クラウド普及で考えるべきセキュリティモデル

経産省らが主催したセミナーの講演で、奈良先端大の山口英教授はクラウドコンピューティングがセキュリティの「境界型防衛モデル」を崩壊させると指摘した。クラウド時代に求められるセキュリティとは何かを取り上げている。

[國谷武史，ITmedia]

　企業ITにおけるトレンドの1つにクラウドコンピューティングでは、どのようなセキュリティモデルを考えていくべきか――。経済産業省と情報処理推進機構、シマンテック、トレンドマイクロ、マカフィーが共催するセミナー「企業の情報セキュリティの課題と在り方」がこのほど都内で開かれ、奈良先端科学技術大学院大学の山口英教授がクラウド時代に必要なセキュリティをテーマに講演した。同氏は、「“セキュリティ意識 2.0”へバージョンアップせよ」と提唱している。

　山口氏は社会基盤のIT化が進んだことで、この2年ほどの間に社会インフラのさらなる効率化や最適化、新たな価値創造というニーズが高まり、クラウドコンピューティングがこれらのニーズを満たす手段として普及し始めたと指摘する。

　クラウドコンピューティングは、新しいインフラであり、ネットワークを介して世界中の多様なユーザー、デバイスが相互に接続して情報や知識を共有し、価値を創造していく。「クラウドコンピューティングは規模と密度への挑戦と言える。サービスを地球全体の規模へと広げ、同時に特定の物理的領域の中で情報を高密度に処理して最適化するという役割を担う」（山口氏）という。

クラウド時代に求められるセキュリティ

　だが山口氏は、クラウドコンピューティングの普及が、セキュリティの基本的なモデルとして提唱されてきた「境界防衛モデル」を崩壊させると指摘した。境界防衛モデルは、例えばインターネットと企業ネットワークの境界部にファイアウォールなどの堅牢なセキュリティ対策を講じ、企業ネットワークを外部の脅威から保護するというものである。

　境界部より内側で保護されているネットワーク上のシステムを利用できるのは、原則として管理された特定のユーザーになる。クラウドコンピューティングにも境界防衛モデルの概念を取り入れて堅牢な対策を講じる「プライベートクラウド」が存在する。だが、最も広く普及している米Amazonや米Googleのサービスのような「パブリッククラウド」は、さまざまなユーザーが使うことを前提にしており、多くの企業が独自に構築してきた境界防衛モデルのような堅牢性は持ち合わせてはいない。

　「相互接続という環境は他人も使うということであり、特定のユーザーに制限するというセキュリティの根本的な考えなくてはいけない」と山口氏。このような状況から、同氏は冒頭に挙げたセキュリティ意識 2.0へのバージョンアップを提唱した。セキュリティ意識 2.0がクラウド時代に適したセキュリティへの考え方とすれば、境界防衛モデルは「セキュリティ意識 1.0」と言う具合だ。

　クラウドコンピューティングのセキュリティを実現する上で、山口氏が重要なポイントに掲げるのが「信頼のサプライチェーン」の構築だという。

信頼を構築する技術的アプローチ

　境界防衛モデルでは、境界部においてコンピューティング環境を提供する組織がユーザーを信頼できるかをある程度は識別できる。山口氏は、クラウドコンピューティングでは、コンピューティング環境を提供する側だけでなく、ユーザー側にもコンピューティング環境を提供する側を信頼できるかどうか識別できるようにならなければならないと指摘する。だが、現状では提供者とユーザーがお互いに識別できる手段が存在しないという大きな課題を抱えている。

　「クラウドには、仮想化やシステムの拡大、識別に必要な観測技術の不在、ポリシーの不足、犯罪行為の隠ぺいが可能といった要因があり、ユーザーも提供者にも“分からない”という問題が次々出現している」（山口氏）

　例えば、ユーザー側からは、使用しているコンピューティング環境が物理的に存在しているのか、実データがどの場所に保存されているかが分かりづらい。提供者側も、システムをどの場所のどのようなユーザーが使っているか、どのようなネットワークを経由して接続しているかといったことが分かりづらい。クラウドコンピューティングでこの点を明らかにできる機能を実装しなければ、予測不可能な新たなセキュリティの脅威が出現しかねないという。

　セキュリティ対策には、既にコンピュータやネットワーク、システムを保護する幾つもの技術が存在している。これらの技術はポイントごとのセキュリティリスクには対処できるものの、クラウドコンピューティングのような大きな枠組みとしてリスクに対処できるものになってはいない。

CSPの役割

　山口氏はこうした役割を担う存在として、堅牢なセキュリティ対策を備えたコンピューティング環境を提供する「Computing Service Provider（CSP）」に注目する。CSPはユーザーとお互いに信頼関係を構築できる体制を持った理想的な組織になる。

　山口氏によれば、現状ではまだCSPのような役割を担える提供者が少なく、ユーザーが新たなセキュリティ課題を意識しないままにクラウドコンピューティングの普及が進んでしまっている。まずはユーザーのセキュリティ意識の変革し、ユーザーがクラウドに必要なセキュリティを考えていくことで信頼できるサービスの醸成へつながると同氏は期待する。

　「クラウド上にデータを預けるという行為がどのような意味を持つのかを考えるべき。クラウドコンピューティング環境は常に変化しており、ユーザーはまずアンテナを張り巡らして変化へ敏感になってほしい」（山口氏）

企業向け情報を集約した「ITmedia エンタープライズ」も併せてチェック

過去のセキュリティニュース一覧はこちら