自覚の有無にかかわらず、私たちの生活にはすでにクラウドプラットフォームが根を張っており、その安定性に大きく依存しています。クラウドプラットフォームが正しく機能しなくなったとしたら、日常生活、経済活動が大きく損なわれます。
家族の写真、パスワード、健康情報、ビジネスアイデア、知的財産、知られたくない秘密の情報など、すべてが危険にさらされることになり、アイデンティティや将来の仕事の見通しさえ危険に瀕します。
ですが、すべてを失ってしまうことのないよう、対策を立てておくことは可能です。このブログでは、クラウドストレージとクラウドファイル転送を利用する際に個人データを保護するために何ができるかについて説明します。
1. もしもの場合に備えてバックアップ
クラウドに保存される機密データは常に危険にさらされています。そのため、紛失したり侵害されたりした場合にデータを復元できるような効果的な緊急時対応戦略が必要です。
超大企業だから大丈夫だろうと安心することはできません。たとえ Google であろうと、データがなくなる可能性はゼロではありません。クラウドデータセキュリティの第一歩は、もしもの場合に備えてバックアップを取ることです。バックアップに関しては、様々な方法があります。
- 機密データをハードディスクや USB スティックなどの外部デバイスに手動で保存する。(ただし、外部デバイスの扱いには、持ち出して紛失したりすることがないよう、慎重の上にも慎重を期してください！)
- 機密データをネットワーク接続されたコピーにバックアップする。
- 紙などのハードコピーを活用する。
2. 良好なオンライン状況を維持
保存中と転送中のデータの安全性は、インターネット上の動きに左右されます。インターネットにアクセスすれば、悪意あるサイバー犯罪者やボットにつけこまれる接続ポイントが産まれます。それほど長くインターネット接続していなくても、個人データを要求したり、システムの許可を要求したりするポップアップが表示されることがあります。
オンライン時にデータを保護するためにできることとして、次のようなポイントを確認してください。
- 他のユーザーと共有しているコンピューターのアカウントからログアウトする
- 使用後、休憩中、しばらく席を外すときは、必ずコンピューターをログオフ (またはロック) する
- 所有していないデバイスにはクラウドストレージのパスワードを入力しない
- 公共の場で、または無料の Wi-Fi を使ってクラウドアカウントを開くときは周りの状況などにくれぐれも注意を払う
- オンラインのウェブサイトからのランダムなポップアップには反応しない
- 閲覧用に別のアカウントを用意する
- ブラウザの更新はすぐに行う
3. パスワード管理
パスワードは共有するべきではないのに、複数の人に共有されているケースは珍しくありません。さらに、推奨されないパスワードの再利用も行われています。資源の再利用は大切ですがパスワードの再利用はいただけません。
パスワード管理の常識を再確認してください。
- パスワードは再利用しない
- 単純で類推しやすいパスワード (123、誕生日、イニシャルなど) は避ける
- パスワードを共有しない
- パスワードは定期的に変更する
これらの常識に沿って数多くのパスワードを管理するのは大変やっかいな作業であり、解決策としてシングルサインオンを検討する必要があります。シングルサインオン (SSO) は、システムがユーザーに代わってパスワードを管理するもので、様々なサービスにアクセスするためにすべての複雑なパスワードとユーザー名を覚えておき、毎回繰り返すという膨大な負担を取り払います。
4. 多要素認証の利用
パスワード管理は重要ですが、データセキュリティ保護の手段としては、実はそれほど有効ではありません。
関連ブログ：「パスワードは機能しない：多要素認証が不可欠」
パスワードによるデータ保護から、多要素認証によるデータ保護にシフトする必要があります。多要素認証はアクセスを許可するために複数の認証要素を必要とすることでセキュリティを強化します。MOVEit のようなマネージド・ファイル・トランスファーでは、次のような 3 つのアプローチを使用します。
- 知っているもの (パスワードまたはパターン) による認証
- 使用しているデバイスによる認証 (確認テキストまたはメール)
- 誰であるかについての認証 (生体認証)
多要素認証を使えば、悪意あるハッカーがアカウントにアクセスしようとしたとき、デバイスを所有していることを証明する必要があります。多くの場合、スマートフォンで返信したりメールアドレスに送信されたコードを入力したりする必要があり、強力な保護になります。
5. 最善策 - 機密データを保存しないこと
戦いに負けない最善の方法はそもそも戦いを始めないことであり、クラウドに機密データを保存しなければ機密情報は安全に保護することができます。無料の安全でないクラウドストレージプラットフォームには、次のような機密データを保存しないようにしてください。
- 個人を特定できる情報 (Personally Identifiable Information、PII)
- パスワード
- クレジットカード情報
- 保護された健康情報 (Protected Health Information、PHI)
- ビジネスアイデアや知的財産
- 暗号シードのフレーズとパスワード
だったら、機密データはどこに保存すればいいのかという疑問が湧いたら、マネージド・ファイル・トランスファー (MFT) をチェックしてください。MFT は、安全で信頼性が高く、次のような利点がある、効果的なクラウドストレージおよび転送ソリューションです。
- エンドツーエンドの暗号化
- 厳格なアクセスコントロール
- SFTP などの最新のファイル転送プロトコル
- 最先端のファイアウォールサービス
6. データ共有は信頼できる方法で
クラウドでデータを共有する必要がある場合がありますが、その際は特に慎重を要します。データを確実に保護する保証のない、信頼できない、サードパーティーのデータ共有プラットフォームは使うべきではありません。
自分の過ちから学んでほしいと投稿された「How I lost £25,000 when my cryptocurrency was stolen」という記事によると、Munford 氏は、リタイアのための資金をしっかり確保しようと注意深くチェックしていたにもかかわらず、秘密鍵アドレスを Gmail ドラフトとして保存するという致命的なミスを犯して2万5千ポンドを失いました。これは、エンドツーエンドの暗号化、MFA、厳格なアクセスコントロールを行う安全なマネージド・ファイル・トランスファーを使っていたら防げたはずの悲劇です。以下のポイントを確認してください。
- 誰にでも使えるようなサービスは避け、クラウドセキュリティに重点を置いた信頼できるクラウドサービスを使用する
- マネージド・ファイル・トランスファーのサービスであることを確認する
- クラウドプラットフォームの利用規約を読む
- どのようなファイル転送方法が安全で、どのようなファイル転送方法が安全でないかを判断できる知識を身につける
- Gmail や Microsoft のクラウドサービスを安易に信頼しない
7. フィッシングメールには要注意
郵送されたシアン化物入りの小包を開封するのが危険なように、悪意あるプログラムが埋め込まれた電子メールを開くことも非常に危険です。
うっかりリンクをクリックしてしまったら、重要な機密データへの扉を開くことになります。フィッシングメールは、人の心理を巧みに操る巧妙な手口で作成されており、わかっているつもりでもつい反応してしまいそうなメッセージで誘い込みます。
- デバイス上の不審なログインを確認してください。
- アカウントがハッキングされたため、緊急の対応が必要です。
- ネットフリックス（またはアマゾン）利用のお支払いに関して問題が見つかりました。
このようなフィッシングメールの被害に遭わないようにするためには、次のような点に気を付けてください。
- 信じられないほどの幸運は、やはり信じないに限る
- スペルミスや文法上の誤りを含むメール (他国のハッカーが送っている可能性がある)
- パブリックドメイン名を持つ企業からの電子メール (例: Facebook@noreply.com)
- Apple-com や faceboook.com など、少し変なドメインやスペルミスのあるドメイン
- 個人の連絡先 (電話番号、社会保障番号) の入力を求めるメール
- 不審な添付ファイルを含むメール
怪しいリンクをクリックしてしまわないよう、次のことを実行するようにしてください。
- リンクは、その出所が確実な場合にのみ開くようにする
- これまでに開いたことのないリンクをクリックしないように注意する
- カーソルをホバーして、クリックする前にそのアドレスを確認する
8. ただほど高いものはない
無料サービスはどこでも歓迎されるものですが、クラウド転送とストレージに関しては、無料で提供される次のようなソリューションには注意を喚起します。
- 無料 Wi-Fi
- 無料のクラウドストレージ
- 無料のクラウド転送
セキュリティ上の懸念がある無料のサービスは、結局「ただほど高いものはない」ということわざを思い出させる悲劇を引き起こす可能性があります。Gmail を使って被害にあった Munford 氏のように。
クラウド経由での機密データ転送のためには、DropBox、Google Drive、Gmail などの無料サービスは避けるに越したことはありません。
9. エンドツーエンドの暗号化
暗号化によって、保存中と転送中のクラウドデータを侵害から保護できます。
ほかのセキュリティ対策がうまく機能せず、機密データが悪意あるユーザーの手に渡ってしまったとしても、そのデータが暗号化で保護されていれば、利用することができません。
とはいえ、自分でデータを暗号化することは、長くて複雑なプロセスであり、成功したとしても、複雑な暗号化キーを保存する責任が生じます。キーを失う可能性もあります。そういった点を考慮すると、最先端の暗号化を備えたクラウドプロバイダーを使い、暗号化については任せてしまうというのも一案です。マネージド・ファイル・トランスファー (MFT) ソリューションを提供するプロバイダーなら、最先端の高度な暗号化テクノロジーを備えているはずです。
個人データを保護する実用的な方法 - MOVEit MFT の導入
以上、個人データを保護するために考慮すべきポイントを述べてきました。こんなに大変なのかと慨嘆する必要はありません。MOVEit のようなマネージド・ファイル・トランスファー・ソリューションを導入することで個人データを安全に保護することが可能です。
MOVEit Transfer マネージドファイル転送は、厳格なアクセスコントロール、バックアップ、多要素認証、エンドツーエンド暗号化など、安全なファイル転送のために必要な機能を1つのプラットフォームにまとめた安全な統合ファイル転送ソリューションです。 MOVEit Automation と併用して人的ミスを防いで効率化を促進する自動化機能を加えることも可能です。