情報セキュリティ技術動向調査（2009 年上期）

 　近年、ソフトウェアやハードウェアなどのリソースをネットワーク経由で利用する形態である「クラウドコンピューティング」が流行っている。しかし、クラウドコンピューティングをビジネスに適用しようとした場合に、セキュリティの問題が指摘されてきている。2009年上期（1月～6月）は、CSA（Cloud Security Alliance）という組織から、クラウドコンピューティングにおけるセキュリティについてのガイダンスが発行された。今回は、その内容について主に報告する。

 　クラウドコンピューティングは、ユーザがインターネット（クラウド）の向こう側からサービスを受け、利用料金を払う形態である。2006年8月9日、米GoogleのCEOであるエリック・シュミット氏が、米国カリフォルニア州サンノゼ市で開催された”Search Engine Strategies Conference”の中で「クラウドコンピューティング」と表現したのが始まりと言われている。クラウドコンピューティングの形態としては、主に、SaaS（Software as a Service）、PaaS（Platform as a Service）、HaaS（Hardware as a Service）またはIaaS（Infrastructure as a Service）の3つがある。

 　しかし、クラウドコンピューティングを企業向けに利用するにあたっては、セキュリティ上の問題が指摘され始めている。そこで、クラウド関連団体では、次のような取り組みが始められている。

• Open Cloud Manifesto

  IBMやSun、Cisco、VMware、EMC、SAPなどが署名をしているマニフェストであり、クラウドコンピューティングの課題として、セキュリティ、データとアプリケーションの相互運用性と移植性、管理、測定／モニタリングなどを挙げ、プロバイダやアーキテクチャの自由な選択、クラウドプロバイダ間の相互運用性確保による柔軟性などを目標に掲げている。

 

• Cloud Security Alliance（以下「CSA」と呼ぶ）

  企業メンバとして、Forum Systems、HCL Technologies、PGP、Qualys、Verizon Business、Zscalerの6社、アフィリエイトメンバとして、ISACA、Jericho Forum、Founding Membersとして、Salesforce.com、eBay、DELL、HP、RSA Security、Sun、Intuit、McAfee、Qualcom、BTなどの社員が名を連ねる。クラウドコンピューティングの利用者およびプロバイダ間における、必要なセキュリティ要件について共通のレベルの理解の推進や、クラウドコンピューティングセキュリティのためのベストプラクティスについての研究の推進、クラウドコンピューティングおよびクラウドセキュリティソリューションの適切な利用についての啓発活動および教育プログラムの立ち上げ、クラウドセキュリティ保証についての課題リストとガイダンスの作成を目標に掲げている。

 　上記の活動の中で、CSAが4月22日に “Security Guidance for Critical Areas of Focus in Cloud Computing”（以下「CSAガイダンス」と言う）というガイダンスをCSAのサイト（http://www.cloudsecurityalliance.org/）から公開しており、以下はその内容を説明する。

 　CSAガイダンスは、次のように15のドメインで構成されており、それぞれ、第1章「クラウドアーキテクチャ」、第2章「クラウドのガバナンス」、第3章「クラウドのオペレーション」の3章構成となっている。

 　今回は、これらの中でも、技術的課題について述べている第3章について、概要を紹介する。

Traditional Security, Business Continuity and Disaster Recovery

• クラウドコンピューティングでは、クラウド上にデータが集中するため、クラウドプロバイダの内部犯行が問題となる。このため、クラウドプロバイダは想定される最も厳しい顧客要件をベースラインとして適用すること
• クラウドプロバイダは、業務の分離を徹底し、扱う顧客情報を、業務を行うために必要最低限に限定すること
• クラウドセンターへの入館の権限があることを、物理アクセス制御で確認すること
• 地震やハリケーンなどの災害や停電、断水などの問題について、ユーザは、クラウドプロバイダのディザスタリカバリ計画や事業継続計画をチェックすること
• ユーザは、可能な限り、クラウドプロバイダの設備を現地で確認すること

Data Center Operations

• 管理ツールや鍵管理のミスによって、ストレージの分離がバイパスされることがないか確認すること
• キャパシティの限界に達した時、追加のリソースがシームレスに利用可能になるかどうかを確認すること
• PaaSの場合は、クラウドプロバイダのパッチ管理ポリシーが、ユーザが開発したアプリケーションにどのように影響するか確認すること
• ユーザの事業継続計画がクラウドプロバイダの事業継続計画に影響することを認識すること
• クラウドプロバイダのロギング機能について、何が記録されるのか、保存期間はどれくらいか、他のユーザのログとどのように分離されるのかについて確認しておくこと

Incident Response, Notification and Remediation

• クラウド上でインシデントが発生した場合に、アプリケーションの所有者によって通知先や通知方法、対処方法が異なる。クラウドプロバイダは、このような場面に対応できること
• SOC（Security Operation Center）サービスを利用する場合は、マルチテナント環境におけるインシデント分析に対応可能であること
• クラウドプロバイダは、特定の顧客に対するインシデントに対応可能であること。このため、アプリケーションレベルのロギングを行い、アプリケーション毎に所有者情報を取得可能であること
• クラウドプロバイダと顧客はサービスのダウンタイムを最小化するため、インシデント後の適切な対処を共同で行うためのプロセスを定義しておくこと

Application Security

• Haas/IaaSでは、仮想マシンイメージはクラウドプロバイダやサードパーティから提供されることが多いが、ユーザのセキュリティポリシーにあった仮想マシンイメージをユーザ側で用意すること
• DMZ上のホストと同等のセキュリティ強化を、仮想マシンに適用すること
• ホスト間通信は、同じデータセンタ内、同じ物理プラットフォーム上であっても、セキュアにすること
• アプリケーションがプラットフォームを使用するために必要なアカウントキーの管理と保護を慎重に行うこと
• ユーザ間で共有されるログに機密情報が書き出されないように、ログメッセージの内容に注意すること

Encryption and Key Management

• クラウドコンピューティングシステムでデータを保護するために、送信中および保存中のデータを強力な暗号化によって保護すること
• データをホスティングしているクラウドプロバイダから鍵管理を分離すること
• 契約書で暗号化について規定する場合、使用する暗号が既存の業界標準や政府標準に適合していることを確認すること

Identity and Access Management

• ユーザは、ユーザ宅内のアプリケーションとクラウドアプリケーションをSSO連携させることを検討すること
• クラウドプロバイダとユーザとの間で利用可能なフェデレーション標準（SAML、WS-Federation、Liberty ID-FF）について確認しておくこと
• クラウドプロバイダのユーザ認証の強度やパスワードポリシーが、ユーザのセキュリティポリシーで要求するレベル以上であることを確認すること
• クラウドプロバイダを乗り換える場合を想定し、標準のXACMLに準拠した管理を検討すること

Storage

• マルチテナント環境のストレージの分離手段について確認すること
• 暗号化の鍵管理方法について確認すること
• クラウドプロバイダはストレージをリサイクルしたり、破棄したりする場合に、第三者がアクセスできないようにデータを暗号化すること
• 法律やコンプライアンスなどの面から、ユーザがストレージの地理的位置を知ることや、データを格納する国を指定することができるかどうか確認すること。また、データを格納する位置が変わった場合に、ユーザに通知されるかどうか確認すること
• データ検索・分析機能、データ移行システム、アーカイブ機能、バックアップ機能について確認すること
• アーカイブデータの保存期間や、復号方法について確認すること

Virtualization

• 仮想マシンは、ネットワークではなく、ハードウェアバックプレーンを介して通信するため、ファイアウォールやIPS（侵入防止システム）のような従来のネットワークセキュリティ機器での制御が効かない。このため、仮想マシン上で動作する仮想ネットワークアプライアンスの導入などを検討すること
• バックアップとして保存していた仮想マシンイメージを復帰させる際に、セキュリティホールとならないように、最新のパッチが適用された状態にしてから復帰させること

 　クラウドコンピューティングを企業がビジネス利用するためには、まだ、セキュリティの問題が多く存在する。現在、Cloud Security Allianceなど、ベンダや専門家がセキュリティの問題を指摘し出したところであり、各クラウドベンダの取り組みが期待される。