【NCSC Report】クラウド環境におけるセキュリティ面の利点

※こちらの記事は、NCSCの翻訳です。
参考文献：https://www.ncsc.gov.uk/blog-post/the-security-benefits-of-modern-collaboration-in-the-cloud

クラウド環境下において、アクセス制限を厳しくし過ぎて、効果的にクラウドサービスを使いこなせていない、といった声をよく聞きます。つまり、情報へのアクセス制限のバランスを取ることが非常に重要です。

典型的な情報共有の実例

外部組織と情報共有するための手段として、メール送信やメール添付が挙げられます。これらの手段は、情報のコピーを複数の異なる場所に作成することを意味しており、アクセス管理が非常に難しくなります。

現代の情報共有の実例

現代の手法では、情報のコピーを渡すのではなく、情報へのアクセス権限を共有することが一般的です。そうすることで、クラウド上の一箇所に情報を保管したまま、ユーザーは下記のように、様々な手法で利用することができます。

・クラウドサービス上でファイルのレビュー
・メッセンジャーサービスでの会話
・カレンダーサービスでの予定調整

セキュリティ面における利点

クラウドサービスを利用した現代の情報共有においては、情報の原本は一つの場所に保管されます。これは以下の点において、セキュリティ管理が容易になります。
1. 誰がアクセス可能であるか、そして彼らがその情報に対して何をできるのか、管理することができる
2. 情報がどのように取り扱われるのか、監査したり可視化することができる

情報へのアクセス権限を共有することにより、必要に応じて、権限を変更したり、無効にしたりすることもできます。たとえば、プロジェクトが終了した時にアクセスを無効にするなどです。
これは間違った人に権限を付与してしまった、パートナー企業が何か違反した時など、セキュリティインシデントが発生した時に有効です。典型的な情報共有では、情報共有後に共有した全ての人から情報そのものを削除するよう要求することが難しいからです。

図1 : https://www.ncsc.gov.uk/blog-post/the-security-benefits-of-modern-collaboration-in-the-cloud

情報が常にクラウドサービスなある場合、ユーザーがどのように振る舞ったのかログとして蓄積することが可能です。これは別組織の他のユーザーに対しても同様です。
もしセキュリティインシデントが発生した場合、これらのログは調査に使われ、不正アクセスがどのように実施されたのかの解明につながります。典型的な情報共有では、行動ログは各ユーザーから集める必要があるでしょう。

実行に移す

NCSCは最近、Central Digital & Data Officeと共に、市民サービスにおけるインターオペラビリティ(異なるサービスにおける相互運用性)と有効性の改善に関するプロジェクトを実施しました。これは政府がクラウドサービスの利益を理解と実現を助けることを目的としています。