【第6回】クラウド利用におけるセキュリティインシデント対応（前編）

2014年6月24日(火)日本クラウドセキュリティアライアンス

リスト

クラウドコンピューティングのセキュリティ課題について、「Security Guidance for Critical Areas of Focus in Cloud Computing（略称CSAガイダンス）」では体系的に解説している。本連載では、CSAガイダンスに沿って、クラウド利用者が知っておくべき知識と、押えるべきポイントを解説する。前回は、データセンターにおける物理的なセキィリティと人的セキュリティについて説明した。今回と次回は、クラウド利用におけるセキュリティインシデントの対応を2回に分けて説明する。

　クラウドにおけるセキュリティを考える上で、大きな課題の1つが、万一のセキュリティインシデントへの対応（インシデントレスポンス）である。“万一”という言葉には多少語弊がある。昨今の状況を考えれば、サイバー攻撃の手口の進化に、守る側が十分に追いつけていない姿が垣間見える。予防策が十分ではない現状では、セキュリティインシデントの発生は“想定外”であってはならない。

　とりわけ、クラウド利用においては、このようなインシデント対応のスキームは複雑なものになる。クラウドという形態の基本的な特徴や多様性に依っている。第2回で触れたように、クラウドのアーキテクチャには、いくつかの形があるためだ。

図1：クラウドにおける利用者と事業者の責任範囲
拡大画像表示

　セキュリティ対策において、その責任の所在１つを考えても、事業者と、利用者もしくはテナントとの間の責任分界点は、利用するクラウドのモデルに依存する（図1）。サービス自体のサプライチェーンまでを考えれば、さらに複雑になる。そのため、CSAガイダンスでは、インシデント対応については、9章全部を割いて様々な角度から考察している。