https://infomation-sytem-security.hatenablog.com/entry/security-shared-responsibility-model

はじめに：クラウド時代のセキュリティは「共同作業」

今日のビジネス環境において、クラウドサービスの利用はもはや当たり前となっています。AWS（Amazon Web Services）、Microsoft Azure、Google Cloud Platform（GCP）といった主要なクラウドサービスプロバイダー（CSP）は、その利便性と柔軟性で多くの組織に恩恵をもたらしています。しかし、クラウドにシステムを移行したからといって、セキュリティの責任がすべてクラウドプロバイダーにあるわけではありません。

私は情報セキュリティの専門家として、クラウド環境におけるセキュリティの最も重要な概念の一つが「セキュリティ責任共有モデル（Shared Responsibility Model for Security）」であると強く認識しています。これは、クラウドサービス利用者が自身の責任範囲を明確に理解し、適切なセキュリティ対策を講じるための羅針盤となります。

1. セキュリティ責任共有モデルとは？

セキュリティ責任共有モデルとは、クラウドコンピューティング環境において、セキュリティに関する責任がクラウドサービスプロバイダー（CSP）と顧客（ユーザー）の間でどのように分担されるかを明確に定義したフレームワークです。

各CSPが提供するサービスのモデル（IaaS, PaaS, SaaS）によって、その責任の境界線は異なりますが、基本的な考え方は共通しています。このモデルを理解することは、クラウド環境でのセキュリティリスクを適切に管理し、潜在的な脆弱性を特定する上で不可欠です。

2. 基本原則：「クラウドのセキュリティ」と「クラウド内のセキュリティ」

セキュリティ責任共有モデルの核心は、以下の二つの異なる概念を明確に区別することにあります。

クラウドのセキュリティ (Security of the Cloud)：
- これはクラウドサービスプロバイダー（CSP）の責任範囲です。
- CSPは、物理的なインフラストラクチャ（データセンターの建物、サーバー、ストレージ、ネットワーク機器など）、仮想化基盤、そして提供するサービス自体の基盤層のセキュリティを担当します。
- 例：データセンターの物理セキュリティ、ネットワーク基盤の保護、ハイパーバイザーのセキュリティ、クラウドサービスの可用性維持など。
クラウド内のセキュリティ (Security in the Cloud)：
- これは顧客（ユーザー）の責任範囲です。
- 顧客は、CSPが提供する基盤の上に構築・デプロイするデータ、アプリケーション、設定、ネットワーク構成、アクセス管理などのセキュリティを担当します。
- 例：データの暗号化、アプリケーションの脆弱性対策、ネットワークセキュリティグループの設定、IAM（Identity and Access Management）によるアクセス制御、OSのパッチ適用、ログ監視など。

この原則は、CSPがインフラストラクチャを安全に保ち、顧客がそのインフラストラクチャ上で自身のワークロードを安全に保つという役割分担を示しています。

3. クラウドサービスのモデル別責任分担の詳細

セキュリティ責任共有モデルにおける責任の境界線は、利用するクラウドサービスのタイプ（IaaS, PaaS, SaaS）によって変化します。クラウドサービスは、CSPが管理する範囲が広がるほど、顧客の責任範囲が狭まります。

3.1. Infrastructure as a Service (IaaS)

提供サービス: 仮想サーバー、ストレージ、ネットワークなどの基本的なインフラリソース。顧客はOSから上を自由に構築・管理。
CSPの責任:
- 物理的な施設、インフラストラクチャ（ホストOS、仮想化レイヤー、サーバーハードウェア、ストレージ、ネットワーク機器）のセキュリティ。
- 「クラウドのセキュリティ」全般。
顧客の責任:
- ゲストOSのセキュリティ: OSのパッチ適用、構成管理、ログ管理。
- アプリケーションのセキュリティ: 脆弱性対策、設定、パッチ適用。
- データのセキュリティ: 暗号化、アクセス制御、バックアップ。
- ネットワーク設定: 仮想ネットワーク、ファイアウォール（セキュリティグループ、ACLなど）、ルーティング。
- 認証とアクセス管理（IAM）: ユーザー管理、ロール管理、ポリシー設定。
- 「クラウド内のセキュリティ」全般。
例: AWS EC2、Azure Virtual Machines、Google Compute Engineを利用する場合。

3.2. Platform as a Service (PaaS)

提供サービス: アプリケーション開発・実行のためのプラットフォーム（OS、ミドルウェア、データベースなど）と開発環境。顧客はアプリケーションとデータの管理に注力。
CSPの責任:
- IaaSの責任範囲に加えて、OS、ミドルウェア、ランタイム、データベースなど、プラットフォーム層のセキュリティ（パッチ適用、構成管理など）。
- 「クラウドのセキュリティ」に加えて、一部の「クラウド内のセキュリティ」をCSPが担当。
顧客の責任:
- アプリケーションのセキュリティ: 脆弱性対策、設定、パッチ適用。
- データのセキュリティ: 暗号化、アクセス制御、バックアップ。
- ネットワーク設定: アプリケーションのネットワークアクセス制御。
- 認証とアクセス管理（IAM）: 顧客が利用するサービス固有のユーザー管理。
例: AWS RDS、Azure App Service、Google App Engine、Azure SQL Databaseを利用する場合。

3.3. Software as a Service (SaaS)

提供サービス: 完成されたアプリケーションソフトウェアをサービスとして提供。顧客はアプリケーションを利用するだけ。
CSPの責任:
- IaaS、PaaSの責任範囲に加え、アプリケーション自体のセキュリティ。
- データ管理（アプリケーションが処理するデータ）の一部も担当（データの整合性、可用性など）。
- 「クラウドのセキュリティ」と「クラウド内のセキュリティ」の大部分をCSPが担当。
顧客の責任:
- データの分類と適切な入力: どのデータをSaaSに保存するか、入力データの正当性。
- ユーザーとアクセス管理: SaaSにおけるユーザーアカウントの管理、多要素認証の設定。
- 設定の最適化: SaaSが提供するセキュリティ設定オプションの適切な有効化と設定。
- クライアントエンドポイント保護: SaaSにアクセスするデバイス（PC, スマートフォンなど）のセキュリティ。
例: Microsoft 365、Salesforce、Google Workspaceを利用する場合。

責任範囲	オンプレミス	IaaS	PaaS	SaaS
データ	顧客	顧客	顧客	顧客
アプリケーション	顧客	顧客	顧客	CSP
ミドルウェア	顧客	顧客	CSP	CSP
OS	顧客	顧客	CSP	CSP
仮想化	顧客	CSP	CSP	CSP
サーバー	顧客	CSP	CSP	CSP
ストレージ	顧客	CSP	CSP	CSP
ネットワーク	顧客	CSP	CSP	CSP
物理的な設備	顧客	CSP	CSP	CSP

4. セキュリティ専門家としての考察と実践のポイント

セキュリティ責任共有モデルは、クラウド利用におけるリスク管理の出発点です。私は、このモデルを深く理解し、以下の点を実践することの重要性を強調しています。

自身の責任範囲を明確に把握する: 利用しているクラウドサービスのタイプと、その上で構築しているシステムの特性に応じて、CSPと自社の責任範囲を具体的に洗い出す。不明な点はCSPのドキュメント（例: AWS Shared Responsibility Model）を必ず確認すること。
設定ミス（Misconfiguration）の防止: クラウド環境でのセキュリティインシデントの多くは、顧客側の設定ミスが原因です。IAMポリシーの過剰な権限付与、S3バケットの公開設定、ネットワークセキュリティグループの誤設定などがないか、継続的に監査し、自動化された設定チェックツール（CSPM: Cloud Security Posture Management）の導入を検討すること。
IAMの厳格な管理: クラウド環境における「鍵」であるIAMは、最小権限の原則（Least Privilege）に基づいて厳格に管理すること。不要なユーザーやロールの削除、多要素認証（MFA）の義務化、ロールベースアクセス制御（RBAC）の適用を徹底すること。
データ保護の徹底: 顧客の責任であるデータの暗号化（保管時・転送時）、アクセス制御、バックアップ戦略を確実に実行すること。特に機密データについては、厳格な保護措置を講じること。
ログと監視: CSPが提供するログ（CloudTrail, Azure Activity Log, Cloud Audit Logsなど）や監視ツール（CloudWatch, Azure Monitor, Cloud Monitoringなど）を積極的に活用し、異常な活動を早期に検知する体制を構築すること。
インシデントレスポンス計画の更新: クラウド環境特有の特性を考慮し、インシデントレスポンス計画を更新・テストすること。

セキュリティ責任共有モデルは、クラウドがもたらす利便性と効率性を享受しつつ、情報資産を適切に保護するための「共同戦線」を張るための概念なのです。

まとめ

セキュリティ責任共有モデルは、クラウドサービスプロバイダー（CSP）と顧客の間でセキュリティ責任が分担されることを明確にするフレームワークです。

基本原則: CSPは「クラウドのセキュリティ」を、顧客は「クラウド内のセキュリティ」を担当する。
責任範囲: サービスモデル（IaaS, PaaS, SaaS）が抽象化されるにつれて、CSPの責任範囲が広がり、顧客の責任範囲は狭まる。
重要性: 顧客が自身の責任範囲を正確に理解し、適切なセキュリティ対策を講じることで、設定ミスによる脆弱性を防ぎ、クラウド環境全体のセキュリティ態勢を強化できる。

クラウド導入を成功させるためには、このモデルを理解し、組織のセキュリティ戦略に組み込むことが不可欠です。