最近、安全なファイル共有の手段としてクラウドストレージを利用する機会が増えています。今回は、ビジネスで利用するクラウドストレージに求められる要件について検討してみましょう。

クラウドストレージとは

クラウドストレージは、クラウド上にあるストレージ環境にファイルを保存して共有するクラウドサービスです。オンラインストレージとも呼ばれています。テレワークなど社外からでもファイルにアクセスするのが容易であり、社内でファイルサーバを運用するコストを削減することもできることから、ファイルサーバのリプレイスを機に、社内のファイルの保存先をクラウドストレージにする動きも加速しています

また、最近では取引先企業など外部とのファイルをやり取りする際にも、クラウドストレージを利用するケースが増えています。いわゆる「PPAP問題」、つまりzipファイルの暗号化および、別メールでのパスワード送信というセキュリティ上問題の多いファイル添付を止め、より安全性の高いクラウドストレージを利用するという動きです。

よく似たサービスに「ファイル転送サービス」がありますが、どちらもクラウド上にデータを保存し、ファイルを共有するという点では同じ仕組みと言えるでしょう。しかし、両者の用途は少し違っています。

ファイル共有サービスの場合、誰かとファイルを送受信することを目的としています。そのため、送信者が共有したいファイルをアップロードし、ファイルの保存されているURLを受信者に通知する仕組みになっています。受信者はそのURLをクリックすることで、共有されているファイルをダウンロードすることができます。無料のサービスも多く、メールに添付できない大きなファイルをやり取りする際に利用されることの多い仕組みです。多くのサービスでは、一定の保存期間が終了するとファイルは削除される仕組みになっています。無料で利用できるサービスも多く、メール添付の代替手段として利用するのであれば、そうしたファイル転送サービスでも十分かもしれません。

一方のクラウドストレージは、名前の通りクラウド上でストレージ環境を提供するサービスです。既存のファイルサーバやNASなどに代わるデータの保存先であり、社内・社外を問わずファイルの共有設定が可能になるという利便性もあります。

クラウドストレージのセキュリティリスク

インターネットを利用してストレージにアクセスするという特性上、クラウドストレージは既存のファイルサーバとは異なる視点でセキュリティ性能を検討する必要があります。注意すべきセキュリティリスクとしては、次のようなものが挙げられます。

不正アクセスによるデータの漏洩
サイバー攻撃や人為的なミスによってクラウドサービスを利用するユーザーの認証情報が外部に漏れてしまえば、簡単に不正アクセスがされてしまう危険があります。
人為的ミスによるデータの漏洩、消失
クラウドストレージの共有設定を間違えたことで、機密情報の保存されているフォルダが誰にでも閲覧できる状態になっていたといったセキュリティ事故も多数発生しています。他にも共有すべきではない人にも共有してしまう、うっかりファイルを削除してしまうなどのミスもあります。
内部犯行による情報漏洩、データ破壊
内部の犯行による情報漏洩は、クラウドストレージに限った話ではありませんが、自宅や外出先など他の従業員の目が届かない場所からのアクセスは、よりその危険性を助長させます。
クラウドストレージ環境の障害によるデータの消失
運用しているサーバがダウンするなど何らかの理由でサービスが停止することもあります。当然ですがサービスが停止すれば、クラウドストレージにアクセスすることはできません。その他にも、Wi-Fiに接続できないなどユーザー側のネットワーク接続状況によって、クラウドストレージが利用できなくなってしまうこともあります。

ビジネス利用に適したクラウドストレージとは

クラウドストレージのサービスはたくさんありますが、「ビジネスで利用する」または「機密性の高いデータを扱う」場合には、セキュリティ性能や可用性などの視点から検討すべきです。

不正アクセス対策

クラウドストレージに限らず、ユーザー認証で利用するサービスは常に不正アクセスの危機に晒されていますが、ダイレクトに企業の重要な情報にアクセスできてしまうという点では、かなり重要度の高いサービスであると言えるでしょう。ユーザーは常にそのことを意識し、複数のサービスで同じパスワードを使いまわさない、推測しやすいパスワードを使用しない、パスワードは小まめに変更するなど適切なパスワード管理を心がける必要があります。

しかし、ますます巧妙化しているサイバー攻撃に対して、パスワードによる認証だけでは心許ないという意見も聞かれます。クラウドストレージ利用には、二段階認証（多要素認証）を必須とする企業も増えており、こうした風潮から二要素認証を設定できるクラウドストレージのサービスも増えています。つまりIDとパスワードが漏洩しても、簡単にはアクセスされない仕組みの導入です。

最近ではGoogle Workspaceなどがパスワードの代わりにパスキー（passkey）を利用するサービスの実験を開始しており、将来的にはパスワードを利用せずより安全なアクセス方法に切り替わることも予想されます。

アクセス制御

ビジネスの重要な情報は、業務上必要なユーザーにのみ共有することで、セキュリティ事故を最小限に抑えることができると言われています。ビジネスでの利用であれば、ファイルやフォルダの単位で閲覧権限や編集権限などを細かく設定できるような仕組みは必須だと言えるでしょう。また、人為的なミスを避けるためには、設定や現在の設定情報を確認することが容易であることも重視すべきです。

操作ログ管理

ビジネスで利用するクラウドストレージには、万が一セキュリティ事故が発生してしまった場合でも、証跡を追える仕組みは必須です。人為的ミスまたは故意による情報漏洩が疑われる場合、「いつ」「誰が」「どの情報に」アクセスしたのかの証跡、つまり「アクセスログ」を確認します。アクセスログによって被害状況を正確に把握することが可能となるだけでなく、監視され、記録されていることを事前に通達することで内部犯行の抑止力になると言われています。

デバイス認証

クラウドストレージにアクセスできるデバイスを制限することで、認証情報漏洩による不正アクセスや従業員の不適切なアクセスから重要な情報を守ることができます。同じユーザーが異なるデバイスから同時にアクセスすることを排除（排他的に制御）するといった機能を提供しているサービスもあります。

サービスの可用性

クラウドストレージのサービスが停止すると、そこに保存されているすべてのデータにアクセスが出来なくなってしまいます。ビジネスで利用するのであれば、サービスの可用性もきちんと確認するようにしましょう。

サービスは冗長化されているか、ディザスタリカバリに配慮して遠隔地にバックアップシステムが用意されているか、SLA（Service Level Agreement：サービスレベル合意）が締結できるかなどは、利用開始前に調査すべきです。

なお、場合によってはすべてのデータが失われてしまう可能性もあるため、データバックアップなどのルールもあらかじめ定めておくことも重要です。

用途に合ったサービスを選択する

クラウドストレージサービスはどれも同じように見えますが、実際にはさまざまな機能があり、それぞれのサービスは差別化されています。もちろん、企業の重要なデータを保存する以上、信頼できるサービスプロバイダを選択することが重要です。

ただし、高性能な方が良いかと言えば、必ずしもそうではありません。利用する機能を増やすと、かえって使い勝手が悪くなり、利用料金が高くなるケースなどもあるため、自分たちの用途に応じたバランスの良いサービスを選択することが大切になります。

まとめ

テレワークによってファイルサーバをクラウドストレージに移行する動きが加速している
ビジネスで利用するクラウドストレージは、セキュリティ性能と可用性を重視する
用途に応じたサービスレベルのクラウドストレージを利用する