クラウドのデータセキュリティ：パート1

パブリッククラウドコンピューティングの採用は、ユーザーデータの安全性の低下につながります。そしてそれは、一般に IT で認識されている理由によるものではありません。

このクラウドのデータセキュリティ・シリーズのパート１では、その理由を説明します。続くパート2では、その解決策を示します。

ほとんどのユーザーは、オンラインソフトウェアやオペレーティング環境（Google の App Engine、Chrome OS、Documents など）、またはオンラインバックアップ、ストレージ、ファイル共有システム（Dropbox、iCloud など）として、クラウドを使用しています。

このようなサービスを採用することは理に適っています。プロバイダには、豊富なリソースや優秀な技術者によって培われた優れた技術があり、問題を予測して対応することができる能力もあります。そのため、偶発的または悪意のある原因によるデータ損失や稼働停止の可能性は低くなります。クラウドベースのサービスを使用すれば、社内で対処できる許容量以上のことが可能で、多様なデータアクセスのニーズにも対応でき、ハードウェア、ソフトウェア、およびサポートスタッフを維持するコストの削減が達成できます。

多数の企業がパブリッククラウドを採用

クラウドには上記のようなメリットがあるので、HostingTribunal の記事によると、世界の約91％の組織がすでにパブリッククラウドコンピューティングソリューションを採用しており、エンタープライズワークロードの約80％が年末までにクラウドプラットフォームに移行すると予想されています。

しかし、クラウドコンピューティングソリューションは、新しい技術的課題、サイバー攻撃への脆弱性を広げる可能性、も引き起こします。多くはサイバーセキュリティサークルでよく知られており、対処法が提唱されています。プロバイダ側​​とクライアントマシンの両方でセキュリティの脆弱性を監査すること、ホストされているサービスの可用性と整合性を暗号化によって確保すること、アクセスの許可と取り消しのプロセスを厳格化することなどといったことが必要です。

クラウドサービスが呼び水となってもたらされる問題は、これらの技術的課題だけではありません。ユーザーや使用状況に起因する問題があります。そして、そのような問題は IT からは軽視されがちです。「人はいつもやっかい者」という常套句を持ち出して真剣に取り組もうとする姿勢が見られません。結果的に、ユーザーや使用法に起因する問題はあまり研究されず、クラウド上でホストされているデータがハッキングされやすい状況を作り出します。

クラウドベースのファイル共有を使用していると、電子メールでハイパーリンクを受信することがルーチン化されます。数多くの、言うなれば玉石混交のプロバイダが存在します。ほとんどの組織が平均して5つの異なるクラウドサービスを使用しており、多くのユーザーが自分の好みに合ったエコシステムに登録しています。すなわち、ユーザーは様々なデバイスで、メールやアプリを介して、クラウドサービスで生成された多数のハイパーリンクを頻繁に送受信していることになります。

このような使い方に慣れてくると、ユーザーはハイパーリンクを開くことをルーチン化してしまい、スピアフィッシングのための悪意あるハイパーリンクも気付かずにクリックしてしまう可能性が高くなります。

利便性の追求で安全性がないがしろになる恐れ

クラウド共有サービスの設計にも問題があります。Google Drive、Google Photos、Dropbox などのサービスでは、利便性のために、事前に作成された共有ファイルのメール通知を送信します。

通常、電子メール通知には、送信者の名前、ハイパーリンク、リンクを介して共有されているファイルに関する情報など、わずかな可変情報のみが含まれています。残りのスペースは、ブランド情報（クラウドプロバイダの名前やロゴなど）で占められており、信頼性を判断するための情報が限定されています。

多くのクラウドサービスでは、通知メールは送信者から送信されたように見えますが、送信者の送信トレイから送信されるわけではなく、プロバイダに応じて異なる別のアドレスから送信されます。例えば、Google Drive の通知メールは ”drive-share-noreply@goolge.com” のアドレスから送信され、Dropbox の通知メールは “no-reply@dropbox.com” のアドレスから送信され、Google Photos の通知メールは “noreply-010203c023b2d094394a@google.com” (ハイフン以降の英数字はランダムなもの、毎回変わる) から送信されます。ユーザーは、たいていこれらのアドレスを覚えておらず、通知メールが本物であるかどうかを知る術がありません。サイバーセキュリティ意識向上トレーニングは、不確かなよくわからないアドレスからのメールは開かないよう制止しますが、ユーザーがクラウド共有ハイパーリンクを開くことは教えられたセキュリティの原則に違反することになります。これを繰り返すうちに、セキュリティトレーニングで教えられたことが有効なのかどうか不信感が募ってきて、さらに多くのオンライン攻撃への扉を解放してしまうことになります。

クラウドサービスを通じて共有されるハイパーリンク

クラウドサービスを通じて共有されるハイパーリンクに関しても、同様の問題があります。特殊記号や特別な文字も含まれており、ユーザーがその信憑性を評価する簡単な方法はありません。検索エンジンやブラウザを使って確認しようとするのにも、ハイパーリンクを展開しなければなりません。プライベートに共有されたリンクを、サンドボックス化されたデバイスや専門知識を持つ別の人に転送することもできません。ユーザーには、メールの情報を信じてハイパーリンクを展開するしか選択肢がありません。

クラウド共有メールの、送信メールとハイパーリンク以外の可変インジケータは、通常は添付されたファイルの種類を表示するアイコン（PDFアイコンなど）が付いた共有ドキュメントの拡張子（.docx や .mov など）です。これらも、共有ファイルの真実性を評価するための基準として機能するようには設計されていません。

信じ込みのサイバーリスク

ユーザーのセキュリティ意識に関する調査を行ったことがあるのですが、オンラインリスクについて誤った認識を持っている人がたくさんいます。例えば、PDFドキュメントは編集できないため安全であると多くの人が信じていますが、ファイルタイプはセキュリティとは関係ありません。これらの誤った認識は、私は Cyber Risk Beliefs と呼んでいますが、アイコンやファイル拡張子に関して不正確な信じ込みがあるというだけにはとどまらず、ユーザーがセキュリティ上の脅威にどのように反応するかにも影響します。つまり、簡単になりすましができて安全だと信じ込ませることができる PDF のエクステンションやアイコンを見たユーザーが、実際はスピアフィッシングである可能性のあるクラウド共有ハイパーリンクを開く可能性が高くなるということです。

モバイルデバイスの使用による影響

これらの情報は、スマートフォンやタブレットのようなモバイルデバイスを使用していると、表示内容がさらに制限されます。アプリやデバイスによっては、ブランドロゴやその他のグラフィック情報が表示されない場合もあり、送信者情報がデバイスの連絡先帳から自動入力されることもあります。「開く」、「ダウンロード」、「表示」などのUIアクションボタンが目立つように配置されています。このようなインタフェースは、ユーザーが何でも思い通りにスムーズに進められるように設計されており、ほとんどの場合、いったん立ち止まって意識的に深く影響を考察することをしないで、簡単にリクエストに応じる方向に流されてしまいます。

このような誘導的なデザインは、モバイルデバイスでアクセスされる多くの通信アプリでも問題になっています。2019 Verizon DBIR (データ侵害調査レポート) でも強調されています。そして、クラウドベースのファイル共有システムの場合は、問題はより深刻です。電子メールの場合は、件名やあいさつ文、メッセージなど、基本的にパーソナライズされることが前提になっているのに対して、クラウドベースのファイル共有でとられる通常の方法はまったく逆です。ユーザーはパーソナライズを考慮することはほとんどなく、メッセージを含めたり件名を挿入したりすることもしないのが普通です。つまり、なりすましのクラウド共有メールを簡単に作成することができ、特にモバイルデバイスでは怪しいメールに気付きにくい状況が出来上がっています。

クラウドセキュリティのまとめ

こういった懸案事項は、クラウドが当然のように採用されるようになり使用率が高くなったことで顕在化しました。クラウドの採用（ガートナーが、2020年のうちに2,600億ドルを超えると予測している市場）は、今後も広範に拡張すると予想され、時間が経てば問題が消失するという類の話ではありません。クラウドに格納されるデータ量は今後も増加し続けるので、ユーザーの使用に起因するこのような脆弱性は、簡単にデータをハッキングできる手段を探しているハッカーには格好の標的になります。

Dropbox、Google Drive、Adobe アカウントは、今やスピアフィッシングメールで最もよく使用されるものの1つになっています。DBIR によると、2019年、組織へのデータ侵害の4分の1はクラウドベースの資産に関係しており、これらの侵害の77％はフィッシングメールまたはWebアプリケーションサービスが原因になっています。つまり、クラウドサービスのメールを偽装して、ユーザーを悪意あるサイトに誘導するハイパーリンクが使われていていたということです。

これらの脆弱性はほとんどすべてのクラウドサービスに存在し、その脆弱性に起因するデータ侵害はどのクラウドサービスでも発生する可能性があります。オンラインリスクについての間違った信じ込みのために発生するデータ侵害のために、すべてのクラウドプラットフォームへの信頼が損なわれてしまうことにもなりかねません。この問題を解決することは、データをより適切に保護するためばかりではなく、クラウドの継続的な発展に支障を来たさないためにも重要です。

その方法については、パート2で説明します。