クラウドに移行する際に考慮すべきセキュリティー要素トップ5
組織がより多くのミッションクリティカルなアプリケーションやワークロードをクラウドに移行し続けている一方で、IT、サイバーセキュリティ、およびビジネスの意思決定者にとってセキュリティが最大の懸念事項であることは依然として変わりません。
2019年のクラウドセキュリティレポートによると、サイバーセキュリティー専門家の93%がクラウドセキュリティについて「非常に強い」または「まあまあ強い」懸念を抱いています。30%近くが、過去12か月間にパブリッククラウド関連のインシデントを経験したと答えています。セキュリティーに関する最重要課題は、データ損失、データ・プライバシー、コンプライアンス、認証情報の誤った漏洩、およびデータ主権です。
クラウドセキュリティへの懸念の度合いは驚くべきことではありません。クラウドに移行するアプリケーションやデータが増えるにつれ、セキュリティー侵害の影響は壊滅的なものになる可能性があります。米調査会社Ponemon Instituteの2019年データ侵害のコストに関する調査によると、データ侵害の平均コストは現在392万米ドルにも及んでいます。
しかし、幸いなことに、事前に、あるいは侵害が発生した後に、侵害の影響を軽減する方法があります。Ponemon Instituteによれば、その中でも最も重要なのが「暗号化の広範な使用」です。その他の主要な緩和要因には、データ損失防止、脅威インテリジェンス、事業継続性管理が含まれます。
IBMニュースレター
The DX Leaders
AI活用のグローバル・トレンドや日本の市場動向を踏まえたDX、生成AIの最新情報を毎月お届けします。登録の際はIBMプライバシー・ステートメントをご覧ください。
ニュースレターは日本語で配信されます。すべてのニュースレターに登録解除リンクがあります。サブスクリプションの管理や解除はこちらから。詳しくはIBMプライバシー・ステートメントをご覧ください。
第一に、パブリッククラウドを使用する際は、責任共有モデルを使用していることを認識し、認める必要があります。つまり、クラウドとの間のセキュリティについてはユーザーが責任を負い、クラウド内のセキュリティについてはクラウド・プロバイダーが責任を負います。
第二に、特に暗号化、アクセス制御、監視、可視性、データ主権、その他のコンプライアンス要件など、リスクの低減に大きな効果をもたらす分野で、最高レベルの保護と専門知識を提供するクラウド・プロバイダーを選択することです。
第三に、オンプレミスの仮想化環境（特にVMware）と緊密に統合されたパブリッククラウド・プラットフォームを使用する必要があります。緊密な統合により、仮想マシン（VM）レベルでの優れたアップタイムの可用性を実現しながら、クラウドでVMwareワークロードを実行すると同時に、拡張クラスターなどのイノベーションを活用して、リスクを軽減し、ミッションクリティカルなアプリケーションの可用性を向上させることができます。
これら3つの考慮事項を念頭に置いて、パブリッククラウド・プロバイダーを選ぶ際に考慮すべき重要なセキュリティ要素を 5 つ紹介します。
- 暗号化： 前述したように、暗号化はデータ侵害の影響を防止および軽減するための最大の要素です。パブリッククラウド・ベンダーがFIPS 140-2レベル認定のハードウェア・セキュリティー・モデルを提供しているかどうかを確認しましょう。レベル4認証は業界最高レベルの保護を提供するため、これは重要なことです。さらに、クラウド管理者を含め、誰も暗号化キーにアクセスできないようにする機能も利用できます。
- ロール・ベースのアクセス制御： ロール・ベースのアクセス制御により、機密情報へのアクセスを削減および管理することで、侵害やデータ漏洩のリスクを軽減できます。業務の遂行に必要なデータにアクセスできるのは許可されたユーザーのみであることを確認できます。また、データへのアクセス方法と使用方法をより効果的に管理することで、コンプライアンスを強化できます。
- データ主権： TechTargetによれば、「データが許可された場所にしか存在しないことを確認するのは難しい場合があります。クラウドの顧客は、クラウド・プロバイダーがサーバーのホスト場所について完全に誠実でオープンであり、いくつかのレベル契約（SLA）を厳格に遵守していることを信頼する必要があります。」クラウド・プロバイダーが世界中にデータセンターを持ち、信頼できるサーバー上で実行されるワークロードによってデータ主権規制に準拠できることを確認してください。
- コンプライアンス：データ主権とコンプライアンスは密接に結びついており、特に世界的に事業を展開する企業が増え、官公庁・自治体や機関が欧州連合の一般データ保護規則(GDPR)など、ビジネスを行う際に厳しいコンプライアンス要件を持つ中で、その結びつきは強まっています。パブリッククラウドでは、監査に対応するためのポリシー・ベースのテンプレートに対する継続的な監視とアラートにより、コンプライアンス要件を適用できるようにする必要があります。
- 事業継続性：バックアップと災害復旧は、パブリッククラウドにおける重要なユースケースですが、サイバー攻撃から復旧する際にバックアップおよびDRサイトの完全性を確保するためには、プロバイダが高可用性の機能をサポートしていることも確認する必要があります。クラウド・プロバイダーに、回復時間目標や回復ポイント目標、さらにハイブリッドおよびパブリッククラウドのVMwareソリューション向けの拡張vSANクラスターなどの機能について必ず確認してください。
ビジネス・リーダーやITリーダーがクラウド・セキュリティーについて懸念を持つことは、おそらく避けられないでしょう。ミッションクリティカルなデータやアプリケーションを他社に託すことに、やや不安を感じる場合もあるかもしれません。
しかし今日には、リスクと懸念を軽減することができるという現実があります。これは、セキュリティのリーダーシップと信頼に重点を置き、暗号化、制御、コンプライアンス、データ主権、事業継続性などの主要分野でエンタープライズ・グレードの保護を提供するパブリッククラウド・プロバイダーを選択することにより実現できます。
IBMのセキュリティ・リーダーシップと、ミッションクリティカルなVMwareワークロードをIBM Cloudに最も安全に移行する方法について、詳細をご覧ください。