不必要なリスクを生み出すクラウドセキュリティの誤った仮定

アマゾン・ウェブ・サービスが最初のクラウド・インフラストラクチャ・プラットフォームを立ち上げてから15年が経ちました。スイッチを切り替えるだけで、ハードウェアを購入したり、資本を埋めたりすることなく、データセンターを稼働させることができます。しかし、当初、多くの企業が疑念の目でクラウドを見つめていました。コントロールを失うことを恐れて、彼らは独自のデータセンターを運営することに固執しました。彼らは雲は危険だと考えていました。そして、それはそうでした。

このブログ記事は、2 つのうちの 1 つ目で、クラウドを必要以上にリスクの高いものにする クラウド セキュリティに関する誤った仮定 を探っていきます。

クラウド:無視するにはあまりにも魅力的です

リスクはあるものの、時間が経つにつれて、クラウドの価値は無視できないほど魅力的であることが判明しました。今日、ほぼすべての企業がクラウドをある程度使用しています。また、多くの組織は、10年前には考えられなかった重要な業務のホストをクラウドに依存しています。

クラウドは広範囲にわたるメリットをもたらしてきましたが、そのリスクと課題は依然として残っています。クラウドで包括的な ゼロトラストセキュリティ を適用することは、デジタルインフラストラクチャの他の部分と同様に重要です。

最大の問題は?多くの場合、組織はクラウドインフラストラクチャ がサイバー攻撃 や ランサムウェアにさらされる方法を完全には理解していません。

前提条件 #1: クラウドプロバイダーはアプリケーションのセキュリティに責任を負います。

クラウドプロバイダーでない場合、 クラウドセキュリティの責任者は誰ですか?

真実は、セキュリティは共通の責任であるということです。

Amazon、Microsoft、Google、その他のクラウドベンダーと協力している場合でも、細かい部分を見ると、セキュリティ責任はネットワークファブリックの保護のみに限定されていることがわかります。

アプリケーションのセキュリティは引き続きお客様の責任です。クラウドネットワーク上にオペレーティングシステムを搭載したアプリケーションインスタンスをデプロイするとすぐに、それを保護するのはあなたの仕事であり、彼らの仕事ではありません。

さらに、ベンダーからのクラウドセキュリティサポートは、サービスレベルアグリーメント(SLA)ではなく、「ベストエフォート」モデルを使用します。つまり、分散型サービス拒否(DDoS)攻撃などのネットワーク由来の脅威からユーザーを守るために最善を尽くすことを約束するだけで済みます。しかし、もし誰かが乗り越えれば、彼らは最善を尽くしました。ワークロードの保護に関しては、それは常にあなた次第です。

また、クラウドプロバイダーは、アプリケーションをホストするLinuxサーバーなどのシステムにパッチを適用しますが、それは潜在的なアプリケーションの脆弱性には対処しません。アプリケーション層での可視性がなければ、アプリケーションが適切にデプロイまたは構成されているかどうかを知ることができません。

仮定 #2: クラウド セキュリティは管理が簡単です。

クラウドの利点(スピード、俊敏性、弾力性)は、実際には クラウドセキュリティ をより困難にしています。これは、クラウドを使用すると、組織内のほぼすべてのユーザーがマウスを数回クリックするだけで新しいアプリケーションやリソースを起動できるためです。

さらに困難なのは、IT チームとセキュリティ チーム内で クラウド サービスを 一元管理している組織はほとんどないことです。代わりに、さまざまなビジネスユニットやグループが個別に新しいクラウドアカウントを設定できます。

言い換えれば、アクセス権を持つユーザーまたは開発者は、インターネットへのポートが開いていて、何でも通信できるアプリケーションを作成できます。そして、これはすべて、これらのアプリケーションの存在を知らず、ましてやセキュリティを保護することさえあって、ITやセキュリティがなくても起こり得ます。

さらに、大企業は多くの場合、AWS、Microsoft Azure、Google Cloud、その他のクラウドプラットフォームに数百のクラウドアカウントを持っています。これらの各アカウントには、独自のセキュリティグループを持つ多数の仮想プライベートクラウドがある場合があります。

これらすべてが、これらのグループの管理とセキュリティへのエクスポージャーの理解をますます困難にしています。クラウド環境との間のアプリケーショントラフィックを視覚化するためのツールがあれば便利ですが、通常、クラウドプロバイダーはそれらを提供していません。

クラウドは今後も存続し、そのセキュリティリスクも同様です

大小の組織がワークロードのクラウドへの移行を検討する際、セキュリティは議論から除外されることが多すぎます。なぜでしょうか。なぜなら、一部のチームは、セキュリティをビジネスを加速させるイネーブラーとしてではなく、ビジネスを遅らせる阻害要因と見なす場合があるからです。

これは、CIO、セキュリティエグゼクティブ、その他のテクノロジーリーダーにとって厳しいジレンマを生み出します。ビジネスを推進するイニシアチブやアプリケーションをサポートできなければ、ビジネスの成長には貢献できません。しかし、クラウドがもたらす潜在的なセキュリティリスクを管理しなければ、ビジネスを深刻な脅威にさらすことになります。

次回のブログ記事では、お客様のビジネスを危険にさらしている可能性のある 追加のクラウドセキュリティの仮定 を解き明かします。

それまでの間、イルミオが マルチクラウドおよびハイブリッドクラウド環境のより強力なデジタルセキュリティの構築にどのように役立つかを学びましょう。または、当社の専門家に、イルミオがランサムウェアやサイバー攻撃に対する デジタル防御をどのように強化 できるかを説明してもらいます。