SaaS／クラウドのデータ管理に取り組む|クラウド・コンピューティング|トピックス|Computerworld

従来のIT活用とは
異なる懸念事項が生じる

　米国カリフォルニア州エルセグンドの玩具メーカー、Mattelで情報セキュリティ部門の最高責任者を務めるアーサー・レッサード（Arthur Lessard）氏いわく、「エンドユーザーはクラウドに対して大きな誤解を抱いている」。彼らはクラウドを、仮想化されたサーバやストレージの集積体、あるいはリモート・サイトへのデータ・バックアップ・サービスだと理解しているのだという。

　だが、「たとえ多くのエンドユーザーに“クラウド”という言葉の意味が正しく理解されていないとしても、クラウド・コンピューティングが魅力的なサービスであることは変わらない」とレッサード氏は主張する。

　レッサード氏は、クラウド・サービスの要件として、「集中管理できるグリッド環境上のホスト」「シームレスに配置できるアプリケーション」「簡単にプロビジョニング可能なストレージ容量」「データの冗長性」といった特徴を挙げる。「サーバ・ホスティングやオンライン・バックアップといった、従来から存在するサービスとは本質的に異なるという認識を忘れてはならない」（レッサード氏）。

自社のデータでも
完全に自由にはならない

　SaaS／クラウド・サービスを利用する場合、認証や監査といった機能については、自社の思うようにならないことが多い。監査にそのような制約があれば、ユーザーのログイン情報やアクティビティ情報、またデータの書き込み状況などの把握にも影響が及ぶ可能性が出てくる。

　「だれがデータにアクセスしたのか──それをIT部門で把握することが困難になるのだ。どのような業務でSaaS／クラウドを利用するかにもよるだろうが、これは看過できない問題ではないだろうか」（同氏）

　通常、SaaS／クラウド・サービスにおいては、間違ったユーザー名とパスワードで何度もサイトへのログインを試みるような異常なログイン操作の兆候をユーザー側では知ることができない。こうした情報はクラウド・サービス・プロバイダーが管理しており、ユーザーがその開示を必要とするのであれば、ベンダーとの交渉が必要になる。

　「覚えておいてほしい。クラウド環境では、自社のデータであっても完全にコントロールすることは不可能なのだ」（レッサード氏）

仮想化技術がはらむ
リスクを理解しておく

　多くのSaaS／クラウド・プロバイダーが、サービス・プラットフォームの構築に際して仮想化技術を利用している。SaaS／クラウドを利用する際には、この仮想化技術の利用に伴って、ハッカーたちが格好の標的とするセキュリティ・ホールが生じることがあることを忘れてはならない。

　ほとんどのOSは、ハードウェアへのインストール時に個別のコンポーネントを作成する。また、OSは暗号鍵のペア（公開鍵／秘密鍵）とユーザーIDを生成する際の乱数発生をサーバ・マシンに依存している。たとえサーバ・マシンが新しいシステム上に作成された仮想サーバであっても同じである。

　仮想環境下でOSのクローンを作成する場合、クラウド・サービス・プロバイダーには、擬似乱数生成器を採用するという選択肢もある。だが、生成される擬似乱数は実際にはランダムな数列ではなく、予測可能なものだとレッサード氏は指摘する。セキュリティ・カンファレンス「Black Hat」でも、擬似乱数の生成に関連したクラウドのリソースを不正利用する攻撃手法が紹介された。

　「仮に、あなたが複数のシステムを所有しているとする。それらはすべて仮想サーバで、あなたは特定のインスタンスのクローンがいつ作成されたか、ある程度わかっているとする。そうであれば、あなたはそのシステムのOSに用いられている擬似乱数生成器について正確に推測することができる。そのため、OSのクローンが作成された時点で生成された公開鍵と秘密鍵のペアについても、高い確率で正しい推測を立てられることになる」（レッサード氏）