※この記事はZDNet Japan 2021年1月掲載の記事を転載したものです。

IaaS/PaaSといったクラウド環境は導入の容易さ、運用のしやすさなどから、近年、利用する企業が増えつつあります。
その一方で、これまで社内の情報システムを統括してきた情報システム部門の手から離れて、事業部門が直接クラウド環境を契約し、運用しているという事例も増えてきています。ITガバナンスの観点からいうと、情報システム部門のあずかり知らないところで、クラウド環境が運用されることとなり、セキュリティリスクが増大することになってしまいます。
日立ソリューションズが提供する「クラウドワークロードセキュリティサービス」は企業で利用されているクラウド環境上の仮想リソースと仮想リソースのセキュリティ設定の管理を一括して行うことを実現するサービスです。仮想リソースの利用状況の可視化、事業や部署別での管理、セキュリティ診断、未申告アカウントの検知など、仮想リソース全体に対して情報システム部門が一括して管理できる環境を提供します。

　DX（デジタルトランスフォーメーション）の推進や、ITを軸とした新規事業立ち上げなどに、ハードウェアの調達が不要でITリソースをスピーディーに柔軟に使うことができるクラウド環境の利用は効率的なソリューションです。その導入のしやすさから、事業部門が独自のサービスやシステムを構築するために契約して運用するという例も増えてきています。

　ところが、一般的に全社的なITガバナンスを統括し、セキュリティマネジメントを行う情報システム部門から見れば、このように部門独自に使われるクラウド環境は、自分たちの管理の外側となってしまうため、管理を行うことができません。

　特にセキュリティマネジメントの観点で言えば、AWS^＊やAzureといった大手のクラウドサービスでも、適切なセキュリティ対策を実施しない限りセキュリティ事故が起こる可能性は高いままとなってしまいます。

　例えば、クラウド環境のアカウント管理がしっかり行われていなかったことにより、インスタンスが仮想通貨の計算に使われていたとか、検証環境のセキュリティ設定の甘さから、クラウド上の仮想マシンに侵入され、サイバー攻撃の踏み台にされてしまうといったことが起こりうるわけです。

　したがって、大手のクラウドサービスだからといって、安心することなくしっかり情報システム部門が目を光らせておく必要があります。このようにクラウド環境上の仮想リソースのセキュリティ設定の状態を監視して管理を行うことをCSPM（Cloud Security Posture Management：クラウドセキュリティ態勢管理）と呼びます。

＊AWS：Amazon Web Services

　先に述べたような、セキュリティ設定の甘さによるセキュリティ事故の発生を防止するために重要となるのが、仮想リソースの可視化です。社内で部門ごとにIaaS/PaaS環境が乱立してしまうと、情報システム部門がお目付け役としてそれらを監視・管理することは困難と言えるでしょう。しかしそのような状態では、各リソースのセキュリティ設定に問題がないかの確認を十分に行うことができません。社内で利用している仮想リソースに対し、セキュリティを確保するためにも、まずは仮想リソースの可視化が必須といっても過言ではありません。