データコンサルタントの視点で、SaaS利用状況の把握やクラウドサービス導入時のセキュリティ対策を整理し、具体的な施策を提案する内容に変更しました。
SaaS利用状況の把握とシャドーIT対策
SaaS利用状況の可視化には「CASB（Cloud Access Security Broker）」が有効です。CASBは、誰が、どのファイルを、いつクラウドに移動させたかといった利用状況を詳細に可視化します。このデータにより、IT管理者は社内のエンドユーザーがセキュリティポリシーに違反している操作を監視し、許可されていないSaaS利用（シャドーIT）を検出できます。さらに、不正な通信や行動を遮断することで、情報漏洩やセキュリティインシデントのリスクを軽減します。
クラウドサービス導入時のセキュリティ対策のポイント
クラウドサービスを導入する際には、提供されるセキュリティ機能が自社のセキュリティポリシーに適合しているかを確認することが重要です。適合しない場合には、導入前に制御方法や他サービスの検討も行い、リスク管理の観点から効果的な対策を準備することが推奨されます。
シングルクラウドとサードパーティ製品の活用
シングルクラウド構成を採用している場合は、まず標準または有償オプションのセキュリティ機能の活用を検討します。主要なクラウドサービスでは、必要なセキュリティ機能を備え、契約管理も一元化されるため、運用効率を向上できます。もし不足があれば、特定のクラウドサービスに対応したサードパーティ製のセキュリティ製品を導入し、さらにセキュリティレベルを強化することで、柔軟かつ堅牢なクラウド環境を構築できます。
このアプローチにより、セキュリティポリシーの遵守と運用管理の効率化が促進され、セキュリティリスクを低減しながら、安全で効率的なクラウド利用が可能となります。
マルチクラウド環境におけるセキュリティ対策の課題と解決策
マルチクラウド戦略を採用する企業にとって、セキュリティ管理はシングルクラウド環境に比べて複雑化します。特定のクラウドベンダーが提供するセキュリティ機能のみを導入しても、他のクラウドサービスには適用されず、一貫性のないセキュリティ対策となる可能性があります。また、各クラウドベンダーごとに個別のセキュリティ機能を導入すると、管理が煩雑になり、全体のセキュリティポリシーを統合的に運用できなくなるリスクも高まります。
マルチクラウド環境におけるセキュリティの統合管理
このような状況に対応するためには、サードパーティー製のマルチクラウド対応セキュリティソリューションを導入することが推奨されます。具体的には、以下のツールやアプローチが考えられます。
マルチクラウド管理ツール：複数のクラウドサービスに対して一貫したセキュリティ設定を適用できるツール。これにより、各クラウドのセキュリティ管理が分散されず、統合されたポリシーで一貫性を保つことが可能です。
CASB（Cloud Access Security Broker）：クラウドサービス間のデータのやりとりを監視・制御するセキュリティソリューション。CASBは、シャドーITの検出や、エンドユーザーの行動に基づいたリスクの可視化といった機能も提供します。
リスクの明確化とセキュリティポリシーの遵守
クラウドサービスを複数利用している場合、どのサービスを使用しているか、各サービスにおける潜在的なリスクを正確に把握することが重要です。オンプレミス環境では、企業は情報セキュリティ認証制度に基づき、自社のセキュリティポリシーを適用してきましたが、クラウド導入により気付かないうちにこれらのポリシーに違反する可能性があります。
セキュリティポリシーがクラウド環境でも適用されているか確認するために、コンサルティングサービスの活用が有効です。専門家がセキュリティ評価を行い、違反や潜在的なリスクを特定することで、事前に対策を講じることが可能となります。
データコンサルタント視点での変更ポイント
リスクの一元管理：各クラウドベンダーに依存せず、統合的なリスク管理を行うためのツールの導入を推奨。これにより、セキュリティホールの発生を防止し、管理負担を軽減。
可視化と統制強化：マルチクラウド環境下でのデータフローの可視化と、エンドユーザーの行動の監視により、潜在リスクを早期に検出・対処。
外部専門家の活用：セキュリティポリシーに違反していないか定期的に確認するために、コンサルティングサービスの利用を奨励。これにより、リスク管理の精度を高め、クラウド導入におけるセキュリティの確保を強化。
クラウドサービスに対応したセキュリティ対策
クラウドサービスの普及に伴い、従来のIT部門では把握できなかったリスクが生まれる可能性があります。特に、エンドユーザーがIT部門の管理外でクラウドサービスを利用する場合、たとえ悪意がなくてもセキュリティ上のリスクを引き起こす恐れがあります。これを防ぐため、IT部門によるクラウドサービスの一元管理が重要です。
以下に挙げるセキュリティソリューションを導入することで、クラウドサービスの監視漏れやセキュリティホールの発生を防止できます。
1. CWPP (Cloud Workload Protection Platform)
CWPPは、IaaSやPaaSなどのクラウドサービスにおけるアプリケーションのリスク管理を支援するプラットフォームです。動的に展開される「ワークロード」の検出機能を持ち、どのアプリケーションがどのクラウドサービスで稼働しているのか、またパッチ適用状況などを可視化します。これにより、クラウド上でのセキュリティ対策が不明確な問題を解決し、ソフトウェア資産管理（SAM）の負荷を軽減します。
2. CASB (Cloud Access Security Broker)
CASBは、エンドユーザーが利用しているSaaSアプリケーションの可視化に効果的です。例えば、「いつ、誰が、どのファイルをクラウドストレージに移動したのか」といった通信情報を追跡することが可能です。IT管理者はこの可視化情報を活用し、エンドユーザーがセキュリティポリシーに違反していないか、またシャドーITの使用を検出することができます。不正な通信が確認された場合、その通信を遮断することも可能です。
クラウドサービス導入時の考慮点
クラウドサービスを導入する際、重要なのはそのサービスが自社のセキュリティポリシーに合致しているかどうかです。まずはクラウドベンダーが提供するセキュリティ機能が自社の要件を満たすか確認し、必要に応じてカスタマイズや制御方法を検討します。
シングルクラウド vs マルチクラウド戦略
特定のクラウドベンダーのサービスのみを利用する「シングルクラウド」戦略を採用する場合、まずそのベンダーが提供する標準のセキュリティ機能を活用するのが効率的です。主要なクラウドベンダーは、企業向けに必要なセキュリティ機能をほぼ網羅しており、サポート窓口も一元化できます。もし標準機能では不十分であれば、対象を絞ったサードパーティ製のセキュリティソリューションを導入することを検討するべきです。
データコンサルタント視点での変更ポイント
リスクの特定と可視化：エンドユーザーによる無意識のリスクを減らすため、可視化の重要性を強調。
包括的な管理体制の導入：クラウド利用においても、IT部門が一元的にリスクを管理するためのツール導入を提案。
クラウド戦略の多様化：シングルクラウドとマルチクラウドの利点とリスクを整理し、組織に合ったアプローチを選択する重要性を強調。
デジタルアイデンティティと働き方の変化: テレワーク普及による重要性の増大
新型コロナウイルス（COVID-19）の世界的流行が、企業や組織の働き方に大きな変革をもたらしました。2020年の非常事態宣言を受け、多くの企業がテレワークへと移行し、同時に「デジタルアイデンティティ」の重要性が改めて浮き彫りになりました。
日本の経済産業省が公表した「DXレポート」でも、働き方改革の一環としてテレワークの推進が課題として指摘されており、東京オリンピックに向けた混雑緩和施策「テレワーク・デイズ」の実施を通じて、政府も積極的にテレワーク導入を支援してきました。しかし、準備が不十分なままテレワークに移行した企業も多く、特にVPN（仮想プライベートネットワーク）に関連する課題が顕著に見られました。具体的には、全社員が安全に接続できる帯域が不足していたり、対策が不十分なVPNがサイバー攻撃の標的になったりする事例が発生しています。
さらに、企業でクラウドサービスの導入が進んでいたため、従業員が速度の遅いVPN接続を回避し、インターネット経由でクラウドサービスにアクセスするケースも増加しました。これはセキュリティリスクを高める要因となりますが、生産性を維持するために一部の従業員が効率性を優先させている現状も見られます。コロナ禍が収束に向かうなかでテレワークの実施頻度は減少しているものの、テレワークはすでに企業の主要なワークスタイルとして定着しました。
デジタルアイデンティティ管理の必要性とCASBの活用
テレワーク環境でのリスクを最小限に抑え、企業が従業員の利用状況を適切に把握するためには、デジタルアイデンティティ管理が不可欠です。現在、クラウドサービスへのアクセス管理には一般的に「CASB（Cloud Access Security Broker）」が導入されており、これにデジタルアイデンティティ管理を組み合わせることで、より精密な保護とアクセス管理を実現できます。
CASBソリューションは、クラウド環境における不正アクセスやデータ漏洩リスクを軽減し、テレワーク時のセキュリティを強化するための手段として有効です。さらに、デジタルアイデンティティと連携することで、業務アカウントのアクセス制御、デバイス管理、異常なログインパターンの検知など、より高度なセキュリティ対策が可能になります。
データコンサルタントとして、こうしたデジタルアイデンティティとCASBの併用は、テレワークにおけるセキュリティリスクへの包括的な対策であり、特にセキュリティレベルの向上と運用効率の最大化に貢献するでしょう。
