ここ数年、従来からある物理的なIT資源の運用形態に代わる新しい形態が登場、普及の動きにある。クラウドコンピューティングの登場である。クラウドコンピューティングは、その名の通りインターネット、つまりクラウド上にあるIT資源を利用するというものだ。
クラウドコンピューティングは、単純にハードウェアやソフトウェアなどのIT資源や電力消費量などに要するコストの削減だけでなく、運用を任されるエンジニアやコンサルタントにかかっていた人件費の削減も可能にする。つまり「所有」するという概念がなくなるのである。また、必要な時に必要な量を必要なだけ利用する利便性、そして自前で設備投資や調整を行なう必要がないために初期投資が低いだけでなくすぐにサービスを稼動させられるなどの利点がある。こうしたことから、SaaS(Software as a Service)、PaaS(Platform as a Service)、IaaS(Infrastructure as a Service)などのクラウドコンピューティングサービスは、今後企業にとってますます魅力のあるITサービスになることは間違いないだろう。
クラウドへの移行がセキュリティに与える影響
しかし、2010年3月~4月にIDCが行なった調査では、54.6%の回答者がクラウドコンピューティングの最大の懸念事項はセキュリティであると回答している。さまざまな点で大きなメリットを企業、ユーザーにもたらすソリューションである一方、セキュリティに関する懸念が浮き彫りになっていることが伺える。さまざまな利便性が大きく注目されるクラウドコンピューティングではあるが、一方でセキュリティという観点からは従来と何が変わり、どのような懸念点が出てくるのかについて解説する。
初出時、図2のデータが誤っておりました。お詫びし、訂正させていただきます。(2010年6月29日)
従来のIT資源運用形態では、基本的にITインフラ構築に必要なハードウェアからソフトウェアまですべて自前で調達し、導入、管理に必要な人員も自前で雇ってきた。つまり、IT資源のすべてが社内に物理的に存在していたのである。しかし、クラウドコンピューティングになるとIT資源の一部がインターネットの向こうにあるクラウドに移行するのはもちろんであるが、情報、データという資産の一部も併せて自らの管理下を離れてクラウドに移行することになる。
すると、移行先のクラウドで情報資産がどのように処理され、物理的にも論理的にもどのように守られているのかがわからないという懸念が出てくる。また、クラウドコンピューティングの場合にはサービスプロバイダのインフラ運用としてマルチテナント型を採用するケースが多いであろう。つまり、サーバやストレージなどのITインフラと情報資産が赤の他人であるほかの企業、ユーザーのものと物理的に同居することになるという懸念がある。
さらに、自分が利用しているクラウドサービスのインフラ全体がどのように守られているのか、サービスプロバイダがどのようなセキュリティ対策を採用しているのかが見えないという懸念も存在する。たとえばどのようなアプリケーションをインフラ構築に使っていて、それらの脆弱性管理がどのように行なわれているのかなどは1つの例であろう。
クラウドコンピューティングは、IT資源が社内に存在しないことからも、そもそもコンプライアンス監査も非常に難しくなる。
クラウドを支える仮想化環境におけるセキュリティ
クラウドコンピューティングを支える重要な技術に仮想化がある。仮想化は多数存在する物理サーバの集約化とコスト削減を実現するプラットフォームとしても、ここ最近注目が集まっている。この仮想化技術にも仮想化固有のセキュリティ上の懸念点がいくつか存在する。
物理サーバしか存在しない環境では、マシン間の通信は物理的なネットワークを経由してきた。しかし、仮想化プラットフォームでは、同一の物理サーバ内のゲストマシンは、ハイパーバイザーを経由するだけで通信が行なえる。通信は物理ネットワークには出てこないわけで、ネットワークセグメントごとに導入するようなファイアウォールやIPSでは、トラフィックを見ることがまったくできなくなってしまう。
クラウドコンピューティング、そして仮想化のメリットの1つは、使いたいリソースを使いたいだけ使いたい時に利用できることだ。逆をいうと、使われずにしばらく「眠っている」IT資源、ゲストマシンも存在するわけだ。このような眠っているゲストマシンは稼動していないため、脆弱性に対するパッチの適用を含め適切なセキュリティ対策を常時行なうことが難しくなる。
また、仮想化のもう1つのメリットとして、ゲストマシンのイメージ(仮想イメージ)の移動や複製が容易に行なえることがある。しかしセキュリティの観点からすると、この点は問題がある。つまり、移動先でのセキュリティ対策が脆弱であれば外部から攻撃を受ける危険があるし、仮想イメージ内のデータを読み出されてしまう可能性があるのだ。
このようにTCOの観点からさまざまな利点をもたらすクラウドコンピューティングではあるが、セキュリティ上の懸念点もあることから何らかの対策を行なわなければいけないのは間違いない。次回はクラウドコンピューティング時代に必要なセキュリティ対策は何かについて解説する。
この連載の記事
-
第28回
TECH
いつの間にか、あなたもネット犯罪者? -
第27回
TECH
ゲームのアイテムを日本円に替えるRMTにまつわる危険とは? -
第26回
TECH
身代金要求からワンクリック詐欺、犯罪ツールには要注意 -
第25回
TECH
われわれの身近に存在するアンダーグラウンドマーケット -
第24回
TECH
オフライン端末への脅威は、こうすれば防げる! -
第23回
TECH
オフライン端末へのウイルス対策5ケースとつきまとう欠点 -
第22回
TECH
ダウンアドが院内感染!オフライン端末の被害事例とは? -
第21回
TECH
市販のUSBメモリにウイルスが混入する理由とは? -
第20回
TECH
仮想アプライアンスのここがメリット! -
第19回
TECH
セキュリティには仮想アプライアンスという選択肢を -
第18回
TECH
ウイルスバスター2011 クラウドに搭載された3つの新機能 - この連載の一覧へ