クラウドの設定ミスによる情報漏えいと、防ぎ方

クラウドの設定ミスによる情報漏えいを防ぐには、どこまでが自社の責任かを知り、設定の決まりと手順書をつくり、権限を整理し、二人の目と自動の点検でミスを早く見つける、という備えを組み合わせます。設定は人が行う以上、ミスをなくしきることは難しいため、「ミスを防ぐ」と「ミスに早く気づく」の両方を考えることが大切です。

設定ミスで、何が起きるのですか

クラウドの設定ミスとは、ファイルの保存場所やデータベース、管理画面などを、意図せず外から見られる状態にしてしまうことや、必要以上の人に権限を渡してしまうことです。保存していた顧客の情報や社内の資料が、インターネット上の誰からでも見られる状態になっていた、という形の漏えいにつながります。

総務省は、2024年4月に「クラウドの設定ミス対策ガイドブック」を公表しました。2022年10月の「クラウドサービス利用・提供における適切な設定のためのガイドライン」の内容を、使う側に向けて分かりやすく説明したものです。総務省は、クラウドサービスを使う事業者に起因して、情報が漏えいするおそれのある事案が引き続き起きていることを、公表の背景に挙げています。

出典：「クラウドの設定ミス対策ガイドブック」の公表（総務省、2024年4月26日）

責任共有モデルとは

責任共有モデルとは、クラウドの安全を、提供者と利用者が分担して守るという考え方です。提供者はデータセンターや基盤の安全を守り、利用者は自分で決めた設定や、預けたデータ、アカウントの管理を守ります。

ガイドブックは、責任の分け方が、SaaS・PaaS・IaaSの別によって変わると説明しています。あわせて、契約の免責の条項を確かめておくこと、設定の作業をシステム会社などに委託してミスが起きた場合でも、最終的な責任は利用者が負うため、委託先を監督することを挙げています。契約の個別の判断は、弁護士などの専門家にご確認ください。

出典：クラウドの設定ミス対策ガイドブック（総務省、2024年4月）

委託先の管理の考え方は、委託先とクラウドの管理でも説明しています。

なぜ、設定ミスが起きるのですか

ガイドブックは、設定の作業の多くを人が行うため、誤りは避けられないものとして扱い、その原因を、作業する人、手順書、作業の環境、組織の4つに分けて整理しています。

ガイドブックが挙げる、起きやすい場面には次のようなものがあります。

• 初期の設定のまま使う：初めから安全な状態になっていない設定がある。安全な初期の設定を変えたまま、元に戻し忘れることもある
• 海外のサービスの違い：初期の設定の考え方が、国内のサービスと違う場合がある
• 担当が一人だけ：情報システムの担当が一人の会社では、作業が多く、確かめる人もおらず、知識が一人に偏りやすい
• 退職者の権限が残る：退職や異動のときの権限の整理が後回しになり、使わないアカウントが残る
• 新しいサービス：生成AIのサービスの中には、入力した内容を学習に使う設定が初期の状態になっているものがある

出典：クラウドの設定ミス対策ガイドブック（総務省、2024年4月）

防ぎ方

防ぎ方は、決まりと手順書をつくる、権限を管理する、確かめる、自動で点検する、の4つを組み合わせます。

決まりと手順書をつくる

ガイドブックは、クラウドを使うときの方針と作業の決まりを定め、設定する項目を文書にし、手順書に沿って作業すること、初期の設定の扱いの決まりを決めることを挙げています。環境は変わっていくため、設定を定期的に確かめ直すことも勧めています。

権限を管理する

アカウントの管理、アクセスの制限、情報を外に公開するときの決まりを定めます。退職や異動のときは、人事と情報システムの担当が連携して、アカウントの削除や権限の付け替えを速やかに行います。考え方は最小権限の原則と同じで、仕事に要る分だけの権限を渡します。権限の確かめ方は、アクセス権の棚卸しと特権IDの管理で説明しています。

確かめる

ガイドブックは、ミスを防ぐ対策と、早く見つける対策を組み合わせることを勧め、別の人が設定を確かめる二重の確認や、本番に反映する前の確認を挙げています。外に公開する設定の変更は、作業した人とは別の人が確かめる決まりにしておくと、誤りに気づきやすくなります。

自動で点検する

CSPMとは、IaaSなどの設定を自動で点検し、誤った設定や決まりに合わない設定を知らせる仕組みです。ガイドブックは、CSPMのほか、クラウドサービスの使われ方を見える化するCASB、SaaSの設定を点検するSSPMなどの仕組みも紹介しています。そのうえで、SSPMが国内のすべてのSaaSに対応しているとは限らないことにも触れています。

出典：クラウドの設定ミス対策ガイドブック（総務省、2024年4月）

設定をコードとして書いて管理する方法（Infrastructure as Code）を使うと、設定の中身を事前に見て確かめやすくなります。

被害を小さくする備え

設定ミスを防ぐ対策とは別に、ミスが起きたときの被害を小さくする備えもしておきます。ガイドブックは、暗号化やバックアップは、漏えいした後の被害を抑えるものの、設定ミスそのものを防ぐものではないとしています。

あわせて、設定の変更やアクセスのログを残し、外に公開する設定が加わったときなどに気づけるようにしておきます。ログの残し方は、ログの取り方と見方で説明しています。漏えいが疑われるときの動き方は、セキュリティ事故に備える、初動の手順書のつくり方にまとめています。個人データの漏えいでは、法令にもとづく報告が要ることがあるため、個別の判断は弁護士などの専門家にご確認ください。

当社のご支援

アメリア・テクノロジーのセキュリティ診断と対策では、クラウドの設定の診断、権限と公開の設定の見直し、設定の決まりと手順書づくりをご支援しています。クラウドの上で動くシステムの開発と運用は、Webシステム開発のチームが受け持ちます。当社が開発・運用に関わったシステムの診断は、自己点検として報告します。まずは無料のセキュリティの自己診断で、現状をおおまかに確かめることもできます。