責任共有モデルとは

責任共有モデルが重要な理由

オンプレミスのデータ センター環境ではセキュリティの責任は所有者のみに、セキュリティ制御、パッチ適用、物理インフラの維持に関する責任はハードウェア ベンダーではなく、利用者側のセキュリティ部門(またはITなどの責任者)に委ねられます。ただし、ネットワークの一部がプライベートまたはパブリックのクラウド サービスを使用している場合、またはこれらのサービスで構成されている場合は、CSPが一部のセキュリティ責任を負います。

ここで効果を発揮するのが責任共有モデルです。責任共有モデルは、セキュリティの義務、データの状態、場所などの責任範囲をCSP側と利用者側で明確に区分けします。Microsoft Azure、Google Cloud、Amazon Web Services (AWS)などのCSPには、それぞれ特定のサービスに合わせて調整された独自のモデルが存在します。

責任共有モデルの仕組み

ほとんどの責任共有モデルでは、データ、認証情報、構成のほか、CSPのクラウド リソースの外部にある機能(組織のファイアウォールやその他の内部ネットワーク セキュリティなど)のような直接制御できるものについては、すべて利用者側の責任となります。

責任の所在が明確化されていないと、セキュリティ態勢が弱体化し、最終的にはクラウド セキュリティを脅かす設定ミスにつながる可能性もあるため、自社のセキュリティ上の義務についてプロバイダーがどこまで責任を負うのかを理解することが重要です。

責任共有モデルの種類

責任範囲は組織が利用するクラウド サービスの種類によって異なります。データ、デバイス、アカウント、アクセス管理の保護は利用者側の責任となり、ホスト、データ センター、ネットワークなどの物理インフラの保護はCSPの責任となります。各クラウド サービスの責任範囲の違いは次のとおりです。

• サービスとしてのソフトウェア(SaaS): CSPは、サービスを構成するオペレーティング システム、ネットワーク制御、アプリケーションのほか、サービスで生成されるデータに対してセキュリティ責任を負います。アイデンティティーとディレクトリー インフラで責任は異なります。
• サービスとしてのプラットフォーム(PaaS):一般的にCSPの責任は少なく、ネットワーク制御、アプリ、アイデンティティー/ディレクトリー インフラのセキュリティに対する責任はサービスごとに異なります。ただし、オペレーティング システムについてはCSPが引き続き責任を負います。
• サービスとしてのインフラ(IaaS): CSPの責任は最小限であり、CSPの物理インフラを除くすべてのセキュリティ責任は利用者側にあります。OSとアプリケーションへのパッチ適用やネットワーク制御については、利用者側が対応します。

責任共有モデルのメリット

プライベートのオンプレミス インフラでは利用者側がすべての責任を負うことになりますが、クラウド サービスでは責任範囲が少なくなるため、これは大きなメリットといえます。他にも、クラウド セキュリティの責任をサービス プロバイダーと共有するメリットとして次のような点が挙げられます。

• コストの削減：プロバイダーのセキュリティとインフラを活用することで利用者側の管理が軽減され、予算を圧迫する可能性のある追加リソースのコストを節約できます。
• サイバーセキュリティの強化：クラウド インフラにおけるセキュリティの責任を明確にすることで、脆弱性やデータ侵害につながるミスのリスクを軽減できます。
• 運用負担の軽減：CSPが担うセキュリティ責任が大きいほど、利用者側の担当者は他の優先事項に集中する時間を確保できます。

責任共有モデルの課題

クラウドに移行し、責任を共有することで多くのメリットを実現できる一方、考慮すべき潜在的な課題も存在します。

コンプライアンスと最終責任

何よりもまず、プロバイダーに自社のデータを任せられるかどうかが重要なポイントになります。内部のルールであっても、外部の規制であっても、利用者側のデータ セキュリティ ポリシーがここでは大きな影響力を持ちます。プロバイダーを選択する際は、同意する内容を十分に理解する必要があります。データ侵害によってこれらのルールや規制に違反した場合、利用者側が最終的に責任を負うことになるケースがほとんどです。

理解と適応

自社のセキュリティ責任を果たすには、どこまでが組織の責任でどこからがCSPの責任になるのかを正確に理解することが重要です。また、脆弱性を発生させないためにも、担当者はCSPのツールの使い方だけでなく、その制御を操作する方法も熟知する必要があります。さらに、アーキテクチャーやシステムが変更された場合(新しい統合が導入されたときなど)でも適応して、ユーザーとワークロードのセキュリティを維持できるようにしなければなりません。

責任共有のベスト プラクティス

特定の責任共有モデルにおけるベスト プラクティスは、利用者側固有のニーズとプロバイダーが提供するサービスによって異なりますが、セキュリティ責任を共有する際に留意すべき一般的なポイントを3つ紹介します。

• データ セキュリティと自社のその他の責任を優先する。利用しているクラウド サービスの種類にかかわらず、データ、エンドポイント デバイス、ユーザー認証情報、アクセス管理を保護する責任は利用者側にあるため、これらの義務を果たすことを最優先にします。これには、組織内の義務と責任の概説も含まれます。
• 同意した内容を把握し、変更に対応できるよう備える。プロバイダーのサービス レベル アグリーメント(SLA)は、プロバイダーと利用者双方の責任を正確に規定します。SLAの記載内容は頻繁に変更されるため、CSPがSLAに加える可能性のある更新には注意を払い、その更新がクラウド環境に影響を与える場合はそれに応じて行動することが重要です。
• 最新のセキュリティ ツールと可視化ツールを使用する。クラウド環境でのセキュリティ管理は、膨大な量のリソース、権限レベル、API、潜在的な攻撃ベクトルなどを考えると、非常に複雑になる可能性があります。セキュリティ運用と脅威ハンティングの機能における最新のイノベーションとその導入方法について常に最新の情報を入手するようにします。

クラウドで組織の安全性を確保するには

あらゆるビジネスがクラウド上で行われていますが、クラウド サービスはユーザー、エンドポイント、データを新たなリスクにさらす可能性もあります。これらのリスクから身を守るためにも、セキュリティ責任を確実に理解することが重要です。

しかし、責任を理解するだけでは十分ではありません。サードパーティーのパートナーや複数のサプライ チェーン、そしてエンドポイント、認証情報、データを狙うランサムウェアやフィッシングなどの高度な攻撃のリスクが高まる中で、責任を果たすことは困難な課題といえます。セキュリティのこれらの側面は常に利用者側に委ねられ、攻撃やデータ損失の可能性は非常に高いため、適切なセキュリティ パートナーを選択することが最も重要です。

Zscalerでデジタル トランスフォーメーションを保護

Zscalerは柔軟性、拡張性、到達範囲、使いやすさなどクラウドが提供するすべての機能を安全に活用できるよう支援します。

Zscaler Posture Controlは分散型クラウドや開発、DevOpsのライフサイクル全体にわたってインフラとアプリのセキュリティ リスクを優先付けするためにゼロから構築された高性能な統合クラウド ネイティブ プラットフォームで、以下の保護を維持するうえで役立ちます。

構成の保護

クラウド インフラストラクチャー、リソース、データ、アイデンティティー全体に包括的なCSPM制御を維持します。

詳細はこちら

権限の保護

最小権限のアクセスを適用することで、ユーザーとデバイスのアイデンティティーを保護します。

詳細はこちら

Infrastructure as Codeの保護

脆弱性とコンプライアンスの問題を解決するために、開発とDevOpsのワークフローにセキュリティの「シフトレフト」を導入しています。

詳細はこちら

データの保護

可視性、制御、コンプライアンスを維持しながら、複数のクラウド リポジトリーにわたって機密データを保護します。

詳細はこちら

ワークロードとアプリケーションの保護

ゼロトラストを活用して、アプリのライフサイクル全体でホスト、コンテナー、サーバーレス機能をエージェントなしで保護します。

詳細はこちら