クラウドセキュリティ体制管理: AWS、Azure、GCP のベストプラクティス

構成ミスは、クラウドのセキュリティ侵害の主な原因です。洗練されたゼロデイエクスプロイトや高度な持続的脅威ではなく、パブリック S3 バケット、過度に寛容な IAM ポリシー、暗号化されていないデータベースなどの単純な構成ミスです。 Gartner は、2027 年までに、クラウド セキュリティ障害の 99% は、防止可能な構成エラーに起因する顧客のせいになると推定しています。

課題は規模です。一般的なエンタープライズ AWS アカウントには、数千のリソース、数百の IAM ポリシー、および数十のネットワーク構成が含まれています。それぞれが、侵害になるのを待っている潜在的な構成ミスです。 AWS、Azure、GCP にわたるマルチクラウド デプロイメント全体でこれを増やすと、手動のセキュリティ管理は不可能になります。 Cloud Security Posture Management (CSPM) は、これらの構成の継続的な評価と修復を自動化します。

重要なポイント

• 責任共有モデルとは、クラウド プロバイダーがインフラストラクチャを保護しますが、構成、アクセス制御、およびデータ保護についてはお客様が責任を負うことを意味します
• IAM の設定ミスは最も危険なクラウド セキュリティ リスクです。単一の過度に寛容なポリシーによって環境全体が危険にさらされる可能性があります。
• 保存時および転送時の暗号化を明示的に有効にし、すべてのデータ ストアおよび通信チャネルで検証する必要がある
• CSPM ツールは、マルチクラウド環境全体で継続的なコンプライアンス監視を提供し、手動監査の労力を 80% 削減します。

---

責任共有モデル

クラウド セキュリティに関する議論はすべて、責任共有モデルから始まります。クラウドプロバイダーの責任がどこまででどこからがあなたの責任なのかを理解することは、侵害につながる前提条件のギャップを回避するために不可欠です。

サービスモデル別の責任分担

|セキュリティドメイン | IaaS (EC2、VM) | PaaS (RDS、App Service) | SaaS (S3、Cosmos DB) | |--|--|---|--|--|-|-| |物理的なセキュリティ |プロバイダー |プロバイダー |プロバイダー | |ネットワークインフラ |プロバイダー |プロバイダー |プロバイダー | |ハイパーバイザー/ホスト OS |プロバイダー |プロバイダー |プロバイダー | |ゲスト OS のパッチ適用 | 顧客 |プロバイダー |プロバイダー | |アプリケーションのセキュリティ | 顧客 | 顧客 |プロバイダー | |データ暗号化 | 顧客 | 顧客 | 顧客 | | IAM 構成 | 顧客 | 顧客 | 顧客 | |ネットワーク構成 | 顧客 | 顧客 | 顧客 | |ロギングとモニタリング | 顧客 | 顧客 | 顧客 | |コンプライアンスの検証 | 顧客 | 顧客 | 顧客 |

パターンは明らかです。サービス モデルに関係なく、顧客は常に IAM、データ保護、ネットワーク構成、監視に対して責任を負います。これらは、CSPM が最も価値を提供する領域です。

---

IAM ポリシーとアクセス制御

IAM の構成ミスは常に最も危険なクラウド セキュリティ リスクです。過度に寛容な IAM ポリシーでは、攻撃者にクラウド環境内のすべてのリソースへのアクセスを許可する可能性があります。 Cloud IAM は、各プロバイダーが異なるポリシー言語と継承モデルを使用するため、正しく管理するのが最も複雑な領域でもあります。

クラウド プロバイダー全体にわたる IAM のベスト プラクティス

重要な IAM アンチパターン

ワイルドカード アクセス許可。 "Action": "*" または "Resource": "*" を付与するポリシーは、クラウドでは玄関ドアを開けっ放しにしておくのと同じです。すべてのポリシーでは、正確なアクションとリソースを指定する必要があります。

有効期間の長いアクセス キー。 IAM ユーザー (AWS) またはサービス アカウント キー (GCP) の静的アクセス キーは、価値の高いターゲットです。ロールの仮定 (AWS STS)、マネージド ID (Azure)、または Workload Identity Federation (GCP) を通じて一時的な認証情報を使用します。

条件なしのクロスアカウントの信頼 別のアカウントのプリンシパルがロールを引き受けることを許可する信頼ポリシーは、横方向の移動パスを作成します。常に条件 (外部 ID、ソース IP、MFA 要件) を含めます。

未使用のアクセス許可。 時間の経過とともに、IAM ポリシーには、1 回限りのタスクに対して付与され、決して取り消されなかったアクセス許可が蓄積されます。 IAM Access Analyzer (AWS)、Access Reviews (Azure)、または IAM Recommender (GCP) を使用して、アクセス レビュー を毎月実行します。

---

保存時および転送時の暗号化

暗号化は、他の制御が失敗した場合でも、不正なアクセスからデータを保護します。クラウド環境では、すべてのデータ ストアと通信チャネルに対して暗号化を明示的に構成し、検証する必要があります。

保存時の暗号化

ベストプラクティス:

• アカウント/サブスクリプション/プロジェクト レベルですべてのストレージ サービスに対してデフォルトの暗号化を有効にする
• 機密データにはカスタマー マネージド キー (CMK) を使用して、キーのライフサイクルとローテーションの制御を維持します
• データの機密性に応じて、90 ～ 365 日のスケジュールでキーのローテーションを自動化
• キー アクセスとデータ アクセスを分離 --- データを読み取ることができるユーザーは暗号化キーを管理できないようにする必要があります
• キーの削除保護を有効にし、キーの破棄には複数のパーティの承認が必要です

転送中の暗号化

• すべての外部向けエンドポイントに対して TLS 1.2 以上。パフォーマンスとセキュリティの観点から TLS 1.3 が推奨されます。
• **ロード バランサー、CDN、およびアプリケーション レベルで HTTPS を強制します。 HTTP を HTTPS にリダイレクトします。
• TLS または相互 TLS (mTLS) を使用したアプリケーション層間の 内部暗号化。内部ネットワーク トラフィックが安全であると想定しないでください。
• データベース接続は TLS を使用する必要があります。すべてのデータベース サービスに対して require_ssl (PostgreSQL)、require_secure_transport (MySQL)、または同等のものを有効にします。
• AWS Certificate Manager、Azure Key Vault、または Google 管理の証明書による 証明書管理。更新を自動化して有効期限切れを防ぎます。

---

VPC とネットワーク セキュリティ

クラウド内のネットワーク構成は、リソースが侵害された場合 (そうでない場合) に爆発範囲を含む分離境界を作成します。

ネットワーク アーキテクチャのベスト プラクティス

VPC/VNet 設計。 運用環境、ステージング環境、開発環境用に個別の VPC を作成します。セキュリティ要件が異なる環境間で VPC を共有しないでください。

サブネットの分離。 パブリック サブネットは、インターネットにアクセスできる必要があるリソース (ロード バランサー、NAT ゲートウェイ) にのみ使用します。アプリケーション サーバー、データベース、内部サービスを、インターネットに直接アクセスできないプライベート サブネットに配置します。

セキュリティ グループ/NSG。 ネットワーク ルールに最小特権の原則を適用します。

• 必要なポートとプロトコルのみを許可します
• ソース IP を既知の範囲 (0.0.0.0/0 ではない) に制限します。
• 内部通信には IP 範囲ではなくセキュリティ グループ参照 (ソース = 別のセキュリティ グループ) を使用します。
• 四半期ごとに未使用のルールを確認して削除します

ビジネス プラットフォームのネットワーク セグメンテーション。 [ERP および e コマース プラットフォーム] (/blog/cybersecurity-business-platforms-erp-ecommerce) を実行している組織の場合:

クラウドプロバイダーのネットワークセキュリティ機能

---

ロギング、モニタリング、検出

目に見えないものを確保することはできません。クラウドのロギングとモニタリングは、脅威の検出、インシデントの調査、コンプライアンスの維持に必要な可視性を提供します。

必須の Cloud Logging

ロギングのベストプラクティス

すべてのリージョンで CloudTrail/アクティビティ ログ/監査ログを有効にします。 攻撃者は、監視していないリージョンで意図的に活動します。複数領域のロギングにより死角がなくなります。

ログを一元化します。 すべてのログを中央の SIEM またはログ管理プラットフォーム (Splunk、Elastic、Datadog、または AWS Security Lake、Azure Sentinel、Google Chronicle などのクラウドネイティブ オプション) に送信します。ソース間の相関関係は、多段階の攻撃を検出するために不可欠です。

ログの整合性を保護します。 ログを不変の別のアカウントに保存します。ログ ファイルの検証を有効にします (CloudTrail ダイジェスト ファイル)。攻撃者がログを削除できれば、その痕跡を隠蔽できます。

保存期間を設定します。 操作ログの最小 90 日。セキュリティと監査ログは最低 1 年間。規制要件 (PCI DSS、SOX) によっては、より長い期間の保存が必要になる場合があります。

重大なイベントに関するアラート。 高リスクのアクティビティに対するアラートを定義します。

• ルート/グローバル管理者ログイン
• IAM ポリシーの変更
• セキュリティグループの変更によるアクセスの開始
• 珍しい地域でのリソースの作成
• 暗号化キーの削除または変更
• 不正な API 呼び出し (アクセス拒否パターン)

---

CSPM ツールと実装

CSPM ツールは、セキュリティのベスト プラクティス、コンプライアンス フレームワーク、カスタム ポリシーに対するクラウド構成の継続的な評価を自動化します。

CSPM ツールの比較

CSPM の実装

フェーズ 1: 可視化。 CSPM をすべてのクラウド アカウントおよびサブスクリプションに接続します。初期評価を実行して、ベースラインの姿勢を確立します。最初のスキャンで数百から数千の結果が得られることが予想されます。

フェーズ 2: 優先順位付け。 すべての結果が等しいわけではありません。以下に基づいて優先順位を付けます。

• 悪用可能性 (設定ミスはインターネットに接続されていますか?)
• データの機密性 (リソースには機密データが含まれていますか?)
• 爆発範囲 (攻撃者はこのリソースからどこまで到達できますか?)
• コンプライアンスへの影響 (この発見は法規制へのコンプライアンスに影響しますか?)

フェーズ 3: 修復。 重大な重大な結果に最初に対処します。安全な修正には CSPM 自動修復を使用します (暗号化の有効化、パブリック アクセスの閉鎖)。複雑な変更に対する手動修復 (IAM ポリシーの再構築、ネットワークの再設計)。

フェーズ 4: 防止。 コードとしてのインフラストラクチャ スキャン (Checkov、tfsec) を使用して CSPM を CI/CD パイプラインに統合し、構成ミスが本番環境に到達するのを防ぎます。インフラストラクチャ コードに 安全な SDLC プラクティス を実装します。

フェーズ 5: 継続的なコンプライアンス。 CSPM ルールをコンプライアンス フレームワーク (CIS ベンチマーク、NIST 800-53、PCI DSS、SOC 2) にマッピングします。自動化されたコンプライアンス レポートを生成します。姿勢スコアを経時的に追跡します。

---

マルチクラウドのセキュリティに関する考慮事項

複数のクラウド プロバイダーにわたってワークロードを実行している組織は、さらなる複雑さに直面しています。

統合されたアイデンティティ。 単一の IdP を通じて、すべてのクラウド プロバイダーにわたってアイデンティティを統合します。 Authentik や Okta などの一元的な ID プロバイダーから AWS、Azure、GCP への SAML/OIDC フェデレーションを使用します。これにより、一貫した アクセス管理 と単一ポイントの取り消しが提供されます。

一貫したポリシー。 セキュリティ ポリシーを一度定義すれば、すべてのクラウドに適用できます。マルチクラウド ポリシー定義をサポートするコードとしてのポリシー ツール (OPA/Rego、Sentinel、Cloud Custodian) を使用します。

一元化されたログ。 すべてのクラウド プロバイダーから単一の SIEM にログを送信し、クラウド間の相関を取得します。クラウド プロバイダー間を経由する攻撃は、単一クラウドの監視では認識できません。

ネットワーク相互接続のセキュリティ。 クラウド間接続 (AWS-Azure VPN、GCP-AWS 相互接続) は暗号化され、監視される必要があります。これらの接続により、プロバイダー間の潜在的な横方向の移動パスが作成されます。

一貫したタグ付け。 コストの割り当て、所有権の追跡、セキュリティ ポリシーの適用のために、すべてのクラウドにわたって統一されたリソースのタグ付け戦略を実装します。

---

よくある質問

最も一般的なクラウド セキュリティの構成ミスは何ですか?

過度に寛容な IAM ポリシー。これには、ワイルドカード権限 (すべてのリソースに対するすべてのアクションを許可)、広範な権限を持つ未使用のアクセス キー、および適切な条件なしで引き受けることができるロールが含まれます。 IAM の構成ミスは、単一のリソースだけでなくアカウント全体に影響を与えるため、特に危険です。 IAM Access Analyzer (AWS)、Access Reviews (Azure)、または IAM Recommender (GCP) を使用して、過剰な権限を持つ ID を特定して修正します。

単一のクラウド プロバイダーを使用する場合、CSPM ツールは必要ですか?

はい、単一クラウド環境でも CSPM のメリットが得られます。クラウド プロバイダーは、最小限のコストで CSPM 機能を提供するネイティブ セキュリティ ツール (Security Hub、Defender for Cloud、Security Command Center) を提供します。これらのツールは、構成ミスを特定し、CIS 標準に対するベンチマークを作成し、修復ガイダンスを提供します。問題は、CSPM が必要かどうかではなく、サードパーティの CSPM (マルチクラウド、より深い分析、またはネイティブ ツールが提供するものを超えたコンプライアンス レポートに価値がある) が必要かどうかです。

コードとしてのインフラストラクチャ (IaC) テンプレートを保護するにはどうすればよいですか?

導入前に、Checkov、tfsec、Bridgecrew などのツールを使用して IaC テンプレート (Terraform、CloudFormation、Bicep、Pulumi) をスキャンします。プル リクエストのチェックにスキャンを統合することで、運用環境に到達する前に設定ミスを検出できるようになります。組織のセキュリティ標準に合わせてカスタム ポリシーを定義します。承認され、セキュリティレビューされた IaC モジュールのライブラリを維持し、チームが最初から作成する代わりに再利用できるようにします。

CSPM と CWPP の違いは何ですか?

CSPM (Cloud Security Posture Management) は構成の正確さに重点を置いています。つまり、クラウド リソースは安全に構成されていますか? CWPP (Cloud Workload Protection Platform) はランタイム保護に重点を置いています。実行中のワークロードは脅威から保護されていますか? CSPM は、設定ミスによる脆弱性の発生を防ぎます。 CWPP は、ワークロードをターゲットとするアクティブな脅威を検出し、対応します。最新のクラウド セキュリティ プラットフォーム (Prisma Cloud、Wiz、Orca) は、両方の機能を 1 つのプラットフォームに統合しており、CNAPP (Cloud-Native Application Protection Platform) と呼ばれることもあります。

サードパーティの管理サービス のクラウド セキュリティはどのように処理すればよいですか?

マネージド サービス プロバイダー (MSP) がクラウド環境を管理する場合は、契約で責任を明確に示します。 MSP に対して、クラウド管理実践を対象とした SOC 2 Type II 認定を維持することを要求します。クラウド アカウントの所有権を保持します (MSP にルート/グローバル管理者を所有させないでください)。独立した検証のために独自のチームのアクセス権を使用して CSPM を実装します。サービス契約にセキュリティ SLA (パッチ適用頻度、インシデント対応時間) を含めます。

---

次は何ですか

クラウド セキュリティ体制管理は、終了日のあるプロジェクトではありません。クラウド環境に合わせて進化する継続的な実践です。まず、使用する各サービスの責任共有モデルを理解してから、最小権限の IAM、あらゆる場所の暗号化、ネットワークのセグメンテーション、包括的なログなどの基本的な制御を実装します。 CSPM ツールを最上位に重ねて、継続的な評価とコンプライアンスの自動化を実現します。

ECOSIRE は、AWS、Azure、GCP 上で実行されるビジネス プラットフォームのクラウド インフラストラクチャを構築し、保護します。当社の Odoo ERP 導入 は、CSPM モニタリングを備えた強化されたクラウド構成を使用しており、当社の OpenClaw AI インフラストラクチャ は、クラウド ワークロード全体にゼロトラスト ネットワーク アーキテクチャを実装しています。クラウド セキュリティ体制の評価については、チームにお問い合わせください。

---

ECOSIRE によって発行 --- Odoo ERP、Shopify eCommerce、OpenClaw AI にわたる AI を活用したソリューションで企業のスケールアップを支援します。