--- title: "クラウドの設定ミスによる情報漏えいと、防ぎ方｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/cloud-misconfiguration/ description: "クラウドの情報漏えいは、使う側の設定の誤りから起きることがあります。責任共有モデルの考え方、設定ミスが起きる原因、決まりと手順・権限の管理・二重の確認・自動の点検（CSPM）による防ぎ方を、総務省のガイドブックをもとに説明します。" updated: 2026-11-12 publisher: "アメリア・テクノロジー株式会社" --- # クラウドの設定ミスによる情報漏えいと、防ぎ方 クラウドの情報漏えいは、使う側の設定の誤りから起きることがあります。責任共有モデルの考え方、設定ミスが起きる原因、決まりと手順・権限の管理・二重の確認・自動の点検（CSPM）による防ぎ方を、総務省のガイドブックをもとに説明します。 2026.11.12 [Webとシステム開発](https://www.ameliatechnology.co.jp/blog/category/web/) 執筆 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/)（グループCTO） Webとシステム開発（WEB & SYSTEMS）のコラム ## この記事の要点 - クラウドでは、提供者と利用者が責任を分け合い、その分け方はSaaS・PaaS・IaaSで変わります。設定を委託した場合も、最終的な責任は利用者に残ります。 - 総務省のガイドブックは、設定ミスの原因を、作業する人・手順書・作業の環境・組織の4つに分けて整理しています。 - 決まりと手順書をつくり、退職や異動のときの権限の整理、二重の確認、自動の点検の仕組みを組み合わせて、ミスを防ぎ、早く見つけます。 クラウドの設定ミスによる情報漏えいを防ぐには、どこまでが自社の責任かを知り、設定の決まりと手順書をつくり、権限を整理し、二人の目と自動の点検でミスを早く見つける、という備えを組み合わせます。設定は人が行う以上、ミスをなくしきることは難しいため、「ミスを防ぐ」と「ミスに早く気づく」の両方を考えることが大切です。 ## 設定ミスで、何が起きるのですか クラウドの設定ミスとは、ファイルの保存場所やデータベース、管理画面などを、意図せず外から見られる状態にしてしまうことや、必要以上の人に権限を渡してしまうことです。保存していた顧客の情報や社内の資料が、インターネット上の誰からでも見られる状態になっていた、という形の漏えいにつながります。 総務省は、2024年4月に「クラウドの設定ミス対策ガイドブック」を公表しました。2022年10月の「クラウドサービス利用・提供における適切な設定のためのガイドライン」の内容を、使う側に向けて分かりやすく説明したものです。総務省は、クラウドサービスを使う事業者に起因して、情報が漏えいするおそれのある事案が引き続き起きていることを、公表の背景に挙げています。 出典：[「クラウドの設定ミス対策ガイドブック」の公表（総務省、2024年4月26日）](https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00209.html) ## 責任共有モデルとは [責任共有モデル](https://www.ameliatechnology.co.jp/glossary/shared-responsibility-model/)とは、クラウドの安全を、提供者と利用者が分担して守るという考え方です。提供者はデータセンターや基盤の安全を守り、利用者は自分で決めた設定や、預けたデータ、アカウントの管理を守ります。 ガイドブックは、責任の分け方が、[SaaS](https://www.ameliatechnology.co.jp/glossary/saas/)・[PaaS](https://www.ameliatechnology.co.jp/glossary/paas/)・[IaaS](https://www.ameliatechnology.co.jp/glossary/iaas/)の別によって変わると説明しています。あわせて、契約の免責の条項を確かめておくこと、設定の作業をシステム会社などに委託してミスが起きた場合でも、最終的な責任は利用者が負うため、委託先を監督することを挙げています。契約の個別の判断は、弁護士などの専門家にご確認ください。 出典：[クラウドの設定ミス対策ガイドブック（総務省、2024年4月）](https://www.soumu.go.jp/main_content/000944467.pdf) クラウドの責任の分け方（責任共有モデル） - **提供者**：データセンターや基盤の安全を守る - **利用者**：自分で決めた設定、預けたデータ、アカウントの管理を守る - **分け方**：SaaS・PaaS・IaaSの別によって変わる - **設定を委託した場合**：ミスが起きても**最終的な責任は利用者**が負うため、委託先を監督する 契約の免責の条項も確かめておきます。契約の個別の判断は、弁護士などの専門家にご確認ください 委託先の管理の考え方は、[委託先とクラウドの管理](https://www.ameliatechnology.co.jp/blog/vendor-cloud-oversight/)でも説明しています。 ## なぜ、設定ミスが起きるのですか ガイドブックは、設定の作業の多くを人が行うため、誤りは避けられないものとして扱い、その原因を、作業する人、手順書、作業の環境、組織の4つに分けて整理しています。 ガイドブックが挙げる、起きやすい場面には次のようなものがあります。 - **初期の設定のまま使う**：初めから安全な状態になっていない設定がある。安全な初期の設定を変えたまま、元に戻し忘れることもある - **海外のサービスの違い**：初期の設定の考え方が、国内のサービスと違う場合がある - **担当が一人だけ**：情報システムの担当が一人の会社では、作業が多く、確かめる人もおらず、知識が一人に偏りやすい - **退職者の権限が残る**：退職や異動のときの権限の整理が後回しになり、使わないアカウントが残る - **新しいサービス**：生成AIのサービスの中には、入力した内容を学習に使う設定が初期の状態になっているものがある 出典：[クラウドの設定ミス対策ガイドブック（総務省、2024年4月）](https://www.soumu.go.jp/main_content/000944467.pdf) ## 防ぎ方 防ぎ方は、決まりと手順書をつくる、権限を管理する、確かめる、自動で点検する、の4つを組み合わせます。 ### 決まりと手順書をつくる ガイドブックは、クラウドを使うときの方針と作業の決まりを定め、設定する項目を文書にし、手順書に沿って作業すること、初期の設定の扱いの決まりを決めることを挙げています。環境は変わっていくため、設定を定期的に確かめ直すことも勧めています。 ### 権限を管理する アカウントの管理、アクセスの制限、情報を外に公開するときの決まりを定めます。退職や異動のときは、人事と情報システムの担当が連携して、アカウントの削除や権限の付け替えを速やかに行います。考え方は[最小権限の原則](https://www.ameliatechnology.co.jp/glossary/least-privilege/)と同じで、仕事に要る分だけの権限を渡します。権限の確かめ方は、[アクセス権の棚卸しと特権IDの管理](https://www.ameliatechnology.co.jp/blog/access-review-privileged-id/)で説明しています。 ### 確かめる ガイドブックは、ミスを防ぐ対策と、早く見つける対策を組み合わせることを勧め、別の人が設定を確かめる二重の確認や、本番に反映する前の確認を挙げています。外に公開する設定の変更は、作業した人とは別の人が確かめる決まりにしておくと、誤りに気づきやすくなります。 ### 自動で点検する [CSPM](https://www.ameliatechnology.co.jp/glossary/cspm/)とは、IaaSなどの設定を自動で点検し、誤った設定や決まりに合わない設定を知らせる仕組みです。ガイドブックは、CSPMのほか、クラウドサービスの使われ方を見える化するCASB、SaaSの設定を点検するSSPMなどの仕組みも紹介しています。そのうえで、SSPMが国内のすべてのSaaSに対応しているとは限らないことにも触れています。 出典：[クラウドの設定ミス対策ガイドブック（総務省、2024年4月）](https://www.soumu.go.jp/main_content/000944467.pdf) 設定をコードとして書いて管理する方法（[Infrastructure as Code](https://www.ameliatechnology.co.jp/glossary/infrastructure-as-code/)）を使うと、設定の中身を事前に見て確かめやすくなります。 ## 被害を小さくする備え 設定ミスを防ぐ対策とは別に、ミスが起きたときの被害を小さくする備えもしておきます。ガイドブックは、暗号化や[バックアップ](https://www.ameliatechnology.co.jp/glossary/backup/)は、漏えいした後の被害を抑えるものの、設定ミスそのものを防ぐものではないとしています。 あわせて、設定の変更やアクセスの[ログ](https://www.ameliatechnology.co.jp/glossary/log/)を残し、外に公開する設定が加わったときなどに気づけるようにしておきます。ログの残し方は、[ログの取り方と見方](https://www.ameliatechnology.co.jp/blog/log-management-basics/)で説明しています。漏えいが疑われるときの動き方は、[セキュリティ事故に備える、初動の手順書のつくり方](https://www.ameliatechnology.co.jp/blog/incident-response-plan/)にまとめています。個人データの漏えいでは、法令にもとづく報告が要ることがあるため、個別の判断は弁護士などの専門家にご確認ください。 ## 当社のご支援 アメリア・テクノロジーの[セキュリティ診断と対策](https://www.ameliatechnology.co.jp/service/security/)では、クラウドの設定の診断、権限と公開の設定の見直し、設定の決まりと手順書づくりをご支援しています。クラウドの上で動くシステムの開発と運用は、[Webシステム開発](https://www.ameliatechnology.co.jp/service/web-system/)のチームが受け持ちます。当社が開発・運用に関わったシステムの診断は、自己点検として報告します。まずは無料の[セキュリティの自己診断](https://www.ameliatechnology.co.jp/diagnosis/security/)で、現状をおおまかに確かめることもできます。 - クラウド - 設定ミス - 責任共有モデル - 情報漏えい ## この記事に出てくる用語 - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) - [データベース](https://www.ameliatechnology.co.jp/glossary/database/) - [インターネット](https://www.ameliatechnology.co.jp/glossary/internet/) - [責任共有モデル](https://www.ameliatechnology.co.jp/glossary/shared-responsibility-model/) - [SaaS](https://www.ameliatechnology.co.jp/glossary/saas/) - [PaaS](https://www.ameliatechnology.co.jp/glossary/paas/) - [IaaS](https://www.ameliatechnology.co.jp/glossary/iaas/) - [生成AI](https://www.ameliatechnology.co.jp/glossary/generative-ai/) ## 関連する法令・指針（参考情報） - 指針 総務省「クラウドの設定ミス対策ガイドブック」（2024年4月（2024年4月26日公表）） 2022年10月の「クラウドサービス利用・提供における適切な設定のためのガイドライン」の内容を、クラウドサービスを使う側に向けて分かりやすく解説した資料です。責任共有モデル、設定ミスの原因（担当者・マニュアル・作業環境・組織の環境）、設定と権限の管理、ダブルチェック、CSPMなどの点検の仕組みを取り上げています。 [発行元の公式ページで開く](https://www.soumu.go.jp/main_content/000944467.pdf) 法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは[法令・指針の参考情報と凡例](https://www.ameliatechnology.co.jp/knowledge/legal/)をご覧ください。 この記事を書いた人 [石田誠](https://www.ameliatechnology.co.jp/blog/author/ishida/) グループCTO インターネットの黎明期から、ホスティング事業の立ち上げや、インフラ・セキュリティのプロジェクトに携わってきました。現在は、AWS・Azure へのクラウド移行の支援と、業務アプリケーションの要件定義から実装までを担っています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [ゼロトラストの考え方と、中小企業の始め方](https://www.ameliatechnology.co.jp/blog/zero-trust-for-smb/) - [Webアクセシビリティの対応。合理的配慮の義務化と進め方](https://www.ameliatechnology.co.jp/blog/web-accessibility-obligation/) - [発注者が知っておきたいテストの種類と確かめ方](https://www.ameliatechnology.co.jp/blog/testing-for-buyers/) [Webとシステム開発のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/web/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### 業務で使うWebシステムをつくる 社内で使う業務システムやWebサービスを、要件定義から設計・開発・テスト、公開した後の運用まで受け持ちます。 [Webシステム開発を見る](https://www.ameliatechnology.co.jp/service/web-system/) ### まずは30分、オンラインで話してみる 何に使うかが決まっていない段階でも構いません。30分のオンライン相談は無料です。 [無料で相談する](https://www.ameliatechnology.co.jp/contact/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「クラウドの設定ミスによる情報漏えいと、防ぎ方｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/cloud-misconfiguration/