こんにちは！情報システムセキュリティ担当の城咲子です。
皆さんはクラウドを利用する際、どのようなセキュリティリスクを想像しますか？外部からのサイバー攻撃やデータ漏洩は、多くの人が思い浮かべる脅威かもしれません。しかし、クラウド環境には、もっと多岐にわたる潜在的なリスクが潜んでいます。
今回は、クラウドセキュリティの専門家集団である**クラウドセキュリティアライアンス（CSA）**が発表した脅威レポート「The Egregious Eleven」（とんでもない11の脅威）を参考に、クラウド環境で特に注意すべき脅威トップ11を、情シスセキュリティ担当の視点から解説します。
- なぜ「The Egregious Eleven」を知るべきなのか
- 「The Egregious Eleven」11の脅威
- 1. データ漏洩（Data Breaches）
- 2. 不適切な認証・資格情報・アクセス管理（Insecure Interfaces and APIs）
- 3. 設定ミスと不適切な変更管理（Misconfiguration and Insecure Change Control）
- 4. アカウントハイジャック（Account Hijacking）
- 5. 悪意あるインサイダーの脅威（Malicious Insiders）
- 6. 永続的な高度脅威（Advanced Persistent Threats）
- 7. データ損失（Data Loss）
- 8. 不十分なデューデリジェンス（Insufficient Due Diligence）
- 9. システムの脆弱性（System Vulnerabilities）
- 10. 濫用と不正利用（Abuse and Nefarious Use）
- 11. サービス拒否（Denial of Service）
- 脅威への備えは「多層防御」が鍵
なぜ「The Egregious Eleven」を知るべきなのか
CSAは、クラウドコンピューティングにおけるセキュリティのベストプラクティスを策定・推進している国際的な非営利団体です。彼らが定期的に発表する脅威レポートは、セキュリティ専門家への調査に基づき、クラウド利用における最新の脅威トレンドを網羅的に知る上で、非常に重要な情報源となります。
私はCISSPおよび登録セキスペとして、このレポートを常にチェックしています。このレポートの最も重要な点は、単なる技術的な脆弱性だけでなく、設定ミスや不注意な運用といった**「ヒューマンエラー」に起因する脅威**を重視していることです。
クラウドの脅威を知ることは、単にセキュリティ製品を導入するだけでなく、日々の運用や従業員の教育にどう活かすべきかを考えるための第一歩となります。
「The Egregious Eleven」11の脅威
ここでは、CSAが特定した11の脅威を一つずつ詳しく見ていきましょう。
1. データ漏洩（Data Breaches）
クラウドに保存されたデータが、意図的または偶発的に外部へ流出する脅威です。設定ミス、脆弱性、認証情報の漏洩など、さまざまな原因で発生します。
【専門家コメント】 最も重大な脅威の一つであり、企業の信頼を根底から揺るがします。私は、機密情報の適切な分類と暗号化、そして厳格なアクセス制御が不可欠だと考えています。
2. 不適切な認証・資格情報・アクセス管理（Insecure Interfaces and APIs）
クラウドサービスとの連携に用いられるAPI（アプリケーション・プログラミング・インターフェース）の脆弱性や、不適切なアクセス管理を悪用した脅威です。
【専門家コメント】 APIはクラウドの利便性を高める一方で、セキュリティ上のリスクも伴います。APIのセキュリティ評価を定期的に行い、認証情報を安全に管理することが重要です。
3. 設定ミスと不適切な変更管理（Misconfiguration and Insecure Change Control）
クラウド環境の設定ミスによってセキュリティホールが生まれる脅威です。人為的なミスが原因のほとんどを占めます。
【専門家コメント】 私はこれが最も危険な脅威だと感じています。クラウドサービスのデフォルト設定は安全とは限らないため、手動での設定確認に加え、IaC（Infrastructure as Code）ツールを用いて設定の自動化と検証を行うことを推奨します。
4. アカウントハイジャック（Account Hijacking）
フィッシングやマルウェアによって、クラウドサービスのアカウント認証情報が盗まれ、不正利用される脅威です。
【専門家コメント】 多要素認証（MFA）は必須です。パスワードだけでは、もはやアカウントを守りきれません。
5. 悪意あるインサイダーの脅威（Malicious Insiders）
悪意を持った従業員、元従業員、パートナーなどが、自身のアクセス権限を悪用して機密情報を盗んだり、システムを破壊したりする脅威です。
【専門家コメント】 外部からの攻撃より検知が難しいのが特徴です。アクセスログの監視と、最小権限の原則に基づいた権限付与が非常に重要です。
6. 永続的な高度脅威（Advanced Persistent Threats）
攻撃者が長期間にわたりシステム内に潜伏し、徐々に機密情報を窃取する脅威です。
【専門家コメント】 クラウド環境では、外部から持ち込まれた悪意のあるコードや、設定の隙間を突いて侵入されるケースがあります。定期的なセキュリティスキャンと振る舞い検知が有効な対策です。
7. データ損失（Data Loss）
偶発的な削除や、災害、ストレージの故障などによって、データが復旧不能になる脅威です。
【専門家コメント】 セキュリティ上の脅威というよりは、事業継続性の観点から重要です。定期的なバックアップと、地理的に分散したストレージへの冗長化が不可欠です。
8. 不十分なデューデリジェンス（Insufficient Due Diligence）
クラウドサービスを選択・導入する際に、そのサービスのセキュリティ体制やコンプライアンス要件を十分に評価しないまま利用を開始してしまう脅威です。
【専門家コメント】 これは、クラウド導入前の最も重要なプロセスです。私は、サービスプロバイダーのセキュリティ認証（ISO 27001、SOC 2など）を確認し、契約内容を十分に検討することを推奨します。
9. システムの脆弱性（System Vulnerabilities）
クラウドプロバイダーが提供する基盤や、利用しているアプリケーションに存在する脆弱性を突かれる脅威です。
【専門家コメント】 クラウドプロバイダー側の責任範囲となることもありますが、利用者がアプリケーションをアップデートしない、パッチを適用しないといった不備も原因となります。
10. 濫用と不正利用（Abuse and Nefarious Use）
悪意のある利用者が、クラウドサービスをDDoS攻撃の発信源や、マルウェアのホスティング場所として悪用する脅威です。
【専門家コメント】 プロバイダー側でも対策が取られていますが、利用者は不審なアクティビティを監視し、通報する義務があります。
11. サービス拒否（Denial of Service）
正規のユーザーがサービスを利用できなくなるよう、クラウドサービスに大量のトラフィックを送りつける攻撃です。
【専門家コメント】 クラウドは通常、高いスケーラビリティを持つため、小規模なDDoSには強いですが、大規模な攻撃には注意が必要です。WAF（Webアプリケーションファイアウォール）やDDoS対策サービスを利用することが一般的です。
脅威への備えは「多層防御」が鍵
私が情シスセキュリティ担当として最も重視しているのは、**「多層防御」**の考え方です。特定の脅威に特化した単一の対策ではなく、上記のような様々な脅威に対して、複数のセキュリティ対策を組み合わせることが不可欠です。
例えば、インサイダーの脅威に対しては、単に監視を強化するだけでなく、最小権限の原則に基づいた権限管理、退職時のアクセス権停止、そして定期的なセキュリティ教育を組み合わせることで、リスクを大幅に低減できます。
クラウドは非常に便利ですが、その利便性と引き換えに、新たなセキュリティリスクも生まれています。「外部からの攻撃は防げても、社内には危険人物はいないだろう」という甘い認識は捨て、外部と内部、両方の脅威を考慮した多層的なセキュリティ対策を構築していく必要があります。
