サイバーセキュリティ全般（３０）

データ整理に欠かせないクラウドストレージのセキュリティ対策

はじめに
クラウドストレージは、企業のデータ整理において今や必須のツールとなっています。総務省の令和3年度情報通信白書によると、2020年にクラウドサービスを利用していた企業の割合は68.7%に達し、前年から4.0ポイント上昇しました。しかし、その利便性の裏には見逃せないセキュリティリスクが潜んでいます。本記事では、データ整理の観点から見たクラウドストレージのセキュリティ対策について解説します。
クラウドストレージが直面する3つのセキュリティリスク
1. サイバー攻撃による不正アクセス
情報処理推進機構が2024年2月に公表した統計によると、2023年に不正アクセスの対象となった環境のうち、クラウド環境は14.0%、クラウドサービスは11.3%を占めています。楽天、PayPay、イオン、ANAなど、大手企業が次々と不正アクセスの被害に遭った事例も記憶に新しいところです。
クラウドストレージは膨大なデータの宝庫であり、個人情報、機密情報、知的財産、財務情報などがハッカーの標的となりやすい状況にあります。攻撃手法も多様化しており、ソフトウェアの脆弱性を突くゼロデイ攻撃、パスワードリスト攻撃、パスワードスプレー攻撃など、高度化する一方です。
特に注意が必要なのは、フィッシング攻撃とマルウェア感染です。フィッシング攻撃では、銀行や有名なオンラインサービスを装った巧妙なメールによってユーザーを騙し、認証情報を盗み出します。マルウェア感染では、無料ソフトウェアに偽装された悪意あるプログラムが、ユーザーの気づかないうちにバックグラウンドで動作し、データを外部に送信してしまいます。
2. 内部不正による情報漏洩
情報処理推進機構が発表した「情報セキュリティ10大脅威2024」組織編では、「内部不正による情報漏えい等の被害」が3位にランクインしています。外部からの攻撃だけでなく、組織内部からの脅威も深刻化しているのです。
内部不正には主に2つのパターンがあります。1つ目は、情報共有範囲の設定ミスです。共有設定が適切に行われていないと、誰でも情報を閲覧できる状態になり、意図せず第三者に情報が漏れてしまう可能性があります。実際、2013年に発表された設定誤りによる情報漏洩事案では、5つの官公庁の機密情報を含むデータが、誰にでも閲覧可能な状態になっていました。医療機関の患者情報など重要な情報が、一時的とはいえインターネット上で見られる状態になってしまったのです。
2つ目は、従業員や退職者による不正なデータの持ち出しです。アカウントが適切に削除されていない場合、退職後もアクセスできる状態が続き、不正取得のリスクが高まります。
3. システム障害とデータ消失
クラウドストレージも、大規模なサーバー停止などのトラブルに見舞われる可能性があります。大規模な障害が発生した際には、クラウドストレージにアクセスできなくなるだけでなく、データ消失の恐れもあります。自然災害や機器の故障によって、重要なビジネスデータが利用できなくなるリスクは完全にゼロではありません。
データ整理の視点から見た効果的なセキュリティ対策
1. アカウント情報管理の徹底
クラウドストレージへの不正アクセスを防ぐ最も基本的な対策は、アカウント情報管理の徹底です。近年のクラウドストレージはセキュリティ対策が強化されているため、外部から不正アクセスする際、まずはアカウント情報を窃取するケースが多くなっています。
具体的には、以下の対策を実施することをおすすめします。

パスワードを複雑で予測しづらいものに設定する
パスワードを他のアカウントと使い回さない
IDやパスワードを他の人や外部の人が見られる場所にメモしない
退職や転職した人のアカウントをそのままにしない

特に多要素認証の導入は効果的です。多要素認証は、IDとパスワードに加えて、スマートフォンアプリやSMSに届く確認コードを入力しないとログインできないようにする仕組みです。万が一パスワードが漏れても、不正ログインをほぼ100%防ぐことができます。
2. データの暗号化による保護
データの暗号化は、情報漏洩のリスクを大幅に低減する効果的な手段です。暗号化には2つのレベルがあります。
保管時の暗号化では、クラウドストレージに保存されているデータそのものを暗号化します。万が一不正アクセスを受けても、暗号化されたデータは解読が困難であり、情報が流出するリスクを抑えることができます。
転送時の暗号化では、データをアップロードまたはダウンロードする際の通信を暗号化します。これにより、通信途中でデータが傍受されても、第三者に内容を読み取られるリスクを減少させます。
3. アクセス権限の細分化と管理
データ整理において重要なのは、誰がどのデータにアクセスできるかを明確に定義することです。アクセス権限を適切に設定することで、内部不正や設定ミスによる情報漏洩を防ぐことができます。
ユーザーや部署ごとに、ファイルやフォルダへのアクセス権を細かく設定しましょう。機密情報については、閲覧のみ可能、編集可能、ダウンロード可能など、段階的な権限設定を行うことで、漏洩リスクを最小限に抑えることができます。
また、定期的なアクセス権限の見直しも重要です。組織の変更、人事異動、退職などに応じて、アクセス権限を適切に更新することで、不要なアクセスを防止できます。
4. バックアップ体制の確立
不慮の事態に備えて、クラウドストレージに格納されたデータを復旧できるように、定期的にバックアップデータを取得することが大切です。サイバー攻撃を受けてデータが暗号化されてしまった場合や、従業員がデータを誤って更新してしまった場合でも、バックアップデータを使って迅速に復旧することができます。
バックアップの自動化機能を活用すれば、手動で行う手間が省けるだけでなく、バックアップを取り忘れるリスクも軽減できます。また、バージョン管理機能を使用して過去のデータをバックアップしておけば、すぐに過去のバージョンに戻すことも可能です。
5. CSPM導入による設定ミスの防止
クラウドストレージの設定を誤って情報漏洩させてしまうことを避けるため、CSPM(Cloud Security Posture Management)の導入を検討することをおすすめします。
CSPMは、クラウドセキュリティ態勢管理とも呼ばれるツールで、クラウドの設定をチェックし、誤りが無いかどうかを教えてくれます。ヒューマンエラーは、どのような企業や団体でも起こり得るものです。エラーは発生しうるという前提で、二重・三重の対策を講じることが欠かせません。
6. ログ監視とセキュリティ監査
データ整理の観点から、誰がいつどのデータにアクセスしたかを記録し、定期的に監視することが重要です。異常なアクセスパターンや不審な活動を早期に検出することで、被害を最小限に抑えることができます。
定期的なセキュリティ監査も効果的です。アクセスログの分析、権限設定の妥当性の確認、セキュリティポリシーの遵守状況のチェックなどを通じて、潜在的なリスクを発見し、改善につなげることができます。
7. 従業員へのセキュリティ教育
技術的な対策だけでなく、従業員に対するセキュリティ意識の向上を図る教育や研修も効果的です。フィッシング攻撃の見分け方、パスワード管理の重要性、共有設定の適切な方法などについて、定期的にトレーニングを実施しましょう。
セキュリティインシデントの多くは、ヒューマンエラーや認識不足が原因で発生します。全従業員がセキュリティの基本を理解し、実践することが、組織全体のセキュリティレベルの向上につながります。
セキュリティに強いクラウドストレージの選び方
データ整理を安全に行うためには、セキュリティ機能が充実しているクラウドストレージサービスを選ぶことが重要です。以下のポイントを確認しましょう。
1. 認証機能の充実度
多要素認証、二段階認証、ワンタイムパスワードなど、高度な認証機能が搭載されているサービスを選びましょう。IPアドレス制限や端末認証などの機能があれば、さらに安心です。
2. 暗号化対応
保管時と転送時の両方でデータを暗号化できるサービスを選択しましょう。暗号化の強度(AES-256など)も確認ポイントです。
3. アクセス管理機能
細かなアクセス権限設定が可能か、ログの記録と分析機能があるか、不正な持ち出しを検知する機能があるかなどを確認しましょう。
4. バックアップと冗長化
自動バックアップ機能、バージョン管理機能、複数のデータセンターへの分散保存など、データの安全性を確保する機能が備わっているかチェックしましょう。
5. セキュリティ認証の取得状況
ISO27001、SOC2、プライバシーマークなど、第三者機関によるセキュリティ認証を取得しているサービスを選ぶことで、一定レベル以上のセキュリティが担保されます。
6. サポート体制
24時間365日のサポート体制があるか、日本語でのサポートが受けられるか、セキュリティインシデント発生時の対応体制が整っているかも重要な判断基準です。
まとめ
クラウドストレージは、データ整理において非常に便利なツールですが、その利便性を享受するためには、適切なセキュリティ対策が不可欠です。サイバー攻撃、内部不正、システム障害といったリスクを認識し、アカウント管理、暗号化、アクセス権限管理、バックアップなどの多層的な対策を講じることが重要です。
また、技術的な対策だけでなく、従業員へのセキュリティ教育や、定期的なセキュリティ監査といった組織的な取り組みも欠かせません。セキュリティ機能が充実したクラウドストレージサービスを選び、適切に設定・運用することで、安全なデータ整理環境を構築することができます。
データは企業の重要な資産です。その資産を守りながら効率的に整理・活用するために、本記事で紹介したセキュリティ対策を参考に、自社に最適なクラウドストレージの運用体制を確立していきましょう。