最近、クラウドのセキュリティについての議論が活発になってきています。それぞれの分野の専門家が集まって脅威の洗い出しや対策などを検討しているので、概ね議論は収束してきたように思われます。今回は、それらの論点について要約してみましょう。大きく「クラウドのセキュリティ」「クラウドでセキュリティ」「クラウドで攻撃」の3つがあります。

　まず、「クラウドのセキュリティ」ですが、これには多くの指摘がなされています。

  • 仮想環境に関するセキュリティ
  • 施設に関するセキュリティ
  • 日本国外にある場合の法的問題
  • 稼働保証などのSLA（Service Level Agreement）
  • 運用体制

　などが主な論点です。

　仮想環境に関しては、仮想マシン間のアタック、ハイパーバイザー（バーチャルマシンを制御するソフト）環境のアカウント管理やぜい弱性などが主に指摘されています。確かに、隣のマシンから忍者のように忍び込まれてはたまりません。

　あるいは、お隣さんからDoS攻撃とかも困ります。下手なDDoS攻撃よりもお隣さんからのアタックが一番こたえます。お隣さんが意図しなくても、昨今のガンブラーなどのような手法でアカウントが盗まれて不正アクセスされて、攻撃プログラムが仕込まれる、というシナリオは十分に現実的です。

　また、仮想環境そのもののぜい弱性が発見されることによって、仮想コンピュータそのものが入れ替えられる、などということも起こり得ます、

　施設に関しては、データセンター環境におけるセキュリティ管理が指摘されています。現在のデータセンターの多くで、入館した後の行動監視はあまり行われていないようです。入館は厳しいのですが、その後どのラックで何の作業をしているかまでは監視できていません。それは、ラックにそれぞれ鍵がかかっているということが根拠のようです。確かに、ラックの鍵がピッキング被害に遭ったという話は聞かないので、これまでのところは大丈夫かもしれませんが、今後、大量のデータを盗み出すことへのモチベーションの向上があれば、あり得ない話ではありません。

　日本国外にデータがある場合の問題は既に多く指摘されています。対象国の司法権限による差し押さえや押収、強制捜査などは我々としては防ぎようがないからです。また、国外のデータセンターの技術者そのものが悪意のハッカーであることもあり得ます。また、海外事業社に対する法的対処にも現地での訴訟という高いハードルがあります。

　ちゃんと稼働させること、データのバックアップと復旧などを契約条項として記述するSLAにも標準的な書式がないので、ユーザーは価格でしか比較しないようになってしまうかもしれません。あるいは、とても厳しいガイドラインが政府筋から提示されることによって、体力のある事業者しか対応できなくなってしまい、結局コストに跳ね返ってしまうということも十分に考えられます。

　運用体制にも課題があります。運用管理者がデータを盗み出したり、バックアップデータを持ち出したりすることは最終的には完全に防ぐことはできません。この分野は、いかに被害を起こりにくくするか、という観点が必要です。これも厳しいルールを作るとコストに跳ね返ってしまい、国際競争力を失うことになってしまうかもしれません。