クラウドコンピューティングのセキュリティ その課題と対策
（3）クラウドコンピューティングにおけるリスク ～ガバナンスとオペレーション
クラウドコンピューティングにおけるリスクについて、ENISA（欧州ネットワーク情報セキュリティ庁）の提言を紹介します。この提言は「クラウドコンピューティング情報セキュリティに関わる利点、リスクおよび推奨事項（Cloud Computing Benefits, risks and recommendations for information security）」にまとめられています。クラウドコンピューティングを展開・利用する上でのメリットやリスクを評価しています。教育および情報提供を目的として策定されています。
前回「（2）クラウドコンピューティングに潜む脅威」で述べたことも、リスク要因として同様に指摘しています。特定のクラウドについて、リスク評価を行う際には、技術の進歩による状況の変化によるリスク、未知のリスク、利用者の特性も踏まえたリスクの洗い出しが必要です。ENISAはこの提言ですべてのリスクを網羅しているわけではありませんが、これらのリスクを考慮する上で、とても参考になります。
◇「Cloud Computing Benefits, risks and recommendations for information security」（ENISA 2009）http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-risk-assessment
◇（日本語訳）「クラウドコンピューティング情報セキュリティに関わる利点、リスクおよび推奨事項」 (IPA 2011)
http://www.ipa.go.jp/security/publications/enisa/documents/
Cloud%20Computing%20Security%20Risk%20Assessment.pdf
■リスクアセスメントの方法
ENISAでは、クラウドコンピューティングのリスクをアセスメントするために、ユースケースシナリオを想定して、リスクを洗い出し、レベルを規定しています。（1）リスクアセスメントのプロセス、（2）カテゴリー分け、（3）リスク評価という説明の流れで丁寧にまとめられています。
（1）リスクアセスメントのプロセス
リスクが発生する確率の大きさと、事業への影響の大きさとを総合的に評価して、リスクレベルを規定しています。リスクが発生する確率が高くなる、あるいは事業への影響が大きくなる場合にリスクレベルを高くしています。
（2）カテゴリー分け
リスクは以下のカテゴリーに分類されています。
|
（3）リスク評価
ENISAは【表3】に示すように、35種類のリスクを挙げています。各リスクについて、リスクアセスメントのプロセスに従い、以下の評価項目をまとめています。
|
| カテゴリ | リスク | リスク レベル | |
| ポリシーと組織関連のリスク （Policy and Organizational Risks） | R.1 | プロバイダーロックインのリスク （Lock-in） | 高 |
| R.2 | ガバナンスの喪失のリスク （Loss of Governance） | 高 | |
| R.3 | コンプライアンス対応のリスク (Compliance Challenges） | 高 | |
| R.4 | 共同サービスの提供による企業価値の低下のリスク （Loss Of Business Reputation due to Co-tenant Activities） | 中 | |
| R.5 | クラウド・サービスのサービス停止及び障害のリスク (Cloud Service Termination or Failure） | 中 | |
| R.6 | クラウド・プロバイダーの買収のリスク （Cloud Provider Acquisition） | 中 | |
| R.7 | サプライ・チェーンのトラブルのリスク (Supply Chain Failure） | 中 | |
| 技術関連のリスク （Technical Risks） | R.8 | リソースの動的割り当て、開放（プロビジョニング）過不足のリスク （Resource Exhaustion Under or Over Provisioning） | 中 |
| R.9 | マルチテナント環境での共有リソースの隔離失敗（サービスの共有から来るパブリッククラウドの問題点）のリスク (Isolation Failure） | 高 | |
| R.10 | 内部者の悪意、管理者の特権濫用のリスク （Cloud Provider Malicious Insider - Abuse Of High Privilege Roles） | 中 | |
| R.11 | 管理者機能の悪用（パブリッククラウドの管理機能の弱点）のリスク (Management Interface Compromise (Manipulation, Availability of Infrastructure)) | 中 | |
| R.12 | データの妨害のリスク （Intercepting Data In Transit） | 中 | |
| R.13 | データ漏洩（データの転送時）のリスク (Data Leakage on Up/Download, Intra-cloud） | 中 | |
| R.14 | データの不確実又は非効果的な消去のリスク （Insecure or Ineffective Deletion of Data） | 中 | |
| R.15 | DDoSへの対応リスク (Distributed Denial of Service (DDoS)） | 中 | |
| R.16 | EDOS (利用者のリソースの不正利用) への対応リスク （Economic Denial of Service (EDOS)） | 中 | |
| R.17 | 暗号鍵の紛失のリスク (Loss Of Encryption Keys） | 中 | |
| R.18 | 悪意あるスキャンのリスク （Undertaking Malicious Probes or Scans） | 中 | |
| R.19 | サービス提供基盤の欠陥のリスク (Compromise Service Engine） | 中 | |
| R.20 | 顧客とクラウドでのセキュリティ対策の違いからくる問題のリスク （Conflicts Between Customer Hardening Procedures and Cloud Environment） | 中 | |
| 法的なリスク （Legal Risks） | R.21 | 法令による命令や証拠保全のリスク （Subpoena and E-discovery） | 高 |
| R.22 | 司法管轄の違いによるリスク （Risk From Changes Of Jurisdiction） | 高 | |
| R.23 | データ保護に係るリスク (Data Protection Risks） | 高 | |
| R.24 | ライセンスに係るリスク （Licensing Risks） | 中 | |
| クラウドに特化しないリスク （Risks Not Specific to the Cloud） | R.25 | ネットワークのダウンリスク （Network Breaks） | 中 |
| R.26 | ネットワーク管理(輻輳/誤接続/不適切利用)のリスク (Network Management (ie, Network Congestion / Mis-connection / Non-optimal Use)） | 高 | |
| R.27 | ネットワークトラフィックの変更のリスク （Modifying Network Traffic） | 中 | |
| R.28 | 権限奪取（root 権限を奪われる）のリスク （Privilege Escalation） | 中 | |
| R.29 | ソーシャルエンジニアリング攻撃のリスク （Social Engineering Attacks (ie, Impersonation)） | 中 | |
| R.30 | ログの損失または改ざんのリスク （Loss or Compromise of Operational Logs） | 中 | |
| R.31 | セキュリティ・ログの損失または改ざんのリスク （Loss or Compromise of Security Logs (Manipulation of Forensic Investigation)） | 中 | |
| R.32 | バックアップの損失、盗難のリスク （Backups lost, stolen） | 中 | |
| R.33 | 構内への無権限アクセス(装置やその他の施設への物理的アクセスを含む）のリスク （Unauthorized Access to Premises (Including Physical Access to Machines and Other Facilities） | 中 | |
| R.34 | 機器の盗難のリスク （Theft Of Computer Equipment） | 中 | |
| R.35 | 災害のリスク （Natural Disasters） | 中 | |
| （注） 本表については「Cloud Computing Benefits, risks and recommendations for information security」（ENISA 2009）の文献を参照しまとめたものです。 | |||
■まとめ
3回にわたって、クラウドの定義から脅威、リスクについてご紹介しました。クラウドコンピューティングは、コスト削減という観点で魅力的な技術です。現在、さまざまなサービスが提供され、充実してきています。
しかし、クラウドコンピューティングにおいて、セキュリティの配慮は不可欠です。クラウドサービスについては、提供者側で責任を持つべきことも多くありますが、利用者側で負わなければならないリスクもあり、あらかじめどのような脅威・リスクがあるのかをよく理解しておく必要があります。両者の責任分解点を明確にした上でリスクを認識し、適切なサービスを選定することにより、はじめて安全にクラウドコンピューティングのメリットを享受できるといえます。クラウドサービスの選定・比較に当たって、本記事を参考にしていただければ幸いです。
| 塚本修也（NTTソフトウェア株式会社） クラウドセキュリティに関する分野の業務は2年ほどになります。他の業務と並行で細く長く活動していますので、最近の多様化するクラウドや急速に普及するスマートフォンといった新しい流れに取り残されそうで、業務の合間に必死に情報を追っています。 活動はチームとして行っていて、クラウド分野に限らず、セキュリティに関すること全般を扱っています。最近はクラウドやスマートフォンに関係する調査や開発を扱うことが多く、ナレッジやノウハウも溜まりつつある状況です。 |