジョニングおよびプロビジョニング解除の管理
  • 「最小特権」ベースの制御システムの実装
  • 特権アクティビティーの監視および調整
  • 高品質の監視リポジトリーの保守
  • コンプライアンス・レポートの自動作成

内部関係者に対する既存のセキュリティー・インフラストラクチャーをクラウドへと拡張すれば、企業がクラウドを導入する際の障害の多くは取り除かれます。PowerBroker を使用してクラウドのセキュリティーを管理する場合、システム・エンジニアリング・チームと管理チームは引き続き、彼らが操作および保守の方法を理解しているツールを使用することができます。さらに重要な点として、PowerBroker は監査員およびコンプライアンス・オフィサーに知られた実証済みのソリューションであるため、クラウドの制御および監査プロセスを追加する必要はまったくありません。

ここから後は、PowerBroker のさまざまな製品について詳しく説明します。

クラウド用 PowerBroker Servers

Unix/Linux 対応の PowerBroker Servers では、root パスワードを開示することなく、特権を委譲することができると同時に、極めて柔軟なポリシー言語によって、粒度の細かいアクセス制御を行えるようになっています。PowerBroker Servers は、キー・ストローク・レベルに至るまでのあらゆる管理アクションをログに記録し、監視してレポートを作成するため、極めて厳しいセキュリティーおよびコンプライアンスの要件も満たすことができます。

ポリシー、ログ、ネットワーク・トラフィックを 30 通りの暗号化方式でサポートできる柔軟なデプロイメント機能を備えた PowerBroker Servers を使用することで、企業はクラウド内での特権アクセスに対する自らの要求を最適に満たすセキュリティーを配備することができます。PowerBroker Servers をデプロイするには、以下の 3 つの方法があります。

  • PowerBroker Servers をクラウド・サーバーとしてデプロイすれば、既存のデータ・センター・ベースの PowerBroker Servers インフラストラクチャーをクラウド・ベースの Unix/Linux サーバーに拡張することができます。機密性の高いポリシー情報やイベント・ログは、データ・センターにそのまま保持されます。
  • 完全にクラウド・ベースの PowerBroker Servers の実装は、変化するコンピューティング・キャパシティーのニーズに合わせたスケールアップ、スケールダウンに最大限の柔軟性をもたらし、しかも固定費を最小限に抑えられます。
  • クラウドがホストする PowerBroker Servers の実装は、支社や小売業環境での分散インフラストラクチャーがセキュアになるように設計することができます。重要な PowerBroker Servers コンポーネントをクラウドに保持することで、リソースの IT サポートが限られているリモート・ロケーションにデプロイするインフラストラクチャーを最小限にすることができます。

クラウド用 PowerBroker Identity Services

「クラウドのセキュリティーとコンプライアンスの基盤となるのは、一元管理された ID です。したがって、企業はアクセス権限の実施を社内システムから SaaS 環境およびクラウド環境に拡張するための技術を見つけなければなりません。こうすることで、保護された顧客情報やその他の機密情報に、社内アプリケーションではアクセス権限を持っていないユーザーでも、クラウド・システムではアクセスできるという不慮の事態を防げるようになります。システム全体で ID を適切に管理することは重要であるだけでなく、組織が監査を受けるときに、誰がどのデータにアクセスできるかを簡単に検証できることにもなります。」Security Week の Irida Xheneti 氏の言葉から引用。

PowerBroker では、クラウドで ID を一元管理するという重要なニーズに、2 つの方法で対処できるようになっています。選択肢の 1 つは、PowerBroker Servers のポリシー言語でのネイティブ LDAP サポートです。もう 1 つの選択肢である PowerBroker Identity Services は、Active Directory を使用して Linux/UNIX サーバーのユーザーの管理、認証、許可を一元化する完全なソリューションです。PowerBroker Identity Services により、企業は既存の社内 Active Directory デプロイメントをセキュアにクラウドへと拡張し、クラウド・ベースの Linux サーバーに対するユーザー認証、サインオン・アクティビティーの監視とレポート、そしてクラウド・サーバー構成を制御するグループ・ポリシーの定義および実装に対処することができます。

クラウド用 PowerBroker Database

PowerBroker Database Monitor and Audit は、クラウド・ベースのデータベースを監視するためにデプロイすることができます。これにより、セキュリティーのベスト・プラクティスの実践とコンプライアンスへの準拠に必要な、データベースのスキャンと監視を行うことができます。PowerBroker Database Monitor and Audit には、データベースへのアクセス権とアクセス制御を定期的に確認するために必要な、詳細ロギング機能が用意されています。

PowerBroker Database Monitor and Audit と PowerBroker Servers および PowerBroker Identity Services を連動させると、特権アクティビティーの閉ループ調整が可能になり、変更管理システムとヘルプ・デスク・チケット発行システムが、クラウドにデプロイされた重要なデータベースに対してデータ・センターのときと同じ制御を行えるようになります。

図 2. 特権アクティビティーの閉ループ調整
特権アクティビティーの閉ループ調整

別個のセキュリティー・ゾーンに簡単に構成できる PowerBroker を使用することで、企業は、同じ物理インフラストラクチャーまたは仮想インフラストラクチャーを共有するアプリケーションに適切なレベルのセキュリティーを適用することができます。


まとめ: 事例研究

これまでの説明のまとめとして、この記事で取り上げた概念を採用した実際の例について詳しく説明します。世界最大規模のある金融サービス会社では、中心となる IT 組織が部門配賦によって各事業部門に IT サービスを提供しています。コンピューティング・キャパシティーの需要が増大したことから、この会社は IT 組織が事業部門の要件を満たす、コスト効果の高い最も効率的な方法として、Linux ベースのプライベート・クラウド・インフラストラクチャーを開発することにしました。このクラウド・インフラストラクチャーは、需要のピーク時には 100,000 を超える仮想サーバーまでスケーリングすることができます。

プライベート・クラウド・インフラストラクチャーへの移行を前にして、事業部門には対処しなければならない重要な懸念事項がありました。それは、事業部門の機密データが引き続きセキュアに扱われること、そしてコンプライアンスに関連するあらゆる要件がプライベート・クラウド・インフラストラクチャーでも満たされることを確実にするというものです。仮想化の導入によってコンプライアンスが懸念事項となるため、IT 組織がこのインフラストラクチャーを事業部門別に分け、しかも許可レベルをコンプライアンスの要件に一致させるのは容易なことではありません。

IT チームは、拡大するクラウド環境をセキュアにするための現在の要件と将来的な要件を網羅した、以下の包括的な見解を打ち出しました。

  • ベンダー提供による包括的ソリューション
  • スケーラブルなエンタープライズ規模の基礎構造
  • 社内ディレクトリーとクラウド・ディレクトリーとのシームレスな統合
  • 管理者によるポリシーの管理 (インフラストラクチャーは管理しない)
  • 仮想環境における変化への動的応答
  • クラウド・サーバーのパフォーマンスに関して定量化できるパフォーマンス・メトリックの提供

事業部門のセキュリティーおよびコンプライアンスの要件を満たすために、この会社は BeyondTrust 社のPowerBroker Servers for UNIX および PowerBroker Servers for Linux をデプロイして、ホストからゲスト・オペレーティング・システムまで一貫した保護対策を講じました。プライベート・クラウド・インフラストラクチャーに PowerBroker を使用した結果、現在は、ゲスト OS と Xen ハイパーバイザー両方の特権委譲が一元管理されるようになっています。このソリューションでは、IT 組織が中央で、会社のインフラストラクチャー全体の管理アクセスと特権委譲を、監視および制御することができます。IT 組織と個々の事業部門は、キー・ストローク・レベルまでのロギングと監査を含めたコンプライアンス・レポートを作成できるだけでなく、必要に応じてイベント・データをドリルダウンして、主要な SOX、PCI、および FFIEC へのコンプライアンスを検証することもできます。

実装は、クラウド内で起動されるすべてのオペレーティング・システムに PowerBroker を手動でデプロイするところから始まりました。規模の拡大に応じて、PowerBroker を標準 OS イメージに追加すれば、PowerBroker が自動的にデプロイされます。

BeyondTrust との協力により、IT チームはポリシーを管理に絞って単純化し、標準化しました。IT チームは現在、より高度な自動化と正常性監視を開発、デプロイするための拡張開発のパートナーとしての役割を果たしています。

この記事では、データ・センターをクラウドへマイグレーションする必要性を説明し、パブリックとプライベート両方のクラウド・インフラストラクチャーにおいて仮想化が果たす役割を詳しく説明しました。続いて、管理アクセス権限と特権委譲という制御方式を使用してクラウド内で機密データを保護する方法を理解する手掛かりとして、クラウド・コンピューティングでセキュリティーおよびコンプライアンスが持つ意味を概説しました。そして最後に、記事で取り上げたタスクを実際に実行できる既存のシステムの実例を紹介しました。

参考文献

学ぶために

  • この記事でコンプライアンス標準として取り上げた、PCI DSS および ISO/IEC 27001 の詳細を学んでください。
  • Cloud Security Alliance の 2010年 3月の記事「Top Threats to Cloud Computing v1.0」で、クラウド・コンピューティングの脅威として上位に挙げられた脅威の詳細を読んでください。
  • Ponemon Institute の 2011年 4月の調査報告「Security of Cloud Computing Providers」に、クラウド・プロバイダーのセキュリティーの動向が詳細に解明されています。
  • developerWorks のクラウド開発者向けリソースで、クラウド開発プロジェクトを作成しているアプリケーションおよびサービス開発者たちの知識と経験を調べて共有してください。
  • IBM SmartCloud Enterprise に用意された製品イメージを調べてください。
  • BeyondTrust 製ソフトウェアは、特権許可管理、アクセス制御、セキュリティー・ソリューションを仮想化およびクラウド・コンピューティング環境に提供することで、IT ガバナンスを強力なものにします。これにより、セキュリティーを強化し、生産性を向上させ、コンプライアンスに準拠し、コストを削減できるようにします。BeyondTrust 社製品の目標は、異機種混合の IT システムでのデスクトップおよびサーバーで意図的、偶発的、および間接的に特権が誤用されるリスクを排除することです。
  • IBM SmartCloud Enterprise にアクセスする方法を調べてください。

議論するために

コメント

developerWorks: サイン・イン

必須フィールドは(*)で示されます。


IBM ID が必要ですか?
IBM IDをお忘れですか?


パスワードをお忘れですか?
パスワードの変更

「送信する」をクリックすることにより、お客様は developerWorks のご使用条件に同意したことになります。 ご使用条件を読む

 


お客様が developerWorks に初めてサインインすると、お客様のプロフィールが作成されます。会社名を非表示とする選択を行わない限り、プロフィール内の情報(名前、国/地域や会社名)は公開され、投稿するコンテンツと一緒に表示されますが、いつでもこれらの情報を更新できます。

送信されたすべての情報は安全です。

ディスプレイ・ネームを選択してください



developerWorks に初めてサインインするとプロフィールが作成されますので、その際にディスプレイ・ネームを選択する必要があります。ディスプレイ・ネームは、お客様が developerWorks に投稿するコンテンツと一緒に表示されます。

ディスプレイ・ネームは、3文字から31文字の範囲で指定し、かつ developerWorks コミュニティーでユニークである必要があります。また、プライバシー上の理由でお客様の電子メール・アドレスは使用しないでください。

必須フィールドは(*)で示されます。

3文字から31文字の範囲で指定し

「送信する」をクリックすることにより、お客様は developerWorks のご使用条件に同意したことになります。 ご使用条件を読む

 


送信されたすべての情報は安全です。


static.content.url=http://www.ibm.com/developerworks/js/artrating/
SITE_ID=60
Zone=Cloud computing, Linux, AIX and UNIX
ArticleID=790348
ArticleTitle=特権を委譲してクラウドのセキュリティーを強化する
publish-date=02032012