社内で利用するクラウドサービスが増えるにつれ、「クラウドのセキュリティは大丈夫か」「対策を整理しておくように」と求められる情報システム担当の方は少なくありません。クラウドは便利な一方で、設定の不備やアカウントの乗っ取りといった、オンプレミス環境とは異なるリスクを抱えています。
特に迷いやすいのが、「クラウドはサービス事業者が守ってくれるのではないか。なぜ自社で対策する必要があるのか」という点です。この答えとなるのが、事業者と利用者で守る範囲を分担する「責任共有モデル」という考え方です。ここを押さえないまま対策を考えても、どこから手をつけるべきかが定まりません。
本記事では、クラウドセキュリティとは何かという基本から、クラウド利用で生じる主なリスク、責任共有モデルにもとづく自社の責任範囲、企業がとるべき対策、対策を助けるサービスの種類と選び方までを順に整理します。
目次
一括ダウンロードする
クラウドセキュリティとは
クラウドセキュリティとは、クラウドサービス上に置いたデータやシステムを、情報漏えいや不正アクセスといった脅威から守るための対策・ポリシー・技術の総称です。自社のサーバーやネットワークを守る従来の対策とは異なり、クラウドでは「インターネット経由で、社外からも利用される」ことを前提に、アカウントの認証やアクセスの制御、設定の管理を軸に守る点が特徴です。
クラウドサービスは、提供される範囲によってSaaS・PaaS・IaaSの3つに大きく分かれます。アプリケーションまで完成した形で使うSaaS、アプリを動かす基盤を借りるPaaS、サーバーやネットワークといったインフラを借りるIaaSの順に、自社が管理する範囲が広がります。この区分は、後述する責任共有モデルで「どこまでが自社の責任か」を考える前提になります。
オンプレミス環境（従来のセキュリティ）との違い
自社内にサーバーを設置して運用するオンプレミス環境では、機器もネットワークも社内に閉じているため、物理的な管理と社内ネットワークの境界を守ることが対策の中心でした。一方クラウドでは、データやシステムが社外の事業者の基盤上にあり、インターネット経由でどこからでも利用されます。
そのため、「社内と社外の境界を守る」発想だけでは不十分で、誰がどの端末からアクセスしているかを確かめる認証・アクセス制御や、クラウド側の設定の管理が重要になります。また、基盤の一部を事業者が管理するため、自社と事業者の責任範囲を正しく理解しておく必要があります。
クラウド利用で生じる主なセキュリティリスク
ここからは、クラウドを利用するうえで具体的にどのようなリスクがあるのかを整理します。自社で起こりうるものを一つずつ確認してください。
不正アクセス・アカウントの乗っ取り
クラウドサービスはIDとパスワードがあればどこからでもログインできるため、認証情報が漏れると第三者に不正ログインされ、データの閲覧や持ち出しにつながります。パスワードの使い回しや、フィッシングによる認証情報の窃取が入口になることが多く、パスワードだけに頼らない認証が求められます。
設定ミスによる情報漏えい
クラウドは利用者側で公開範囲やアクセス権限を細かく設定できる反面、設定を誤ると、本来は社内限定のデータが意図せず外部から閲覧できる状態になることがあります。総務省のガイドラインは、設定不備による個人情報流出のおそれに至る事案が増加し、社会的な問題になっていると指摘しています。
同ガイドラインが情報処理推進機構（IPA）の「コンピュータウイルス・不正アクセスの届出状況2021年」を引用して示したところでは、同年に届け出られた不正アクセスの原因のうち、設定不備は約17.7%を占めて原因別で第3位となっています。クラウド特有のリスクとして、特に注意が必要な項目です。
出典・参考資料（1件）
内部不正・過失によるデータ流出
外部からの攻撃だけでなく、従業員や退職者によるデータの持ち出し、操作ミスによる誤送信・誤公開もクラウド利用のリスクです。IPAが公表する「情報セキュリティ10大脅威 2026」でも、組織向けの脅威として「内部不正による情報漏えい等」が挙げられています。退職時にアカウントを削除し忘れると、退職後も社外からアクセスできる状態が残る点にも注意が必要です。
出典・参考資料（1件）
データの消失・サービス停止
クラウド上のデータも、誤削除やランサムウェアによる暗号化、事業者側の障害によって失われたり、一時的に利用できなくなったりすることがあります。IPAの「情報セキュリティ10大脅威 2026」でも「ランサム攻撃による被害」が組織向けの脅威の上位に挙げられています。事業者がインフラを守っていても、自社のデータの保全は利用者側の備えが必要です。
シャドーIT（許可していないクラウド利用）
情報システム部門が把握していないまま、現場の従業員が業務で個人契約のクラウドサービスや無料ツールを使うことを「シャドーIT」と呼びます。利用実態が見えないため、重要なデータが管理外のサービスに保存されていても気づけず、情報漏えいや退職時の持ち出しにつながります。近年は生成AIサービスの無断利用も同様の課題になっています。
クラウドの責任共有モデル（SaaS・PaaS・IaaSの責任範囲）
先に挙げたリスクを受けて、「どこまでを事業者が守り、どこからが自社の責任なのか」を定めるのが責任共有モデルです。クラウドセキュリティで自社が何をすべきかは、この線引きから決まります。
総務省のガイドラインは、クラウドサービスの情報セキュリティは事業者と利用者が責任を共有する必要があるとし、この考え方を多くの事業者が採用していると説明しています。AWSなどの大手クラウド事業者も、同様の考え方を「クラウドのセキュリティ（事業者の責任）」と「クラウドにおけるセキュリティ（利用者の責任）」という形で示しています。
この責任の相違は一般的にクラウドのセキュリティに対するクラウドにおけるセキュリティと呼ばれます。[…]お客様は、データの管理 (暗号化オプションを含む)、アセットの分類、IAM ツールでの適切な権限の適用について責任を負います。
出典：責任共有モデル｜アマゾンウェブサービス（AWS）
自社が担う範囲は、利用するサービスの形態によって変わります。総務省のガイドラインにもとづき、SaaS・PaaS・IaaSごとの責任範囲の目安を整理すると、次のとおりです。
| 利用形態 | SaaS（アプリまで完成した形で利用） | PaaS（アプリを動かす基盤を利用） | IaaS（サーバーなどインフラを利用） |
|---|---|---|---|
| クラウド事業者が主に担う範囲 | サーバー・OS・ミドルウェア・アプリケーション本体と、その動作に関わる設定 | サーバー・OS・ミドルウェアと、ミドルウェアの動作に関わる設定 | 物理的なインフラと仮想環境の動作に関わる設定 |
| 自社（利用者）が主に担う範囲 | 利用者アカウントとアクセス権限の設定、業務データの管理と公開範囲の設定 | データとアプリケーションの設定・管理、ミドルウェアを利用するための設定 | OSを含むすべてのソフトウェアの管理、OS・ミドルウェアの障害対応やパッチ適用・脆弱性対応、データとアプリケーションの管理 |
※上記は総務省ガイドラインにもとづく一般的な責任範囲の目安です。実際の責任範囲は事業者やサービス、契約内容により異なるため、利用時は各社の規約・SLA（サービス品質保証）・免責事項で確認してください。
いずれの形態でも、アカウントや利用者側の設定、業務データの管理は自社の責任に含まれます。SaaSだからといってすべてを事業者任せにはできない点が、自社で対策を講じる理由です。表で自社の責任とされるアカウント・権限・設定・データの管理について、具体的に何をすべきかは、次の「企業がとるべきクラウドセキュリティ対策」で解説します。
出典・参考資料（2件）
企業がとるべきクラウドセキュリティ対策
ここからは、自社の責任範囲でとるべき対策を整理します。総務省のガイドラインは、設定不備を防ぐ基本的な考え方として、クラウド利用のリスクを認識すること、自社と事業者の責任範囲を理解して共通認識とすること、そのうえで具体的な対策を実施することの3点を挙げています。この順に沿って、各対策がどのリスクに効くのかを確認してください。
ID・アクセス管理（多要素認証・権限の最小化）
不正アクセスやアカウント乗っ取りを防ぐ基本の対策です。総務省のガイドラインも、アカウント管理でのパスワード設定の厳格化と多要素認証の設定、管理者・特権アカウントでの多要素認証と複数人でのチェック体制、権限を必要最小限にとどめる「最小権限」を挙げています。パスワードに加えてスマートフォンや生体認証などの要素を組み合わせることで、認証情報が漏れても単独ではログインされにくくなります。
多要素認証の仕組みや、二段階認証との違い、認証方式ごとの安全性の差をより詳しく知りたい場合は、MFA（多要素認証）とは？仕組み・3要素と二段階認証との違いをわかりやすく解説で整理しています。
データの暗号化
暗号化は、不正アクセスや設定ミスによって万一データが外部に渡っても、内容を読み取られにくくして情報漏えいの被害を抑える対策です。保存するデータ（保存時）と通信するデータ（通信時）の両方を暗号化しておき、重要なデータを扱うサービスでは暗号化の有無と方式を確認することが重要です。
設定・公開範囲の点検
設定ミスによる情報漏えいを防ぐため、クラウドサービスの公開範囲やアクセス権限の設定を定期的に点検します。導入時の初期設定のままにせず、社外に公開されているファイルやフォルダがないか、不要な権限が残っていないかを継続的に確認することが重要です。
バックアップと復旧
データの消失やランサムウェアによる被害に備え、重要なデータは定期的にバックアップを取得し、復旧できる状態にしておきます。クラウド上のデータであっても、誤削除や事業者側の障害に備える保全は自社の責任範囲に含まれるため、バックアップの保存先や復旧手順をあらかじめ決めておくことが重要です。
ランサムウェア対策としてバックアップを用意する際は、バックアップそのものが攻撃の標的になりうる点にも注意が要ります。この実態について、株式会社SYNCHROの担当者は次のように述べています。
現状、ランサムウェア攻撃を受けた企業のうち、約8割近くでバックアップデータも潰されていると、警察からも発表されています。バックアップ経路は通常のネットワーク上にあるため、ランサムウェアを仕掛けてきた攻撃者にもたどり着けてしまうものがほとんどだからです。
予防・検知・バックアップ・感染時の対応まで、ランサムウェア対策の全体像を手順に沿って確認したい場合は、ランサムウェア対策とは？予防・バックアップ・感染時対応の基本と進め方で解説しています。
シャドーITの可視化・統制
許可していないクラウド利用を防ぐには、まず社内でどのサービスが使われているかを可視化することが出発点です。利用実態を把握したうえで、業務で必要なサービスは正式に許可し、リスクの高いものは利用を制限するという統制につなげます。入退社時のアカウント発行・停止を確実に行うことも、退職者による持ち出しを防ぐ対策になります。
社員教育・運用ルールの整備
技術的な対策だけでなく、従業員がリスクを理解し、ルールに沿って利用することも欠かせません。パスワードの管理、フィッシングメールへの注意、許可されたサービスの利用といった運用ルールを整備し、定期的な教育で浸透させることで、人の面からの情報漏えいを防ぎます。
ここまでの対策と、主に効くリスク、着手の目安を一覧にまとめると、次のとおりです。
| 対策 | ID・アクセス管理（多要素認証・権限の最小化） | 設定・公開範囲の点検 | データの暗号化 | バックアップと復旧 | シャドーITの可視化・統制 | 社員教育・運用ルールの整備 |
|---|---|---|---|---|---|---|
| 主に効くリスク | 不正アクセス・アカウントの乗っ取り | 設定ミスによる情報漏えい | 情報漏えい時の被害軽減 | データの消失・サービス停止 | シャドーIT・内部不正 | 人の過失による情報漏えい全般 |
| 着手の目安 | まず着手 | まず着手 | 次に | 次に | 次に | 継続的に |
まず何から始めるか
対策は多岐にわたりますが、総務省のガイドラインが示す順序に沿うと着手しやすくなります。はじめに自社が利用しているクラウドサービスと、そこで扱うデータを棚卸しして、クラウド利用のリスクと自社の責任範囲を把握することから始めます。
そのうえで、すぐに着手できる対策から進めましょう。多要素認証の有効化、管理者アカウントの権限の見直し、公開範囲の設定の点検は、追加のコストを抑えながら効果が見込める項目です。これらを整えてから、暗号化やバックアップ、シャドーITの可視化といった対策へ段階的に広げていくと、抜け漏れを抑えられます。
出典・参考資料（1件）
一括ダウンロードする
対策を助けるサービスの種類（CASB・CWPP・CSPM）
クラウドセキュリティの対策は、専用のサービスを使うことで効率的に実施できます。代表的なものとして、略語で呼ばれる3つの種類があります。それぞれ何を守るためのものかを整理します。
- CASB（キャスビー、Cloud Access Security Broker）：従業員と複数のクラウドサービスの間に立ち、どのサービスが使われているかを可視化し、利用を制御する仕組み。シャドーITの発見や、サービスごとの利用ポリシーの適用に用いられます。
- CWPP（シーダブリューピーピー、Cloud Workload Protection Platform）：クラウド上で動くサーバーやコンテナといった「ワークロード」を保護する仕組み。IaaSやPaaSで自社が動かすシステムの脆弱性やマルウェアへの対策に用いられます。
- CSPM（シーエスピーエム、Cloud Security Posture Management）：クラウドの設定を継続的に点検し、設定ミスや危険な公開状態を検知する仕組み。設定不備による情報漏えいを防ぐ対策として用いられます。総務省のガイドラインでも、設定不備を防ぐ具体策としてCSPMの活用が挙げられています。
これらは守る対象が異なるため、自社の利用形態とリスクに応じて必要なものを見きわめます。SaaS中心の利用であればシャドーITや設定の管理、IaaSで自社システムを動かすのであればワークロードの保護、というように重点が変わります。
出典・参考資料（1件）
SaaS中心の利用で「設定の管理」を担うサービスを具体的に比べたい場合は、SaaSの設定不備を継続的に点検するSSPMという仕組みがあります。CSPM・CASBとの違いや製品ごとの選び方は、以下の記事で整理しています。
SSPMとは？SaaSの設定不備を見つける製品18選を比較｜CSPM・CASBとの違いと選び方を解説
Microsoft 365 の共有設定、Salesforce の権限、Slack の外部連携アプリ。SaaS が増えるたびに管理画面がひとつ増え、設定が今どうなっているかを確かめるには、そのすべてを順番に開いていくしかありません。退職者のア…
クラウドセキュリティサービス・事業者の選び方
自社に合うサービスや事業者を選ぶときは、次の観点を確認すると判断しやすくなります。
自社の利用環境と目的が合っているか
まず、自社がどのクラウドサービスをどう使っていて、何のリスクに備えたいのかを明確にします。SaaSの利用管理をしたいのか、サーバーの保護をしたいのかで、必要なサービスの種類は変わります。目的と合わない多機能なサービスを選ぶと、使いこなせずコストだけがかかることになります。
自社が使うクラウドサービスに対応しているか
対策サービスが、自社で使っているクラウドサービスやIDの基盤に対応しているかを確認します。連携できるサービスの範囲や、既存の認証基盤との接続可否によって、導入のしやすさと効果が変わります。
第三者認証を取得しているか（ISMAP・ISO/IEC 27017）
事業者のセキュリティ水準を自社だけで評価するのは難しいため、第三者による評価・認証を目安にできます。代表的なものとして、政府のクラウド調達で用いられるISMAPと、クラウド向けの国際的な実践規範であるISO/IEC 27017があります。
ISMAP（政府情報システムのためのセキュリティ評価制度）は、基準にもとづく監査を経てクラウドサービスを評価・登録する制度です。登録されたサービスは「ISMAPクラウドサービスリスト」に掲載され、政府機関等は原則としてこのリストから調達することとされています。民間企業にとっても、登録の有無は政府が求める水準を満たしているかの目安になります。
ISO/IEC 27017は、正式名称を「ISO/IEC 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範」といい、クラウド固有の管理策の指針を定めた国際的な規範です。これにもとづく「ISMSクラウドセキュリティ認証」を事業者が取得しているかどうかも、判断の参考になります。
出典・参考資料（3件）
ID・アクセス管理／シャドーIT可視化に使えるサービス
ここまで整理した対策のうち、まず着手しやすい「ID・アクセス管理」と「シャドーITの可視化・統制」の2領域について、クラウド利用を守る代表的なサービスを紹介します。シャドーITの可視化は、先に解説したCASB（クラウド利用の可視化・制御）に近い役割を担う仕組みです。なお、設定点検（CSPM）やワークロード保護（CWPP）に当たるサービスは、本記事では個別に取り上げていません。
以下は、ここで紹介するサービスの比較表です。
| サービス名 | CloudGate UNO | マネーフォワード Admina |
|---|---|---|
| 主に担う対策 | ID・アクセス管理 （SSO・多要素認証・アクセス制限） | シャドーITの可視化・統制 （SaaS管理） |
| 守る対象 | 複数のSaaS・クラウドサービスへの ログインとアクセス | 社内で利用されるSaaSアカウント とIT資産 |
| 主な機能 | シングルサインオン（SSO） 多要素認証（FIDO2/パスキー） アクセス制限（IP・デバイス・国/地域・時間帯） ID管理（プロビジョニング） | シャドーIT検知 SaaS利用状況の可視化 アカウントのライフサイクル管理（入退社） デバイス台帳・MDM（モバイルデバイス管理）連携 |
| 月額料金 | 440円〜/ユーザー（税込） | 50ID以下 無料／51ID以上 300円/ID（税別） |
| 無料トライアル | ●30日間 | ●2週間（14日間） |
| 詳細情報 | 公式資料を見る | オンライン相談を予約 |
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、株式会社インターナショナルシステムリサーチが自社開発する、シングルサインオン（SSO）・多要素認証・アクセス制限・ID管理を統合したクラウド型のアイデンティティ管理プラットフォームです。「ID・アクセス管理」の対策を一つのサービスでまとめて実施したい場合の選択肢になります。
Google Workspace・Microsoft 365・Salesforce・Slackなど多数のクラウドサービスと連携し、一度の認証で複数のサービスを利用できます。アクセス制限では、IPアドレス・デバイス・国や地域・曜日や時間帯といった条件でログインを制御でき、ID・パスワードが漏れた場合の不正アクセスを防ぎます。
認証方式は、FIDO2準拠の物理セキュリティキーや、Windows Hello・Touch IDなどの生体認証、自社の認証アプリに対応し、パスワードを使わないパスワードレス認証も利用できます。料金は月額440円／ユーザー（税込）からで、30日間の無料トライアルが用意されています（2026年10月時点）。
多要素認証といっても、方式によってフィッシングへの耐性には差があります。この点について、CloudGate UNOを提供する同社の担当者は次のように説明しています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
2. マネーフォワード Admina（マネーフォワードｉ株式会社）
マネーフォワード Adminaは、従業員を軸にSaaSアカウントの利用状況を一元管理するSaaS・IT資産管理プラットフォームです。「シャドーITの可視化・統制」の対策に直接役立ちます。
情報システム部門が把握できていないSaaSを検知して管理者に通知する機能を標準で備え、IDの基盤との連携やブラウザ拡張機能などを通じて、エージェントを使わずに利用実態を可視化します。誰がいつどのSaaSを使っているかを把握できるため、シャドーITの発見と棚卸しに活用できます。
入社から退職までのアカウントの発行・削除を一元管理でき、退職済みアカウントのアラート表示や、退職時のワークフローによるアカウントの自動削除にも対応します。料金は50ID以下であれば無料で利用でき、51ID以上は1IDあたり月額300円（税別）です。全機能を2週間試せる無料トライアルも用意されています（2026年9月時点）。
ここで紹介したのは、クラウド利用を守る対策のうちID・アクセス管理とシャドーITの可視化に対応するサービスです。端末・ネットワーク・データ・監視運用など、守る対象ごとに社内のセキュリティ対策を見渡して比較したい場合は、以下の記事で対象別のタイプと代表的なサービス、選び方を整理しています。
まとめ
クラウドセキュリティは、クラウド利用に伴うリスクを理解し、責任共有モデルにもとづいて自社の責任範囲を把握したうえで、対策を積み重ねることが基本です。SaaS・PaaS・IaaSのいずれでも、アカウントの管理や設定、業務データの保全は自社の責任に含まれます。
まずは利用しているクラウドサービスとデータを棚卸しし、多要素認証の有効化や公開範囲の点検といった着手しやすい対策から進め、暗号化・バックアップ・シャドーITの可視化へと段階的に広げていくとよいでしょう。ID・アクセス管理やシャドーITの可視化は、専用のサービスを活用することで効率的に実施できます。自社の課題に合うサービスの資料を取り寄せて、比較検討から始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. クラウドは事業者が管理しているのに、なぜ自社でもセキュリティ対策が必要なのですか？
A. クラウドセキュリティでは、インフラは事業者が守る一方、利用者アカウント・アクセス権限・業務データの管理は、利用形態を問わず自社（利用者）の責任に含まれるためです。
これは事業者と利用者が守る範囲を分担する「責任共有モデル」という考え方によるもので、総務省のガイドラインも、クラウドサービスの情報セキュリティは事業者と利用者が責任を共有する必要があると説明しています。設定ミスや認証情報の漏えいは利用者側で起こるため、事業者任せにはできません。
出典・参考資料（1件）
Q. クラウドセキュリティ対策のうち、無料または追加費用なしで始められるものはありますか？
A. クラウドセキュリティには、多要素認証の有効化、公開範囲・共有設定の点検、不要になったアカウントの削除、管理者権限の見直しなど、多くのクラウドサービスに標準で備わる機能だけで追加費用なしに始められる対策があります。これらは不正アクセスや設定ミスによる情報漏えいといった代表的なリスクに直接効くため、専用サービスの導入を検討する前に、まず着手する価値があります。
Q. CASB・CWPP・CSPMはどう違い、自社にはどれが必要ですか？
A. この3つは、CASBがクラウド利用の可視化と制御（シャドーIT対策）、CWPPがサーバーなどワークロードの保護、CSPMがクラウドの設定ミスの検知と、守る対象がそれぞれ異なります。
SaaSを多く使う企業はCASBや設定を点検するCSPM、IaaSで自社システムを動かす企業はCWPP、というように、自社の利用形態と優先したいリスクに応じて必要なものを選びます。すべてを一度に揃える必要はなく、リスクの大きい領域から導入するのが現実的です。
Q. 自社がSaaS（Microsoft 365やGoogle Workspaceなど）しか使っていない場合も対策は必要ですか？
A. SaaSのみの利用でも、利用者アカウントの管理・アクセス権限や公開範囲の設定・業務データの管理は自社の責任に含まれるため、クラウドセキュリティ対策は必要です。
SaaSはアプリケーションやインフラを事業者が管理しますが、誰がどのデータにアクセスできるかの設定は利用者側に委ねられており、設定ミスやアカウントの乗っ取りは利用者の対策範囲です。まずは多要素認証の有効化と共有設定の点検から進めるとよいでしょう。
Q. クラウドとオンプレミス（自社運用）では、どちらがセキュリティ面で安全ですか？
A. クラウドとオンプレミスに一律の優劣はなく、安全性はどちらも運用次第で決まります。
大手クラウド事業者はインフラのセキュリティに専門の人員と設備を投じており、自社運用より堅牢な面もあります。一方でクラウドは、インターネット経由でどこからでも利用できる分、アカウント管理や設定の不備が被害に直結しやすい特徴があります。どちらを使う場合でも、自社の責任範囲の対策を適切に行えているかが安全性を左右します。
Q. 多要素認証（MFA）を設定すれば、クラウドの不正アクセスは防げますか？
A. 多要素認証は不正アクセスを大きく減らす有効な対策ですが、それだけですべての脅威を防げるわけではありません。パスワードが漏れても単独ではログインされにくくなる一方、設定ミスによる情報漏えいや、許可済み端末からの内部不正、シャドーITには効果が及びません。多要素認証を土台としたうえで、権限の最小化・設定の点検・利用実態の可視化など、リスクごとの対策を組み合わせることが必要です。
Q. 中小企業でもクラウドセキュリティ対策は必要ですか？
A. 企業規模にかかわらず、クラウドを業務で利用している以上、クラウドセキュリティ対策は必要です。攻撃者は企業の規模ではなく、設定の不備や認証の弱さをねらうため、対策が手薄な中小企業がかえって標的になることもあります。人員や予算が限られる場合も、多要素認証の有効化や公開範囲の点検など、追加費用を抑えて始められる対策から着手することで、主要なリスクを下げられます。
Q. ゼロトラストとクラウドセキュリティはどのような関係にありますか？
A. ゼロトラストは、「社内外を問わず、すべてのアクセスを信頼せず、その都度検証する」というセキュリティの考え方で、クラウドセキュリティを実現するための有力な指針の一つです。社内と社外の境界で守る従来の発想は、どこからでも利用できるクラウドには合いにくいため、アクセスのたびに利用者・端末・権限を確認するゼロトラストの考え方が、ID・アクセス管理やシャドーIT対策を設計する土台になります。
Q. ISMAPやISO/IEC 27017の認証がないクラウドサービスは、利用を避けるべきですか？
A. 認証がないことが直ちに「使ってはいけない」を意味するわけではなく、これらの認証は、事業者のセキュリティ水準を判断するための目安の一つとして使うものです。
ISMAP登録やISO/IEC 27017にもとづく認証は、第三者による評価を経た信頼性の裏づけになりますが、認証のないサービスでも、自社が求める要件や規約・SLAを個別に確認して判断できます。扱うデータの重要度に応じて、認証の有無をどこまで重視するかを決めるとよいでしょう。
Q. 業務での生成AIサービスの利用も、クラウドセキュリティの対象になりますか？
A. 生成AIサービスの多くはクラウド経由で提供されるため、その業務利用もクラウドセキュリティの対象になります。特に、情報システム部門が把握しないまま従業員が個人契約の生成AIに業務データを入力する使い方は、シャドーITと同じ情報漏えいのリスクを抱えます。利用してよいサービスと、入力してよい情報の範囲を定めたルールを整備し、利用実態を可視化することが対策になります。
Q. クラウドセキュリティ対策は、情報システム部門だけで完結できますか？
A. クラウドセキュリティは、情報システム部門の技術的な対策だけでなく、従業員一人ひとりの運用と経営層の関与が揃って初めて機能します。多要素認証の設定や公開範囲の点検は情報システム部門が主導できますが、パスワードの適切な管理やフィッシングへの注意、許可されたサービスの利用といった人の面の対策は全社の協力が欠かせません。利用ルールの整備と定期的な教育によって、組織全体でリスクを下げることが重要です。
社内セキュリティ・クラウド対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、ID・アクセス管理やSaaS管理など、クラウド利用を守るサービスの最新資料を無料で一括請求できます。料金や機能、対応範囲を各社の資料でまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
