理解はできても実践は困難？　クラウドにおける「責任共有モデル」の課題と対策

　ある調査によると、2019年前半に発生したパブリッククラウド関連のインシデントのうち、トップニュースとなったものは21件あった。この中でプロバイダー側が責任を負うべきケースは極めてまれであり、プラットフォームのセキュリティへの信頼は損なわれていない。片や、利用者側は「責任共有モデル」の概念を基にセキュリティ権限の基本を身に付けるべく奮闘を続けている。

　一方でその概念の実践を阻んでいるのが、クラウドの複雑さだ。プロバイダーがネイティブのセキュリティ機能を強化しているにもかかわらず、インシデントの原因で最大の65％を占める理由は「構成上の不備」であり、コンテナの急激な普及に伴うデフォルト構成での公開や、クラウドベースのマルウェア攻撃拡大といったリスクを抑止するためには、開発サイクルにセキュリティを組み込むシフトレフトにより注力していく必要がある。

　本資料では、同インシデントから得られた洞察とともに、ある脅威インテリジェンスチームによるリサーチ結果を紹介する。パブリッククラウドの責任共有モデルの実践に必要なセキュリティに関する知識や、ツール、ベストプラクティスを理解するために活用してほしい。