パブリッククラウドは、ビジネスを推進する上で非常に強力なツールです。だからこそ、設定ミスやポリシー違反などを放置すれば、大変なセキュリティリスクをもたらすことになります。こうした課題を解決するためのソリューションが、CSPM（クラウドセキュリティポスチャ管理）です。
目次
クラウド普及に伴うセキュリティ事情の変化
企業におけるパブリッククラウド利用は、急速に大規模化が進んでいます。そのため、クラウドセキュリティを検討する上では、以下の4つのポイントに注意する必要があります。
(1) 守るべき対象が多い
実際にクラウドを活用すると、数百に渡るサービスを利用することになります。さらに利用環境の多様化やマルチクラウド化が進んでいます。安全にクラウドを活用するには、これらのすべてについて一貫したセキュリティを実現しなければなりません。
(2) 変化のスピードが速い
クラウドテクノロジーは日進月歩で進化し、新たなサービスが日々追加されています。便利さを享受するだけでなく、そこから新たなリスクが入り込む余地についても検討しなければなりません。
(3) ユーザーやチームのサイロ化
クラウドの魅力は自由度の高さです。その反面、エンジニアや、開発、運用など各チームが、それぞれが独自にクラウド環境のセットアップを行うことで、サイロ化が進んでしまう恐れもあります。
(4) コンテキストがみえない
このようにクラウドの複雑性が増しているので、利用しているクラウドサービスの関連性や、リソースの利用状況が把握しづらくなっています。つまり、リスクが発生した場合に、そのリスクの背景や影響範囲を調査するのが、困難になりつつあるということです。
複雑化するクラウドセキュリティの現実
このような状況下で問題となるのが、クラウドの設定ミスです。VMwareの調査によれば、6社に1社が設定ミスによるセキュリティ侵害を経験しています。その背景にあるのは、急速な技術革新によって、サービスや設定が日々追加されていることです。そのため、設定の組み合わせが膨大な数になり、設定ミスが起きる恐れが高まっているのです。
もう一つの問題が、セキュリティのステークホルダーが多くなり、複雑性が増していることです。クラウドセキュリティの実現には、ポリシーを定めるCIO/CISO、設計を行うクラウドセキュリティアーキテクト、細部の設定を行うエンジニアが連携する必要があります。しかし、それぞれの責任範囲が異なるので、全体を把握することができず、連携が取れないケースが多く見受けられます。このように、複雑性を増すクラウドセキュリティには、新たなアプローチが必要とされているのが実情です。
CSPMによるクラウドガバナンスの強化
そこで必要となるのが、CSPM（クラウドセキュリティポスチャ管理）というソリューションです。CSPMは、パブリッククラウドの設定を⾃動的に確認し、セキュリティの設定ミスやポリシー違反がないかを、継続的かつリアルタイムにチェックします。また、セキュリティリスクを可視化し、優先的に見直すべき箇所をピックアップすることができます。その結果、設定ミスを防ぐだけでなく、クラウドセキュリティに関わる各チームの連携を支援し、セキュリティ・コンプライアンス基準への準拠を実現します。
VMwareが提供するCSPMソリューションが、VMware Aria Automation for Secure Cloudsです。AWS、Azure、Google Cloudなど主要なパブリッククラウドに対応し、大規模なマルチクラウド環境のセキュリティ・コンプライアンスを、より簡単に管理することができるソリューションです。具体的には、以下のような機能を備えています。
(1) スマートなクラウドセキュリティ
クラウドの設定だけでなく、クラウドリソース、権限、設定、アクティビティといった、マルチクラウドに存在するさまざまな要素の関連を分析し、複雑なクラウドセキュリティの状況を可視化します。その結果に基づき、優先度付けされたセキュリティ改善策を提案します。
(2) リアルタイム検出と自動制御
構成変更などの際のセキュリティ違反を6秒以内に検知し、自動修復などの対処をほぼリアルタイムで行うことが可能になります。さらに、VMware Aria Automation for Secure CloudsにはNIST、CIS、ISO 27001、SOC2といった業界標準のコンプライアンスフレームワークに基づいたセキュリティポリシーが組み込まれており、それらと照合することで、コンプライアンスへの準拠をより確実なものにします。
(3) 企業全体にスケール可能なセキュリティプラクティス
レポーティング機能による関係者への共有、ワークフローや自動修復アクションの定義による運用支援など、組織を横断したクラウドセキュリティを支援する機能を多数備えています。
お客様事例
実際のお客様がどのように活用いただいているか、VMware Aria Automation for Secure Cloudsをご導入いただいているサワイグループホールディングス株式会社様の事例を合わせてご覧ください。
本記事について詳しくは、次の記事・ブログをご覧ください
いまよりもっと、スマートに！ マルチクラウド管理ツール CloudHealth ～コスト最適化とセキュリティ強化～
クラウドのコスト最適化とセキュリティ強化を実現する VMware Aria Automation for Secure Clouds および VMware Aria Cost powered by CloudHealth について詳しく解説しています。
VMware Japan Blog 「ヴイエムウェア、パブリッククラウドのセキュリティサービスを無償で提供」
CloudHealth Secure State は世界中のお客様にご利用いただいていますが、より多くのお客様に対してその利便性を体感していただくために、一部機能を限定した Free Tier (無償版)を提供します。CloudHealth Secure State Free Tier をお使いいただくことで、ITチームはインテリジェントでビジュアルなコンテキストによりクラウドセキュリティを向上することが可能になります。