IT チーム向けクラウドセキュリティのベストプラクティス

クラウド環境は、資格情報（クレデンシャル）ベースの攻撃に対する主要な標的になっています。The Netwrix 2025 Cybersecurity Trends Reportによると、過去1年間に46%の組織がクラウドアカウントの侵害を経験しました。この数値は2020年と比べてほぼ3倍です。これは、クラウドへの移行によってリスクが減るわけではないことを示しています。リスクが存在する場所が変わるだけです。

リスクがクラウド環境へ移るにつれて、管理の方法も変わります。従来のオンプレミスのセキュリティ手法は、そのままでは引き継げません。物理的なコントロール、ネットワークの境界、ハードウェアレベルの可視性は、もはや主要な防衛線ではありません。

その代わりに、組織には強力な identity governance、一貫した設定管理、振る舞い（行動）の監視、そして明確な契約上の保証が必要です。これらはいずれも、あらゆるクラウド展開に意図的に組み込まなければなりません。

ハイブリッド環境を運用している組織は、追加の複雑さに直面します。identity governance は、Active Directory などのオンプレミスのシステムと、クラウドの identity provider の両方にまたがって適用される必要があります。どちらか一方の環境にギャップ（不備）があると、双方がさらされる可能性があります。

以下に示す19のクラウドセキュリティのベストプラクティスは、これらの領域に焦点を当てています。これにより、組織が責任を負う範囲、提供側（プロバイダー）が対応する範囲、そして双方の間にあるギャップを埋める方法が明確になります。

クラウド セキュリティとは？

クラウド セキュリティとは、クラウド上のシステム、データ、インフラを、未授权のアクセス、誤った設定、および侵害から保護するための一連の統制、ポリシー、技術のことです。IaaS、PaaS、SaaS の環境全体にわたり、アイデンティティとアクセスのガバナンス、データ保護、ネットワーク制御、設定管理、インシデント対応を対象とします。

オンプレミスのセキュリティとは異なり、クラウド セキュリティは共有責任モデル（shared responsibility model）で運用されます。提供者は基盤となるインフラを保護し、あなたの組織はその上に構築されたすべてを保護します。この境界がどこにあるかはサービス モデルによって異なり、そこを誤解することはクラウドにおける露出（リスク）の最も一般的な原因の1つです。

クラウド セキュリティが重要な理由は？

強固なクラウド セキュリティ プログラムは、組織が運用を継続し、コンプライアンス上の義務を満たし、クラウドに依存する運用に必要な信頼を維持できるよう保護します。

クラウド導入の決定をするたびに、攻撃対象領域は拡大します

新しいクラウドサービス、ID、API エンドポイント、データストアが追加されるたびに、攻撃対象領域は拡大します。プロビジョニングが速いこと、自助サービスが一般的なこと、そして可視性を維持しにくいことから、クラウド環境ではオンプレミス環境よりもリスクがより速く蓄積されます。さらに、チームに「何が変わったのか」「誰が変更したのか」を検知するためのツールがない場合、その露出は増幅します。

設定ミスはクラウドのデータ露出の主な原因です

物理的なセキュリティが基準を提供するオンプレミス環境とは異なり、クラウドのリソースは、正当な認証情報と適切な API 呼び出しさえあれば、デフォルトで誰に対しても公開されます。設定を誤ったストレージバケットや、権限が過度に許可された IAM ロールが1つあるだけで、オンプレミスでは物理的なアクセスによって保護されていたはずの機密記録が露出する可能性があります。

コンプライアンス上の義務はプロバイダーに引き継がれるわけではありません

クラウド・プロバイダーを選んでも、規制上の義務が移転するわけではありません。GDPR、HIPAA、PCI DSS、および業種別のフレームワークは、データがどこに置かれていようと、引き続き適用されます。コンプライアンスを示すには、署名済みのサービス契約書だけでなく、文書化された統制、監査ログ（audit trails）、および継続的な監視の実施を裏付ける証拠が必要です。

認証情報（クレデンシャル）に基づく攻撃が、クラウド事故のパターンを支配している

攻撃者がクラウド環境を狙う場合、脆弱性を悪用する必要はありません。必要なのは有効な認証情報（有効なアイデンティティ）です。攻撃者がすでに有効なクレデンシャルを保持しているなら、突破すべき境界（perimeter）は存在しません。攻撃者は正規ユーザーとして認証し、環境の通常の範囲内で活動します。これらの侵入を、被害が起きる前に見つけるための主要な統制は、アイデンティティのガバナンス（Identity governance）と行動監視（behavioral monitoring）です。

ハイブリッド環境ではガバナンス上のギャップが積み重なりやすい

オンプレミスの Active Directory と Microsoft Entra ID の両方を運用している組織は、2つのアイデンティティの平面（identity planes）にわたって、一貫したアイデンティティのガバナンス（identity governance）を維持する必要があります。オンプレミスの Active Directory で起きた侵害は、同期を通じて Entra ID に波及する可能性があります。オンプレミスで始まった侵害が、同期されたグループ（groups）を通じてクラウドのリソースに到達することがあり、このリスクのパターンはハイブリッド・ピボット（hybrid pivot）として知られています。

クラウドセキュリティのベストプラクティス 19選

以下の実践は、基盤となるインフラの管理策から、ID ガバナンス、データ保護、行動（ビヘイビア）の監視、提供者の管理へと段階的に進めます。IaaS、PaaS、SaaS のサービスモデルで適用範囲が異なる場合は、その違いを明記します。

1. クラウド導入の前にリスクを評価する

クラウドサービスを導入する前に、特定の情報システムをその環境へ移行することに伴うリスクを評価してください。徹底したリスク評価では、貴組織がどのセキュリティ要素を担当するのか、どの統制を社内で実装する必要があるのか、そしてどの範囲が提供者の管轄となるのかを特定する必要があります。この評価は、移行の判断の後ではなく、移行の判断より前に実施するべきです。

2. 設定チェックを監査し、自動化する

CSA Top Threats の調査では、ミスコンフィグレーションがクラウドの主要なセキュリティリスクの1つとして挙げられており、侵害調査では一貫して根本原因として現れます。

組織のポリシーに合わせた構成ベースラインを確立するか、CIS Benchmarks AWS または CIS Benchmarks Azure のような認知されたベンチマークを基準にしてください。

そのベースラインからのドリフトを検知できる監視ソリューションで、構成チェックを自動化します。定期的なレビューを待つのではなく、疑わしい変更があれば速やかに調査し、解決してください。

3. IaaS プラットフォームを外部からの圧力から守る

IaaS プラットフォーム全体でマルウェア対策を実装します。クラウド ネイティブの保護とトラフィック緩和の制御を適切に用い、パブリック クラウドのインターフェイスを狙う分散型サービス拒否（DDoS）活動に対する耐障害性を維持してください。

PaaS および SaaS モデルでは、インフラ層の責任はプロバイダーに移りますが、PaaS 環境におけるアプリケーション層の保護については、組織が引き続き責任を負います。

4. 適切な層に侵入検知を展開する

IaaS の場合：ユーザー、ネットワーク、データベースの各レベルに侵入検知システムを展開します。PaaS および SaaS の場合：この責任はプロバイダーに移ります。ツールを導入する前に、組織が自社で所有（責任を負う）している層を把握してください。検知リソースを、プロバイダーがすでにカバーしている層に誤って割り当てると予算の無駄になります。逆に、組織が責任を負うべき層をカバーできないと、統制の抜け（ギャップ）が生じます。

5. トラフィックの異常を監視する

トラフィックの急増は、DDoS 活動、データの外部流出（exfiltration）試行、または横方向への移動（lateral movement）を示している可能性があります。通常のトラフィック パターンのベースラインを確立し、重大な逸脱に対するアラートを設定してください。

資格情報（credential）ベースの侵入は正規のトラフィックに紛れ込み、シグネチャ ベースの検知を回避します。これらを捕捉するための主要な手段は、行動のベースラインです。Netwrix Auditor は、クラウド環境およびオンプレミス環境の両方でこれらのパターンを可視化します。

6. 最小権限アクセス（least privilege）を実装する

各ユーザーが自分の役割を遂行するために必要な権限だけを付与します。これは principle of least privilege をクラウド IAM に適用した考え方です。クラウド環境では、権限が過剰にプロビジョニングされている状態（over-provisioned access）が、常に悪用される代表的な入口（entry point）になっています。攻撃者は技術的な脆弱性を突くのではなく、有効であるものの権限範囲が過大な資格情報（credentials）を誤用します。

ユーザー、グループ、サービス アカウントの各レベルで最小権限（least privilege）を適用します。ハイブリッド環境では、オンプレミス側の侵害がそのままクラウド環境へ持ち込まれ得る同期済みのハイブリッド グループではなく、機密性の高いクラウド リソースへのアクセスには Entra ID Entitlement Management を使用してください。

7. 定期的に権限（entitlement）を見直し、不必要な権限を取り消します

クラウド環境では、プロビジョニングが速く、セルフサービスによるアクセスも一般的であるため、オンプレミス環境よりも早く「古い権限（stale permissions）」が蓄積されます。定期的に権限を見直し、必要に応じて調整してください。

アクティブなロールや業務上の必要性に結び付かなくなったものはすべて削除します。高い特権を持つアカウント（Domain Admins および Enterprise Admins）については、Entra ID の同期スコープから明示的に除外してください。

OU ベースまたは属性ベースの明示的なフィルタリングを設定しない限り、デフォルト設定ではこれらのアカウントが同期されます。

8. すべてのクラウドアクセスで MFA を必須にします

クラウド環境にアクセスするすべてのユーザーに MFA を強制してください。Unit 42 IR report は、2024 年のクラウド事例において MFA の欠如が最も一般的な寄与要因となっている IAM 要素であると特定しました。MFA がない場合、侵害された認証情報は、初期侵害からアカウントの完全な乗っ取りまでの間に追加の障壁がないまま、攻撃者に即時かつ継続的なアクセスを提供します。MFA が技術的に不可能なサービス アカウントについて例外がある場合は、その内容を文書化し、四半期ごとにそれらの例外を見直してください。

9. 検知の手がかりとなる侵害の兆候についてログイン活動を監視する

複数のエンドポイントからのログイン試行、短期間における大量のログイン失敗、不審な場所からのログインについてアラートを設定してください。これらのパターンは運用上のエラーではなく、侵害された認証情報の早期の兆候です。

ハイブリッド環境では、Resource Owner Password Credentials (ROPC) 認証フローを含む一部の認証情報の検証フローでは、成功したサインインのログイベントを生成せずに認証情報を検証できる場合がある点に注意してください。

認証情報の侵害検知をサインイン ログだけに頼っている組織には、文書化された見落とし（盲点）があります。

10. クラウドに移行する前にデータを分類しましょう

データの検出と分類は、クラウドにおけるデータセキュリティの基盤です。データを機密性に応じて分類し、その結果を活用して適切なアクセス制御、保管（レテンション）ポリシー、保護対策を確立してください。機密データに対する可視性が不足していることは、主要なクラウドセキュリティの課題の一つです。

見つけていないものは統制できません。データ量が増えるにつれて一貫性を保つために、分類を自動化しましょう。セキュリティやコンプライアンス要件を満たすために、特定のデータはオンプレミスでの保管が必要になる場合があります。移行の前に、その対象となるデータがどれかを把握してください。

11. データアクセス管理を導入し、共有を制限しましょう

最も機密性の高いデータについて、アクセス権限（privilege）を頻繁に監査してください。これは、data loss preventionが効果を発揮するために依存する運用上の層です。誤って公開されることや、許可されていない外部共有を防止するルールを徹底してください。

2025 Verizon Data Breach Investigations Reportによると、侵害（breach）における第三者の関与は前年に比べておよそ倍増し、分析対象となったインシデントの割合が約15%から30%へと増加しました。これは、制御されていない外部共有のリスクを裏付けています。

その露出を減らすには、管理されていない、またはセキュリティが確保されていない端末への機密データのダウンロードを禁止し、クラウドベースのリソースへのアクセスを許可する前に端末の検証を求めてください。

12. クラウド環境全体でファイルのダウンロードを監視する

不審なダウンロード活動を監視してください。IT 環境全体で自動化された監視を行い、クラウドベースのデータをダウンロード、変更、または共有するユーザーを追跡します。ダウンロード量やタイミングの異常なパターンは、insider risk または侵害されたアカウントの早期の兆候です。

Unit 42 レポート によると、2024年におけるすべてのインシデント調査のうち29%がクラウドまたはSaaS環境に関わっており、21%では脅威アクターがクラウド環境に対して積極的かつ悪影響を与えていました。

13. 送信中および保存中のデータを暗号化する

クラウドにアップロードする前に、すべてのデータを暗号化します。包括的なキー管理の実践によって、暗号化キーを厳密に管理してください。

クラウド に関する NSA-CISA 勧告（2024年3月）では、安全な通信、アクセス制御、認証、保存中のデータ暗号化などを含む暗号処理のセキュリティは、適切なキー管理に完全に依存すると述べています。

キーの独立性を最大限に求めるチームでは、セキュリティ要件と運用要件に基づいて、次の3つのアプローチを評価する価値があります：

• BYOK (Bring Your Own Key): お客様が提供事業者の鍵管理サービス（KMS）に鍵素材を生成してインポートします。インポート後、鍵は提供事業者のKMS内に存在します。
• DKE (Double Key Encryption): 暗号化には2つの鍵が必要で、1つはお客様が保有し、もう1つは提供事業者が保有します。どちらの当事者だけでも復号できません。
• HYOK (Hold Your Own Key): 鍵は顧客が管理するインフラから一度も外部に出ることはありません。提供事業者は平文の鍵素材にアクセスできません。

データを削除する場合は、NIST SP 800-88 の推奨事項に従って暗号学的消去（cryptographic erasure）を使用してください。これらの推奨事項では、暗号学的消去を Purge（パージ）によるサニタイズ（sanitization）カテゴリに分類しています。NIST SP 800-88は、消去が行われたことの文書化された検証を明示的に要求しています。

削除だけでは Purge（パージ）によるサニタイズ（sanitization）基準を満たしません。AWS CloudTrail、Azure Activity Log、または GCP Audit Logs のような提供事業者のロギング機構を通じて、削除が監査可能（audit-able）であることを確認してください。

14. データ復旧戦略を策定し、テストする

検証済みの復旧手順を伴う定期バックアップは、偶発的および意図的なデータ喪失の両方から保護します。バックアップではなく復旧をテストしてください。手順が機能することを確認するため、定期的にテスト環境へ復元します。重要なインフラ変更があった後は、必ず再テストしてください。

15. ユーザーの行動分析を活用して異常な活動を検知する

ユーザー行動分析（UBA）は、個々のユーザーおよびグループの行動ベースラインを確立し、その後、潜在的な脅威を示唆する逸脱を可視化します。

不自然なアクセスパターン、異常なデータダウンロード、予期しない権限昇格といった挙動は、シグネチャベースのツールでは見逃されがちですが、行動のベースライン設定によって検知されます。

UBAは、現在のアクティビティを各ユーザーの過去のベースライン（historical baseline）と比較することで機能します。初めての大量アクセス、通常より異常に大きいデータ取得、または新しい場所からのアクティビティなどの大きな逸脱は、データの持ち出し（exfiltration）、ポリシー違反、または侵害された資格情報の潜在的な兆候としてフラグ付けされます。周辺（perimeter）制御がないクラウド環境では、被害が起きる前に侵害されたアカウントやインサイダー脅威を捕捉できる数少ないメカニズムの1つです。

継続的に監視し、ベースラインを文書化し、個人またはグループの通常の行動から逸脱したユーザーをフラグ付けします。

16. 未承認の外部ファイル共有を監視する

無許可または外部へのファイル共有は、クラウド環境でデータ漏えいにつながる一般的な経路です。攻撃者は日常的に、盗まれた資格情報からクラウド攻撃を開始し、権限を昇格させ、検知される前にビジネス上重要なデータを持ち出すためにクラウド環境へと横移動（ピボット）します。

自動化された監視では、誰が何を誰と共有しているのか、またその共有がポリシーによって許可されているかを追跡する必要があります。共有のアクティビティを、UBA を通じて確立した行動のベースラインと関連付けることで、正当な共同作業と潜在的なデータ流出を見分けます。

17. 提供事業者との契約内で共同のセキュリティ責任を定義する

契約は、サービス品質とインシデントの復旧（リメディエーション）に関する最も重要な保証です。署名する前に、次の点を明確にしておきましょう：

• セキュリティ上の不備に関する提供事業者の責任の範囲
• データの保存場所、保管期間、および削除ポリシー
• データの保存時および転送時を保護するセキュリティ対策
• 双方における監査権および独立した評価の規定
• 契約期間中および契約終了後にデータの機密性を維持するための戦略

最終確定する前に、受け入れられないと感じる条件を交渉してください。確定した後ではありません。 CSA Cloud Controls Matrix (CCM) v4.1 そして、それに付随する Consensus Assessments Initiative Questionnaire (CAIQ) は、提供者が責任分界の自分側でどのように実装しているかを確認するための、はい／いいえ形式の質問を体系化して提供します。

18. 規制遵守の義務が、貴社（貴組織）に引き続き残ることを確認します

クラウドプロバイダーを選んでも、コンプライアンス義務は移転されません。貴社は、クラウドベースのアプリケーションが関連する規制を継続的に満たしていることを保証する責任を負い続けます。

認知された認証（ISO 27001、SOC 2）を保有し、独立した監査に同意するプロバイダーを選びます。認証が最新であること、また認証のスコープが使用するサービスをカバーしていることを確認してください。

19. プロバイダーと連携してインシデント対応計画を策定し、テストする

共有するセキュリティ責任、コミュニケーション手順、およびエスカレーションの手順を事前に定義します。計画には、インシデント発生時にプロバイダーが具体的に提供するものを明確に記載してください。例：ログ、フォレンジック支援、通知のタイムライン、そして是正（修復）の範囲。

プロバイダーの対応チームを含めた定期的なトレーニングとシミュレーションを実施します。環境や脅威の状況が変化するにつれて計画を見直し、重大なインシデントやニアミスのたびに更新してください。

ハイブリッド環境における Netwrix によるクラウドセキュリティの支援方法

ハイブリッド環境を管理するセキュリティチームにとって、クラウドセキュリティで最も難しいのは「何をすべきかを理解すること」ではありません。2つのアイデンティティ領域にまたがる可視性を維持し、データが意図しない場所へ流れてしまう前に分類し、ネイティブなツールでは見落とされがちな振る舞いの異常を検知することが難所です。Netwrix はその3つのギャップに直接対処します。

Netwrix Auditor は SharePoint Online、Exchange Online、Active Directory、Entra ID に対して、検索可能な「変更前／変更後」の監査トレイルを提供します。構成の変更によってリスクが生じたり、アクセスの変更によってコンプライアンス上の懸念が発生した場合、Auditor は複数のネイティブ コンソールでログを手作業で突き合わせる必要なく、完全な文脈情報とともにそれを明確にします。

Netwrix Access Analyzer はファイルサーバー、SharePoint、データベースにまたがって機密データを発見・分類し、そのデータに対して誰が実効的にアクセスできるかをマッピングします。Sensitive Data Discovery モジュールは、構造化／非構造化データの保管場所にわたって PII、財務データ、規制対象情報を特定し、「どの権限が存在するか」だけでなく、「それらの権限が実際に許可するアクセスは何か」を示します。

Netwrix 1Secure は Active Directory、Entra ID、SharePoint Online、Windows ファイルサーバーにまたがって、SaaS ベースの統合可視性を提供します。リスクダッシュボードでは、ハイブリッド環境全体にわたる過剰な権限、機密データへのオープンアクセス、および休眠アカウントが可視化されます。

オンプレミスの AD と Entra ID の両方にまたがって identity governance を行う組織では、1Secure がリスクの可視性を単一のビューに統合します。

デモを依頼 ハイブリッドクラウド環境全体で、Netwrix が identity governance、data classification、threat detection をどのように支援するかをご覧ください。