勝手なクラウド利用でセキュリティリスクが増大

2013.07.10 Wed

情報システム部門を通さずにクラウドを勝手利用

　クラウド・コンピューティングは企業のIT環境に多くのメリットをもたらしますが、一方でいくつかの懸念もあります。その1つとして挙げられるのが、個々の部門が勝手にクラウドを利用することによりガバナンスが低下してしまうことです。ここでは「IaaS（Infrastructure as a Service）」と「SaaS（Software as a Service）」のそれぞれにおける勝手利用の問題点を見ていきます。

　それではまず、ガバナンス不在のIaaS利用がどのような問題を引き起こすのかを解説していきましょう。

　IaaSはネットワーク上でサーバーを提供するというクラウド・コンピューティングの一形態であり、代表的なサービスとしてはNTTコミュニケーションズの「Cloudn」やアマゾンの「Amazon Elastic Compute Cloud（EC2）」、ニフティの「ニフティクラウド」などが挙げられます。いずれも安価に利用できることに加え、分単位や時間単位の課金のため、短期間の利用でもコストの無駄が生じないといったメリットがあります。

　IaaSの利用用途はさまざまですが、その1つに企業の「キャンペーンサイトの運営」があります。多くの場合、キャンペーンサイトを公開しているのは数週間から数カ月のため、たったそれだけの期間のためにサーバーを購入するのは無駄が大きいでしょう。そこで“使いたいときに使いたい期間だけ”利用できるIaaSを活用するというわけです。

　ただし、IaaSの利用を社内でコントロールせずに野放しにしていると、前回解説した「野放しファイルサーバーが生み出す悲劇」と同様、思わぬトラブルにつながる可能性があります。たとえば、キャンペーンサイトでは、プレゼントの応募などで個人情報を収集して蓄積するケースも多いと思います。しかし、こうしたサーバーに対して外部から攻撃が行われれば、個人情報の漏えいといった事態に発展する可能性が十分に考えられます。

　特に外部に公開するサーバーであれば、その構築や運用には情報システム部門（以下、情シス部門）などITに精通した人材が適切に関与し、セキュリティ対策の実施やログによる監視などを行うべきです。ところが、「クラウドサービスなら、簡単にサーバーを使えるから」と、マーケティング部や営業部といった部署が情シス部門を通さずにサーバーを公開するといった例が増えつつあります。このように適切にコントロールされていない、つまりガバナンスが効いていない状態でクラウドサービスを利用すれば、セキュリティ対策などがおろそかになり、情報漏えいやWebサイトの改ざんなどといったトラブルに遭遇する可能性が高まってしまうというわけです。

個人情報の漏えい等の重大なセキュリティ事故