データを安全にクラウド移行するための6つのヒント

3月 17, 2017

ニュースレター第1号のアンケート「2017 ITトレンド」は、第1位が「セキュリティ」という結果でした。今回もみなさまの関心が高いセキュリティに関するお役立ちヒントをエンジニアリングチームのKevin（ネットワークエンジニア）がご紹介します。

急速に新しいIT技術が生み出されると同時に高速インターネットの価格の下落が続くなか、社内のITインフラを部分的にクラウドに移行することでITリソースを削減しようとする企業の動きが活発になっているようです。

しかし、「機密データはクラウド上でも安全」と言い切ることができますか？

クラウドも適切に管理することでデータを安全に保つことができます。このコラムでは、クラウドセキュリティに関する6つのヒントをご紹介します。

1.　パスワードの管理

データを保護するために最も重要なのは、何よりもまず「パスワード」です。パスワードを安全かつ効率的に利用する方法は次のとおりです。

ⅰ.「無作為」が大切
簡単に推測されたり、他のシステムで使用していたり、あなた自身に関する単語や数字パターンで容易に識別可能なものはパスワードに使用せず、ランダムな英数字等を組み合わせて作成しましょう。

ⅱ.「より複雑に」を意識する
英数字以外の文字（！^％$＃など）を含めると、ブルートフォース攻撃や辞書攻撃によってパスワードを盗まれることが難しくなります。

ⅲ.「定期的」な変更を心がける
パスワードを定期的に変更することは、ハッカーによるログイン情報の推測防止に最も役立ちます。定期的なイベントとしてスケジュールに入れておくのもよいでしょう。

ⅳ. 「2段階認証」を利用する
パスワードが危殆(きたい)化して安全性が低下しているときは、2段階認証を設定することでパスワードが不正に取得されるリスクを軽減することができます。（2段階認証については、前回コラム「パスワードだけで大丈夫?」も合わせてご覧ください。）

2．　データ保管場所を把握
データの物理的な保管場所を知っておくことは、技術面からみても、データの効率的な移動・移行の面からみても、安全性において非常に重要です。クラウドサービスプロバイダーに依頼した場合、データは他社と共有された物理インフラに格納されます。自社のデータがどのように分離されていて、情報漏えいなどの危険性への対策がどのように施されているかをプロバイダーに必ず確認してください。

またサービスプロバイダーによっては、世界中のさまざまな場所のインフラにデータを保管している可能性があります。しかし、あなたの会社（または国）が海外のデータ保管に関して規制を設けている場合もあります。データが物理的に保管されている場所、そして会社や国のデータ保管に関する要件を満たすことが可能かどうかを必ずプロバイダーに確認しましょう。

3．　暗号化の徹底
仮に、悪意のある人がデータを何らかの理由で入手したとしても、データを暗号化しておくことで機密情報の漏えいを防ぐことができます。クラウドサービスプロバイダーによっては、サーバー側の暗号化 (= server-side encryption) サービスを提供している場合もありますので、これも合わせて確認してみてください。

サーバー側の暗号化を提供していない場合には、「Boxcryptor」のようなユーザー側の暗号化 (= user-side encryption)サービスもあります。

一部のクラウドストレージプロバイダーは、ファイルを暗号化してサーバーに保存しますが、エンドツーエンドの暗号化 (データが発信元で暗号化され、最終的な端末のみで復号される) ソリューションを使用していないため、データを解読される危険性もあります。

エンドツーエンド暗号化の詳細については、こちらをご覧ください。(参照：Weblio)

4．　アーカイブの作成
クラウドストレージのそもそものコンセプトに相反するかもしれませんが、データのコピーを別のクラウドストレージに保管するか、ローカルに保管する必要があります。

クラウドストレージプロバイダーは、データバックアップや冗長化などのサービスを提供していますが、私たちは実際に以下のような条件によってクラウド上に保管されたデータに到達できないケースを経験してきました。

ローカルのインターネット接続に不具合が発生したとき
ストレージプロバイダー側のデータセンターで問題が発生したとき
インターネットサービスプロバイダー、または政府がストレージプロバイダーへのアクセスをブロックしたとき

データに簡単にアクセスできるメリットは大きいですが、データへのアクセスを失うことのデメリットはそれ以上に大きいです。データを復旧する別の方法も常に準備しておくことをお勧めします。

5．セキュリティ基準の明確化
適切な基準を設けることで、クラウド上のデータセキュリティの安全性をより高めることができます。この基準を実際に運用するための注意点は以下の2つです。

ⅰ.クライアント側
ユーザーは、データへのアクセスや共有をする際、会社や組織で決められたルールやモラルを守り、個人のパスワードが共有されないようにしましょう。

ⅱ.クラウドストレージプロバイダー側
ストレージプロバイダーは、データの安全性を確保し、物理ストレージへのアクセスを安全に行うために、最新のセキュリティ基準を満たしていなければなりません。次の法律、基準、規格なども参考にしてみてください。

HIPAA (Health Insurance Portability and Accountability Act), ISO (International Organization for Standardization), IEC (International Electrotechnical Commission) , JIS (Japanese Industrial Standard)

6.　ユーザーの意見を取り入れる
定期的にユーザーと話をする機会を見つけて、利用中のシステムについて何か意見や課題はないか聞いてみてください。システムが複雑すぎたり、非効率性を感じて不満をもつユーザーは、そのシステムを使用せずに済む方法を探しているかもしれませんが、それでは本末転倒です。データの安全性を優先することも大事ですが、利便性を高めてユーザーを満足させることもまた重要です。

最後に、プロバイダーからのセキュリティ更新プログラムは常に確認してください。サポートチームと常に連携して、セキュリティがいつも最新の状態にあること、潜在的なリスクや脅威ががあれば常に通知される状態にあることを確認しましょう。

データが安全に守られていれば、結果としてみなさまがその恩恵を受けることになります。