クラウドサービスはセキュリティ対策が重要！導入時の注意点を解説

こんにちは。
クラウドエース編集部です。

最近では、クラウドサービスを利用する企業も増えてきています。
そのような中、クラウドサービスの導入には興味があるものの、セキュリティ面に不安を感じるため導入を迷っているという企業の担当者様も多いのではないでしょうか。
顧客情報や社内データといった重要な情報を管理する場合、できるだけセキュリティ対策が充実しているサービスを選ぶことが大切です。
本記事では、安全性が高いクラウドサービスの選び方や、導入時の注意点などを解説します。

本記事をご覧いただいている方の中で、Google Cloud についてもう少し詳しく知りたいという方にはこちらの《最新版》Google Cloud と Cloud Ace のご紹介資料も合わせてお読みいただくことをおすすめしています。
Google Cloud の各プロダクトの特徴等、弊社独自のコンテンツを交えてを紹介しておりますので、貴社に合うクラウドの検討材料としてぜひご活用ください！

問題点はセキュリティ？導入が進むクラウドサービスとは

そもそもクラウドサービスとはどのようなものなのでしょうか。
ここではクラウドサービスの仕組みや、クラウドサービスを利用するメリットなどを解説します。

クラウドサービスの仕組み

クラウドサービスとは、大規模なインフラやソフトウェアを持たなくても、必要に応じてインターネット上でサービスを利用できる仕組みを指します。
従来は、利用者がハードウェアやソフトを購入し、パソコンにインストールしなければサービスを利用できないのが普通でした。
しかし、クラウドサービスであれば初期費用を抑えつつ、さまざまなサービスを利用することができます。
インターネットに接続可能ならスマートフォンやタブレットといったモバイル端末からでもアクセス可能です。

クラウドサービスのメリット

クラウドサービスの大きなメリットの 1 つは初期費用の安さです。
サービスによっては無料で利用することができ、導入の手間もかかりません。

また、運用の負担が軽減できる点も魅力です。
システムの管理や障害対応は提供者側が行うため、利用者側に専門知識や対応リソースがなくても安心して利用することができます。

さらに、クラウドサービスを用いてサービスを行う場合、アクセスが集中した際にサーバーを容易に増強できるなどのメリットもあります。

クラウドサービスの導入傾向

総務省の「令和元年通信利用動向調査」によると、クラウドサービスを利用している企業の割合は近年上昇している傾向です。
2019 年時点でクラウドサービスを一部でも利用している企業の割合は 64.7％で、前年の 58.7％から増加しました。

クラウドサービスを利用する企業のうち、「非常に効果があった」、または「ある程度効果があった」と効果を実感している企業の割合は 85.5％です。
また、クラウドサービスを利用している理由としては、「資産、保守体制を社内に持つ必要がないから」（45.9％）が最も多く、他には「場所、機器を選ばずに利用できるから」（43.3％）、「安定運用、可用性が高くなるから」（36.8％）などの回答がありました。

※【出典】https://www.soumu.go.jp/johotsusintokei/statistics/data/200529_1.pdf（P5）

クラウドサービスはセキュリティ面で不安があるのか

クラウドサービスの導入をためらう理由として、セキュリティ面が不安だという意見が多いのは事実です。
クラウドサービスはサービス提供元によってセキュリティレベルに差があることも確かなので、導入時にはどのサービスを選べば良いのか迷ってしまうこともあります。

しかし、しっかりと対策しているサービス提供元を選べば、クラウドサービスを安全に利用することが可能です。
以下では、安全にサービスを活用するための課題を解説した上で、セキュリティ対策について紹介します。

セキュリティ面におけるクラウドサービスの課題

導入する上で多くのメリットがあるクラウドサービスですが、セキュリティ面においては課題が残ります。
ここでは、どのような課題があるのか詳しく解説します。

不正アクセスや不正ログイン

クラウドサービスはインターネットに接続可能な状況であればどこでも使えます。
ID やパスワードがあれば、パソコンはもちろんスマートフォンからでも利用可能です。
これは裏を返せば、ID やパスワードを知ってさえいれば、会社に所属していない第三者もアクセスできる可能性があることを意味します。
他にもコンピューターウィルスやマルウェア、悪意のある攻撃など、リスクはさまざまです。

多くのクラウドサービスは、不正アクセスや不正ログインに対して認証プロセスを設けるなどの対策を行っています。
実際にクラウドサービスを利用する場合は、不正アクセスや不正ログイン対策を取っている業者を選定した上で、利用者側でもセキュリティ対策に取り組むことが欠かせません。

データ消失リスク

データ消失リスクがあることも課題です。
サービスの提供元や、システムのメンテナンスを請け負っているベンダー側で障害や不具合が発生した場合、保存したデータが消失してしまう可能性があります。

また、従業員の操作ミスによってデータが消失してしまうことも考えられるため、「そもそも操作ミスを防ぎやすいようなインターフェース設計がされているか」、「万が一データを誤って削除した時に復旧できるのか」といった点でサービスを選ぶことも大切です。

従業員のセキュリティ意識

クラウドサービスは自社の端末や社内ネットワークで完結するサービスではなく、ID やパスワードを知っていれば誰でもアクセスすることが可能なサービスです。
そのため、ID やパスワードが流出しないよう徹底的に管理することが欠かせません。

ID やパスワードが流出しないためには、従業員のセキュリティ意識を高く保つ必要があります。
具体的には、セキュリティ対策の重要性を従業員に周知した上で、ログイン情報を流出させないように情報管理のルールを定めたり、定期的にパスワードを変更させたりすることが大切です。

クラウドサービスのセキュリティはオンプレミスに劣るのか

近年ではクラウドサービスのセキュリティ面への意識も高まっており、セキュリティ対策に力を入れる企業も増え、データの消失や情報漏洩といったリスクは従来よりも低くなっています。

従来は「オンプレミスの方が安全・安心」というイメージが強かったですが、現在はオンプレミスよりも安心して利用できるクラウドサービスも多い状況です。
そのような中、クラウドサービスを選ぶ際は、多種多様なサービスの中から自社の利用状況に合わせた業者選びや、利用者側での対策が重要になりつつあります。

セキュリティが高いクラウドサービスの選び方

安全性が高いクラウドサービスを選ぶためにはいくつかのポイントがあります。
総務省は「国民のための情報セキュリティサイト」で、クラウドサービス事業者が行うべき主な情報セキュリティ対策として以下のポイントを掲げています。

データセンターの物理的な情報セキュリティ対策（災害対策や侵入対策など）
データのバックアップ
ハードウェア機器の障害対策
仮想サーバーなどのホスト側の OS、ソフトウェア、アプリケーションにおける脆弱性の判定と対策
不正アクセスの防止
アクセスログの管理

サーバーのトラブルなどでデータが消失する可能性もあるので、データ提供元によってバックアップ体制が整っているかの確認も重要です。
また、ハードウェア機器についても障害を防ぐためにどのような対策を取っているのか確認する必要があります。

【出典】https://www.soumu.go.jp/main_sosiki/joho_tsusin/security/business/admin/15.html

利用者側でするべきクラウドサービスのセキュリティ対策

全てのセキュリティ対策をサービス提供元に求めるのではなく、利用者側ですべきセキュリティ対策もあります。
ここでは、利用者側が取り組むべきクラウドサービスのセキュリティ対策を解説します。

ID・パスワード漏洩への対策

サービス提供元がどのようなセキュリティ対策を行っているとしても、自社で ID やパスワードを漏洩してしまえば、簡単に不正アクセスを許してしまいます。
そのため、ID やパスワードの漏洩対策は最も重要な対策の 1 つです。侵入を防ぐために有効な対策としては、以下のものが挙げられます。

ワンタイムパスワードを設定する
連続してパスワード入力できる回数を制限する
定期的にパスワードの更新を促す

他にも、社内で ID やパスワードを管理する際には、従業員が人目の付くところにメモなどを残さないように注意を促しましょう。

通信データを暗号化する

通信データの暗号化とは、やりとりする通信データを外部から見られないよう暗号化し、鍵がなければ暗号を解除できないようにする仕組みです。
暗号化には、第三者による盗聴やなりすましを防ぐ効果があります。

通信データの暗号化は、セキュリティ面において重要です。
例えば、SSL サーバ証明書（HTTPS 化）を用いれば Web ページが暗号化されるため、個人情報や決済情報といった重要な情報を外部に流出するリスクを減らすことができます。
また、遠隔地との通信データを暗号化する SSH という対策も有効です。

退職者のID管理

退職者の ID 管理も重要なセキュリティ対策の 1 つです。
退職者の ID を処理せずにしておくと、退職者本人やその情報を入手した第三者から不正に侵入されてしまう可能性があります。
そのため、退職者の ID は速やかに無効化することが欠かせません。

OS・アプリケーションのセキュリティ対策

OS やアプリケーションのセキュリティ対策が強固でなければ、SQL インジェクション攻撃や、クロスサイトスクリプト攻撃などの攻撃を受ける恐れがあります。
対策として、定期的にマルウェアをスキャンしたり、脆弱性がないかをチェックしたりするようにしましょう。

データの保管場所を把握して対策を行う

サービスを利用する際に、データの保管場所を把握しておくことも重要な対策です。
サービスによってはデータセンターが海外にあり、その国の法律によってデータベースが強制的に差し押さえられる可能性もあります。
あるいは、その地域で発生する自然災害によって、データサーバーに不具合が生じたりデータが消失したりするリスクもあるのです。
こういったリスクを抑えるためには、利用するクラウドサービスのデータの保管場所を知った上で、定期的にバックアップするなどの対策が必要です。

クラウドをセキュリティで選ぶなら「GCP」がおすすめ！

セキュリティ対策がしっかりとされているクラウドサービスを選ぶなら Google Cloud Platform™ （GCP）をおすすめします。
GCP とは Google™ が提供するクラウドサービスの総称です。
GCP を導入すれば、Google の社内で使われているものと同じテクノロジーやインフラを使用することができます。

クラウドを通してインフラを利用する仕組みで自前の設備を用意する必要がないため、素早く安価にサービスの利用を開始することが可能です。
使用した分に応じて費用が発生するので、無駄なコストもかかりません。
クラウドサービスを導入するのであれば、ぜひ一度 GCP を検討してみてください。

まとめ

今回はクラウドサービスのセキュリティや自社で行うべき対策などを紹介しました。
クラウドサービスを利用するにあたっては、セキュリティ対策が充実している事業者を選ぶことに加えて、社員のセキュリティ意識を高く持つことも重要なポイントです。

クラウドサービスは種類が増えており、導入の仕方や効果的な運用の仕方が分からないという場合も多いでしょう。
そのような時は、Google Cloud Platform（GCP）を第一候補として検討することをおすすめします。

ぜひ下記の資料にて、Google Cloud だけでなく、AWS や Azure と比較した上で、クラウド導入をご検討ください。
AWS・GCP・Azure 3大クラウドサービス比較表

クラウドエースは、GCP の導入・移行計画の策定から、その後の運用までをトータルでサポートしています。
400 社以上の企業様への導入実績があり、GCP のトレーニングなどの支援も実施しているので、導入後もサービスを効果的に活用することが可能です。

クラウドサービスの導入を検討している企業の担当者の方、Google Cloud が気になるという方は、冒頭でもご紹介したこちらの無料資料をあわせてお読みいただくことをおすすめしています。
Google Cloud の特徴から、Cloud Ace が Google Cloud で提供できること等をご紹介しておりますので、ぜひクラウド選びのヒントとしてご活用ください。

※ Google、Google Cloud Platform、および、GCP は Google LLC の商標です。