企業の80%近くが過去18か月間にクラウドデータ侵害に苦しんでいます
企業がオンラインで移行するのは論理的であり、ほとんどすべてのデータと情報がクラウドサービスを介して保存およびアクセスされるまでは時間の問題です。ただし、他のサービスと同様に、クラウドサービスもサイバー犯罪の影響を受けやすいため、クラウドセキュリティはあらゆるビジネスに不可欠です。おそらく顧客はそのような脅威に気づいていないかもしれませんが、クラウドデータ侵害は、考えられるよりはるかに一般的です。
このエントリでは、クラウドセキュリティの実態を明らかにするErmeticレポートの概要を説明するとともに、調査で明らかになったように、クラウドセキュリティに対する最大の脅威についても詳しく説明します。
Table of Contents
クラウドのデータ侵害は当たり前です
Ermeticは、新しいセキュリティプラクティスを実装することにより、より安全なクラウドセキュリティ環境の構築に努めるクラウドアクセスリスクセキュリティ企業です。新しいセキュリティパラダイムが必要であることを証明するには、現在のプラクティスに問題があることを示す必要があります。このように、クラウドデータの侵害につながる主な問題を解明するために、調査研究が行われています。
グローバルインテリジェンス企業IDCによるこの調査の1つの結果はErmeticによって投稿され、調査対象企業のほぼ80%が過去18か月間にクラウドデータ侵害を経験したことが明らかになりました。また、調査対象の企業のほぼ半数が、同時期に10件以上の侵害に見舞われました。
これは、クラウドデータ侵害が私たちが考えているよりも一般的であることを示しています。ここでは、大量の個人データを処理および保存する企業内のクラウドセキュリティの問題について話しています。調査に参加した企業には、銀行、ヘルスケア、政府、小売、メディア、製薬などの分野の企業が含まれます。これは、クラウドセキュリティの問題がいかに広範囲に及ぶか、そしてそれらの違反を経験する企業が適切なクラウドセキュリティプラクティスを実装するためにより多くの努力をしなければならないことを証明します。
最も一般的なクラウドセキュリティの問題
調査に基づいて、Ermeticは、少なくとも1つのクラウドデータ侵害を経験した企業の数だけでなく、主要なクラウドセキュリティの脅威も明らかにする主要な調査結果を提供することができました。上位3つのセキュリティ脅威は、セキュリティの構成ミス(67%)、アクセスの可視性の欠如(64%)、不適切なIAMおよび権限構成(61%)です。ほとんどの場合、これらの脅威はクラウドインフラストラクチャ展開のオンデマンドの性質から発生します。機密データにアクセスする権限を持つユーザーが必要以上に多くなる可能性があり、そのユーザーのごく一部のみが定期的にそのデータにアクセスします。そのため、アクセス権限を持つ他のすべてのアカウントは、サイバー犯罪者が悪用する可能性のある責任です。
これらの脅威を軽減するために、企業はコンプライアンスの監視、セキュリティ構成の管理、承認と権限の管理に集中することをお勧めします。承認管理には、パスワード、多要素認証、アクセス許可などのユーザーアクセスと承認の設定が含まれます。言うまでもなく、デフォルトのパスワードを維持することは深刻なセキュリティ上の脅威であるため、パスワードの保存と更新についてはパスワードマネージャに依存することをお勧めします 。また、従業員はこれらのセキュリティ問題を認識しておく必要があるため、セキュリティのベストプラクティスを採用します。さらに、パスワードは、セキュリティの誤設定である最大のクラウドセキュリティリスクの1つに直接関連付けられています。
本番環境のセキュリティ設定ミス
クラウドの主要なセキュリティ問題としてセキュリティの誤構成が示されましたが、これはITチームがクラウドストレージのセキュリティ設定をどのように構成するかに依存するため、内部から発生する問題です。セキュリティの設定ミスに関連する複数の問題があり、最も一般的な問題の1つは、 ストレージバケットへのパブリックアクセスの許可です。ストレージバケットの問題は、認証方法によって保護されることはめったになく、すでに明らかなセキュリティ上の欠陥です。
ただし、言うまでもなく、セキュリティの構成ミスに関連する他の複数の問題があります。これらの問題のほとんどは、機密データへの過度のアクセス許可を扱います。おそらく、一部のクラウド構成には寛容なセキュリティグループポリシーがあるか、一部のインターネット接続パスが正しく構成されていません。重要なのは、すべてのスリップが(どんなに小さなものであっても)クラウドデータ侵害の可能性を生み出し、ITチームは問題のある設定を修正するためにスクランブルをかけなければならないということです。さらに、企業は、クラウドサービスが導入された当初からそれができていたはずの新しいセキュリティ慣行について従業員を再教育することに多くの時間を費やしています。
専門家はまた、可視性の欠如は、セキュリティの設定ミスに関する問題のせいでもあると示唆しています。 ITチームは安全な構成を実装することをいとわないかもしれませんが、パブリッククラウドの採用の急激な増加とそれらのクラウド環境で実際に起こっていることの可視性の欠如により、ITチームはクラウドセキュリティのすべての側面をカバーできるかもしれません限られた期間内。
クラウドの設定ミスが増えているもう1つの理由は、人為的ミスです。したがって、セキュリティの専門家からの提案の1つは、可能な限り多くの自動化ツールを使用することです。もちろん、自動化ツールが迅速なアプリ開発に追いつけないという問題は常にあります。ただし、同時に、自動化ツールを使用すると、設定ミスのリスクを減らすことができます。また、ネットワークの可視性を向上させて、ITチームが何が起こっているかをよりよく確認できるようにし、それ自体がクラウドの誤設定を防止します。
全体として、クラウドのセキュリティは複雑な問題であり、それを解決するには内部の多大な努力が必要です。クラウドサービスが採用されている領域によっては、エンドユーザーは問題についてあまり発言しない場合があります。安全なクラウドセキュリティプラクティスを実装する必要性は、そのようなサービスを利用する企業に明らかに依存します。クラウドデータ侵害から情報を保護し、最適なセキュリティ慣行について従業員を教育することが、彼らの最善の利益になるはずです。結局のところ、すべてのサイバーセキュリティの問題は、経済的な損失だけでなく、顧客の信頼の喪失をもたらす可能性があります。