仮想サーバーは非常に安価に使える状況にはなったのですが、クラウドで提供される仮想サーバーを利用するにセキュリティ面で注意すべき点があります。仮想サーバーを利用しない場合と同じセキュリティの構成はまだ組みにくいということです。

　例えば、ファイアウォール、ロードバランサー（負荷分散装置）、IDS/IPS（侵入検知システム／侵入防御システム）、WAF（Webアプリケーション・ファイアウォール）などのセキュリティ機器の多くは、仮想サーバー環境に対応していませんし、対応しているものでも実績はほとんどありません。つまりサーバーをセキュリティ機器で守るというこれまでの常識が通じないのです。

　仮想環境か否かという問題以前に、そもそもIDS/IPSやWAFなどの機器は、まだ十分に使われているとは言えません。それは安定性の問題であったり、設定する技術者のスキルの問題であったりします。ましてや構成が複雑化する仮想環境ではどうなのか、というところでしょう。

　従って、“脆弱”なサーバーそのものを要塞化する必要があります。

　ほかにも、事業の継続性という意味での安全面からも見ても“脆弱”と言える状況にあります。

　障害時に別のサーバーを切り替える「ホットスタンバイ」などの冗長構成に、仮想サーバー環境で対応している事業者はほとんどありません。

　確かに、仮想サーバーのホストOSが稼働している実体のサーバーは、回線もハードウエアも冗長構成が取られていることがほとんどです。しかし、Webサーバーは回線やハードウエアの不具合だけが要因で落ちるわけではありません。アプリケーションやOSの不具合でも障害は発生します。ホストOSがダウンしてしまえばゲストOSも落ちますから、1つのホストOSの上で動作する複数の仮想サーバー同士で冗長構成を取ることは危険性です。結局は同一構成のサーバーを複数台用意するホットスタンバイ構成が欠かせません。これらについての最適な回答は今後各事業者間の競争の中で出されていくものと思われます。

　仮想サーバーの事業者は、競うように「稼働率保証」をうたっています。例えば、その仮想サーバーが一定時間障害で利用できなかった場合に、決められた条件で返金が行われるというものです。しかし、ユーザーが望むのは、返金ではなく「本当に落ちないこと」なのです。業者選定において保証されている稼働率が0.01％多いからといって、その業者を選ぶ理由にしてはいけないということなのです。

　こうしたことから、現在の仮想サーバーは、静的なコンテンツがメインのキャンペーンサイトや、大量のメールを配信する時にだけ立ち上げる期間限定のサイト構築などに適していると言えるでしょう。一方で、顧客情報を扱うようなサイトで、かつ、できる限り無停止の運用をしなければならない場合には、まだ対応が不十分なことが少なくありません。

　このように、仮想サーバーで本格的なシステムを稼働させようとした場合には、相応の技術力とチャレンジ精神が欠かせません。もちろん、このチャレンジによって多くのノウハウを得ることができることも事実ですので、受容するリスクを十分に認識しながら利用することが求められます。

　次回は、クラウドのアプリケーションサービスを利用する際のセキュリティ対策などについて考えたいと思います。