もはやクラウドは業務になくてはならない存在。クラウドの利用率が上がるとともに、クラウドのインシデントが増えています。クラウドサービスで起きているインシデントと、その対策を考えていきましょう。

企業のクラウドの利用

総務省の「令和4年　情報通信に関する現状報告の概要」によると、2021年にクラウドを利用している企業は、約70.4％。2017年は56.9％で年々増加しています。今後もクラウド市場は拡大していくとみられています。

クラウドの利用内訳では、ファイル・データ共有がいちばん多く、以下、電子メール、社内情報共有・ポータル、スケジュール共有、給与・財務会計・人事、データバックアップなどとなっています。

これだけクラウドが普及すると、さまざまなインシデントや脆弱性の発生率が高くなってきます。

過去にどのようなインシデントや脆弱性が見つかったのか、またその原因は何だったのかを見ていきましょう。

クラウドのインシデントと脆弱性

報告されているインシデントや脆弱性は数多くあるのですが、2020年以降に起きたものから、その原因とともにピックアップします。

インシデント：教育機関が利用していた外部クラウドサーバーから1万数千件フィッシングメールが送信されていました。

原因：メールアカウントの1つが安易なパスワードになっていて、外部から不正ログインされていました。

インシデント：なりすましログインが検知され、不正ログインを受けた可能性があるIDは約数十万件にも及びました。名前、生年月日はじめ個人情報が閲覧した可能性もありました。

原因：ユーザーがパスワードを使いまわしていました。

インシデント：顧客から覚えのない取引があるという申告を受けて発覚。有価証券売却や当該口座からの出金などで被害総額が約1億円に及びました。

原因：不正ログインされていました。

インシデント：複数の組織でクラウドシステムに保管された情報に、第三者がアクセスしました。閲覧可能になっていた情報は数百万以上です。

原因：クラウドの設定不備によるものでした。

脆弱性：Windows Serverコンテナがゼロデイ攻撃を受けました。

原因：Windows Serverコンテナの脆弱性にくわえ、コンテナの設定ミスがありました。

以上のほか、報告されているだけでも多数のインシデントが起きています。いずれも原因は設定ミスやパスワードの使いまわしなど、人的ミスによるが大半を占めています。

※ゼロデイ攻撃：セキュリティホールが発見された日から脆弱性を解消するための対処方法が確立される日までの期間をゼロデイといい、その間に脆弱性を利用してサイバー攻撃をすること。

クラウドサービスでのインシデントには、クラウドそのものへのサイバー攻撃やクラウド業者による落ち度などが原因となるものもあり、その点についてはユーザー側での対応は不可能です。

ユーザー側にまずできるのは、クラウドを選択する際に、ベンダーのセキュリティの対策方針や、過去の事例を調べておくことです。クラウドサービスに付帯するセキュリティ対策が公開されていることや、サポート体制、適用法令・契約条件、データセンターがどの国、地域にあるか、などをチェックしましょう。

また、盲点になりがちですが、サービスの利用が終了したときのデータの取り扱い条件の確認も必要です。

その他、組織内で行う対策は、ほかのセキュリティ対策同様に基本的なことになりますが、それができていないゆえのインシデントが多いことを再認識しておくといいでしょう。

組織内にはセキュリティ管理者を置き、インシデント発生時には従業員からすぐに管理者に連絡をするフローを作っておきます。管理者は、必要に応じてクラウドベンダーに連絡をとり、即時に対応し、被害を最小限に留めるよう努めます。

クラウドサービスにアクセスできる従業員は厳格に管理し、IDやパスワードを安易なものに設定したり、共有したりしないように注意します。さらに、多要素認証などを用いて簡単にアクセスするといいでしょう。

また、データはバックアップを常にバックアップをとり、データの消失や改ざんに備えておきます。できれば、バックアップは他のベンダーのクラウドやオンプレミスを用いるほうが安全です。

サプライチェーン攻撃※を避けるために、協業している企業等にも協力を求め、攻撃を受けたときに共有する内容を明文化しておくと安心です。

※サプライチェーン攻撃：比較的セキュリティ対策が手薄な取引先を通して、不正プログラムを紛れ込ませる攻撃。

・クラウドインシデントは年々増えている
・脆弱性を狙った攻撃もあるが、インシデントの大半は人的なミスによる
・インシデント対策の責任者を定め、クラウドサービスにアクセスできる人員を管理する