クラウドのデータセキュリティ：パート2

クラウド共有サービスは、ユーザーがいろいろな例外に適応し調整しようとして、複数のクラウドサービスを使用することで脆弱性が高くなります。

クラウドのデータセキュリティ：パート1では、クラウド共有サービスを使用しているときに発生する脆弱性について説明しました。ルーチン化したクラウド使用によって、不確かなアドレスからのメールでもつい開いてしまう、パーソナライズされたメッセージや件名のないメールでも疑問に思わず従ってしまう、メール内の検証不可能なハイパーリンクをクリックしてしまう、といったように、こういった行為を警告するサイバーセキュリティトレーニングの指示に反することを行ってしまいます。ただし、クラウド共有サービスのセキュリティ上の欠陥は、ユーザーに責を帰すべきではなく、様々なクラウドサービスの開発時に何を優先させるかの設計思想によるところが大きいと思います。

クラウドサービスに関する考察

Google Drive など、クラウドサービスの中には、クラウドサービスとそのほかの種々雑多なサービスとの統合に重点を置いているものがあります。別の、Dropbox などのクラウドサービスは、スタンドアロンのクロスプラットフォームポータルを軸にしています。さらに、Apple など、自社デバイスのユーザーからのサブスクリプション収益の増加に重きを置いている企業もあります。

このようにプロバイダによって共有サービスのプロセスで何を優先させるかが異なる上、プロバイダそれぞれが目指すゴールの達成はユーザーの利益よりも優先されるようです。ユーザーは、収益につながり得る要素として認識されるに過ぎません。

この状況を打破するには、まずより堅牢な認証プロトコルと暗号化を実装する必要がありますが、それだけではユーザー適応プロセスに起因する脆弱性を減らすには十分ではありません。クラウドプラットフォームでのレジリエンスの向上は、断片的な対応では達成が困難であり、クラウドサービスプロバイダによる統一された取り組みが必要です。

様々なクラウドサービスの統合

その取り組みの一例として、インダストリ・グループ、Cloud Security Alliance では、様々なクラウドプロバイダをまとめて、ユーザーが多様なクラウド使用環境にどのように適応しているかを包括的に調査し、リスク評価を行ったりしています。

Cloud Security Alliance の取り組みの主要なポイントとして、ユーザーの Cyber Risk Beliefs (CRB) 、オンラインアクションのリスクに関する信じ込みがどこから来るのかを明らかにすることがあります。調査によって、ユーザーのサイバーリスクに関する信じ込みの多くが的確なものではないことがわかっています。例えば、多くのユーザーは、HTTPS シンボルが Web サイトが真正なものであることを示すと誤って解釈し、PDF 文書は編集できないため Word 文書より安全であるというような間違った認識を持っています。

クラウド環境でCRBがどのように現れるかを理解する必要があります。特定のクラウドサービスが他のクラウドサービスよりも安全であると信じるのかどうか、より安全と思われるサービスならそのサービスを通したドキュメントの共有もより安全だと考えているかどうか、などといった質問への答えを探ります。

ユーザーが様々なクラウドサービスをどのように捉えているか、ユーザーがそれらに何を格納しているのか、共有されるファイルにどのように反応するかといったことも明らかにしていく必要があります。例えば、ユーザーが特定のポータルならドキュメントは安全であると信じている場合、スピアフィッシングメールの中の、そのポータルからと思われるファイルを開く可能性が高くなります。このような思い込みは、ユーザーがクラウドポータルでどのようなアプリを有効にするか、オンラインで何を保存するか、保存されたデータにどれだけ注意を払うか、といったことにも影響を与える可能性があります。CRB は多様なクラウドサービスにどう適応して使用していくかに影響を与えます。CRB に関する深い洞察が、ユーザーのクラウドサービス使用において安全性を確保できるようにする設計に結びつきます。

クラウドプラットフォームでのユーザーセキュリティの向上には、新しい技術でセキュリティ強化を図ることも必要です。多くのソーシャルエンジニアリング攻撃はハイパーリンクにマルウェアを隠していますが、その対策としては、すべての共有リンクが生成、展開される仮想化されたスペースを共同で開発することが考えられます。そうすると、リンクの生成元のドメインが統一されてユーザーに認識しやすくなり、なりすましのハイパーリンクをクリックさせて悪意あるサイトに誘導することは、はるかに困難になります。

クラウドサービスのユーザーインタフェース

もう１つの方策として、ユーザーインタフェース（UI）を改善することも重要です。現時点では、クラウドファイル共有サービスの UI は、安全性よりも利便性を優先しています。テクノロジーデザインコミュニティには、何よりも利便性が重要という偏向的な姿勢が浸透しています。その最も顕著な例が、クラウド共有メールと埋め込まれたハイパーリンクの信憑性を評価することが難しいモバイルアプリに顕示されています。

セキュリティ強化のために UI でできることは、共有ファイルのパーソナライズを促進することです。ユーザーは、メッセージや件名がないリンクを共有することを許可されるべきではなく、メッセージに署名を含めるように促されるべきです。特にモバイルデバイスで、ユーザーにアクションを取らなければならないと思い込ませるような誘導的なインタフェースをなくし、レビューすることを推奨する必要もあります。パーソナライズされたメッセージを強調表示し、短縮ではなく完全な URL を表示し、共有ドキュメントを開くためにはパスワードが必要なようにするといった変更が必要になります。

UI でファイル共有ポータルとメールサービスを統合し、リンクを、ポータルから直接生成するのではなく、ユーザーが使い慣れているメールアカウント内から作成されるようにすることも可能なはずです。そうすれば、よくわからない仮想アドレスからメールが送信されることがなくなり、パーソナライズ化によるセキュリティ対策ができます。

クラウド使用を考慮したトレーニング

最後に、電子メールセキュリティ意識向上のためのユーザートレーニングは、エンドユーザーがクラウド共有のために行う行為と矛盾しています。クラウドを使用しようとすると、トレーニングで身につけた知識に反する行為を行わなければなりません。時間が経過し、「違反行為」を繰り返すうちに、トレーニングの有効性に対する疑念が生じます。ユーザートレーニングは、クラウドファイルの共有を念頭に置いた上で安全性を確保できるような形に更新する必要があります。ファイル共有のためにパスワードやパーソナライズされたメッセージを使用するなど、新しい基準やベストプラクティスを促進することは、その前提です。トレーニングには、共有ハイパーリンクがなりすましであるかどうかを判断する方法や、そのようなリンクを仮想化環境に展開して潜在的なダメージを回避する方法なども含まれるべきです。

クラウド繁栄のジレンマ

クラウドは自身の繁栄で自らの首を絞めているようなところがあります。多くのプレーヤーが市場に参入すると、各プラットフォームの実装方法が異なるため、ユーザーエクスペリエンスは分断され細分化され、脆弱性が高まります。現在では様々なクラウドサービスを提供するプロバイダの数は数百にのぼり、今後も増加し続けると予想されます。ユーザーがクラウドサービスを使用するときに生じる脆弱性問題は、ユーザーとプロバイダが増えれば増えるほど拡大します。

この問題は、クラウドサービス全体としてしっかり解決していく必要があります。重大なデータ侵害が1件でも発生すれば、クラウドエクスペリエンス全体に対するユーザーの信頼が損なわれ、クラウドの使用状況に悪影響を与える可能性があります。