クラウド環境は、セキュリティ管理、データ保護、規制要件への綿密な注意を要する複雑なコンプライアンス上の課題をもたらす。本記事では、分野の専門家からの知見をもとに、構成、暗号化、データガバナンス、説明責任を含むクラウドインフラ全体にわたって堅牢なサイバーセキュリティコンプライアンスを維持しようとする組織に向け、以下の7つの検討事項が実践的な指針を提供する。

責任を明確に定義し、国境を越えたデータ露出を検討する

出発点となるのは、何を誰が所有するのか、データがどのように分類されるのかを明確にすることである。多くのチームは、クラウドプロバイダーの認証資格を読み、管理策がサービスに付属していると思い込んでいるが、実際にはそうではない。プロバイダーはインフラを保護するが、アイデンティティ、構成、データ分類、アクセスログの所有権は顧客側に残っており、監査で問題になるのはまさにこれらの要素である。

国境を越えたデータ露出は、さらに複雑な問題を加える。米国系のプロバイダーは、組織のデータをカナダのリージョンに保存していても、米国のCLOUD法に基づいてそのデータの提出を強制されうる。データが物理的にどこに存在するかと、誰が法的にアクセスできるかは別の問題であり、PIPEDAまたはLaw 25の適用を受ける企業にとって、コンプライアンスを満たしているかどうかを決めるのは後者の問いだけである。

企業のテクノロジースタックの大部分はSaaS上に置いても安全である。完成したコンプライアンス評価はその例外だ。この評価書は組織が最も弱い部分を正確に示すものであり、それゆえ企業が保有する文書の中で最も機密性が高い。専門家が、組織自らが管理するインフラ上に保管することを推奨する理由の一つである。

構成を自ら管理し、継続的な保証を実証する

クラウドコンプライアンスは、気まずい真実から始まる。プロバイダーはインフラを保護するが、プラットフォームの構成と利用方法に対する説明責任は顧客側に残る。多くの組織は責任共有モデルにつまずき、「クラウドは安全だ」と思い込みながら、誤設定されたストレージ、過剰な権限を持つアイデンティティ、監視されていないデータフローという、完全に自らの問題を抱えたままになる。監査人が訪れた際に尋ねられるのは、プロバイダーがその下層で何をしたかではなく、顧客がプラットフォームで何をしたかである。

実践的なアプローチは、コンプライアンスを特定時点の証明書ではなく継続的なものとして扱うことである。組織は、自らの義務(GDPR、CCPAその他のプライバシー規制、業界ルール、契約)を具体的な管理策に対応付け、エビデンス(証跡)を自動化すべきである。ポリシーアズコード(policy-as-code)により構成は変更のたびに検証され、クラウドポスチャ管理により、監査人や攻撃者よりも先にドリフトを捕捉できる。専門家は、アイデンティティと最小権限の原則から始めることを推奨している。常設的なアクセス権は、侵害と監査不合格の両方への最短ルートだからである。摩擦も想定しておくべきである。開発者はデプロイを遅らせるガードレールを嫌うため、後から管理策を押し付けるのではなく、早い段階から関与させるべきだ。

多くの組織が見落としているのは、コンプライアンスとセキュリティが同じものではないという点である。チェックボックス式の監査は、管理策がその日に存在していたことを証明するだけで、機能していることは証明しない。最も強力なプログラムはガバナンスをアーキテクチャに組み込み、人・プロセス・テクノロジーを一体として、コンプライアンスに適合する経路がエンジニアにとって最も容易な経路でもあるようにする。この3つの柱は、あらゆる組織におけるサイバーセキュリティ成熟度の基礎的要素となる。

厳格な分離によるモデル汚染の防止

AGOのように、AIを活用したクラウド環境のサイバーセキュリティコンプライアンスに取り組むには、従来のインフラと、人工知能によってもたらされた新たなリスクの両方に目を向ける必要がある。基盤となるレイヤーには標準的な慣行が適用される。保存時および転送中のデータに対するAES-256暗号化、定期的な脆弱性テスト、そして国際的なデータ移転のGDPRおよびEU・米国データプライバシーフレームワークへの対応付けである。同社はまた、アクセス制御における新たな障害点を持ち込まないよう、既定で顧客の既存の認証システムを利用している。

AIを活用したクラウド環境に固有の検討事項は、モデル汚染の脅威である。企業が自律型サポートエージェントを導入すると、実際の顧客との会話や機密性の高い独自データがシステムに投入される。その際の即座の懸念は、そのデータが公開された訓練データセットに漏れ出すのではないかという点だ。これに対処するため、アーキテクチャレベルで厳格なデータ分離が実施され、顧客データがAGOのAIモデルやそのサブプロセッサーのモデルの訓練、ファインチューニング、改善に決して使用されないことが保証されている。同社はEU AI法へのコンプライアンス向けの技術文書も作成している。同社のパイプラインでは、会話コンテキストを基盤モデルの訓練ループから完全に隔離しておくことが、顧客のセキュリティチームがAI導入にゴーサインを出せる前提となっている。

データコピーをエンドツーエンドで追跡し、非公式チャネルを統制する

AttyにおけるHIPAAの実装を通じて明らかになったのは、クラウドにおけるサイバーセキュリティコンプライアンスが、技術的な管理策と同等に、データフローと人のプロセスを中心に据える必要があるという点である。最大のリスクはアプリケーションコードではなく、データのコピー、すなわちスクリーンショット、サポートチケット、Slack上のやり取り、一時的なエクスポートにあった。同社はこれに対し、アクセスの制限、無害化されたテストデータセットの作成、開発環境でのマスク済みデータの強制、閲覧可能者の定期レビューを行うとともに、コンプライアンス上の期待を日常のワークフローに組み込むことで対応した。各データ要素を取り込みからメッセージング、分析、バックアップまで追跡することで、システムの拡大に伴って現れる典型的なギャップを発見し、解消することができる。

リリースワークフローにガードレールを組み込む

クラウド環境では、コンプライアンスはソフトウェアデリバリーと同じ経路をたどるときに最も効果を発揮する。要件は、リリースを遅らせることなくエンジニアが対応できる、設計上の決定、アクセスルール、デプロイ時のチェック、ロギング標準へと変換されるべきである。この実践的な整合が重要なのは、コンプライアンス違反がしばしばポリシー文書の欠落ではなく、システムの所有権の不明確さの兆候として現れるためである。

クラウドに特有の問題として、責任はプラットフォーム、チーム、ベンダー間に分散される一方、説明責任は依然として事業者に帰着する。コンプライアンスは、実際の運用条件の下で重要な前提が成り立っているか、特にアイデンティティ、テナント分離、変更のトレーサビリティに関する前提を検証する手段として扱うことができる。管理策が日常のワークフローの中で測定可能になれば、監査は容易になり、顧客はリスク管理のあり方に対して信頼を深める。

同意、暗号化、個人データの最小化を優先する

クラウド環境におけるサイバーセキュリティコンプライアンスは、デジタルアイデンティティとデータプライバシーの課題として捉えることもできる。専門家は、GDPR、HIPAA、CCPAといった法律にアイデンティティシステムを適合させ、個人識別子が明確なユーザーの同意のもとでのみ収集・保存・処理されるようにすることを推奨している。実践的には、クラウドサービス全体にわたってデータ最小化、強力な暗号化、ロールベースアクセス制御を実装することを意味する。同様に重要なのは透明性であり、ユーザーが自らのアイデンティティデータの使われ方を確認し、必要に応じてアクセスを取り消せるようにすることである。専門家が助言する中小企業にとって、これらの取り組みはコンプライアンスリスクを低減し、顧客の信頼の維持に役立つ。

統一された管理策による誤設定への耐性強化

誤設定は、一部の実務家によってクラウドの主要な脅威とみなされており、その対応は、人為的ミスを減らすための一貫した再現可能なアカウントおよびネットワークのパターン設計から始まる。マルチクラウド環境では、ポリシーの一元管理と統一されたアイデンティティ・アクセス管理により、ポリシーや権限がどこでも同じように機能することが保証される。AWS Security HubやAzure Defenderといったクラウドネイティブのツールに加え、第三者によるコードおよびセキュリティ監査が定期的に実施されている。Softjournでは、すべてのアーキテクチャ評価に正式なセキュリティレビューが含まれ、ビジネス部門と設計部門の全チームがデータの機密性と侵害時のプロトコルに関する研修を受けている。