サーバを買わずとも利用が可能なIaaS／PaaSは“責任分界点”の意識が必要

　もう1つのクラウドの利用方法として、インフラストラクチャやプラットフォームなどのリソースを手に入れる形態もあります。「IaaS（Infrastructure as a Service）」や「PaaS（Platform as a Service）」と呼ばれる形態での提供は、サーバルームを確保しなくても、すぐにリソースが手に入れられ、利用料だけを払えばよいというスタイルであるため、こちらも多く使われています。

　この仕組みのクラウド利用は、多くの場合コスト面でのメリットはあるものの、サーバの中身は自社で管理する必要があるため、これまで通りアップデートを正しく行っていく必要があります。セキュリティアップデートもしっかりと自分で適用し、メンテナンスも自分で行うことが必要です。

　クラウド利用で真っ先に学ぶ言葉に「責任共有モデル」があります。これは、クラウド事業者が責任を持つ範囲と、私たち利用者側が責任を持つ範囲を明確に分け、それぞれが分担してクラウドを安全に利用していくというものです。これは教科書的には理解できていたとしても、実際にトラブルが起きたとき、認識の食い違いが発生することも多く、クラウド利用の難しさが集約された図ともいえるかもしれません。

図2　AWSの「責任共有モデル」（https://aws.amazon.com/jp/compliance/shared-responsibility-model/）［クリックで拡大］ 出所：Amazon Web Services

クラウドを安全に使うには、しっかりリスクを把握する

　このようにクラウドを紹介してしまうと、「クラウドは怖い！」という印象を与えてしまうかもしれません。しかし、クラウドは非常に便利なサービスであり、多くの企業が「クラウドを使わない理由がなければクラウドを活用すべし」という時代になっていると考えてよいでしょう。

　とはいえ、クラウドには落とし穴もたくさんあります。そのため、まずはその落とし穴を知り、事前にリスクとして評価しつつ、クラウドのメリットとリスクの大きさをてんびんにかけ、検討を行う必要があると思っています。

　そのためには、まずクラウドを正しく知ることです。クラウドが怖いと思っている方に話を聞いてみると、「場所も分からないデータセンターに置かれたサーバのHDDが抜かれたら、自社の重要なデータが盗まれてしまうのではないか」という不安を述べていました。さらに「クラウドの事業者が、重要なデータを盗み見る可能性がありそうで怖い」という声も聞かれます。

　しかし、実際のところ、クラウドのストレージの仕組みや事業者の権限などはしっかりとしており、政府が選定する「ガバメントクラウド」に掲載されている事業者であれば、そうしたリスクは低いと考えてよいかと思います。

　むしろ、データが盗まれるリスクに関しては、システムそのものに“正攻法で”侵入し、内部からデータを抜いていくことの方が大きいといえます。これはクラウドであろうがオンプレミスであろうが無関係ですので、クラウドを忌避する理由にはなりません。

　ですので、クラウドを検討する場合は、クラウドならではの課題を把握し、それを正しく理解することが重要です。クラウドならではの主な課題としては、「設定ミスによる情報漏えいのリスク」や「弱いID／パスワードを利用することのリスク」などが挙げられています。最近、これらのリスクをカバーできるソリューションも多く登場しているので、それらをうまく活用することでクラウド利用のリスクを最小化することが可能となりました。

　クラウドは極度に安全でもないですし、オンプレミスと比べて脆弱というわけでもありません。事前に準備せず、無理にクラウドを利用する必要もありませんが、クラウドがもたらすメリットの大きさは、そろそろ無視できない段階にきているというのも本音です。重要なのはリスクを把握し最小化できるかという点にあります。

　製造業においても、スマートファクトリーの実現などに向けてクラウドを活用するのが当たり前になりつつあります。できればまず、OA環境におけるSaaS利用などを通じ、クラウドの勘所を押さえつつ、本丸のクラウド化の検討を始めてみましょう。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！