クラウドサービスは、いまや多くの企業が業務の土台として使う存在になりました。総務省の令和5年通信利用動向調査でも、クラウドサービスを利用する企業の割合は8割に近づいています。一方で、導入を任された担当者が「クラウドにして情報が漏れることはないのか」と社内から問われたとき、具体的なリスクをその場で説明できず戸惑う場面は少なくありません。
出典・参考資料（1件）
クラウドには、オンプレミス（自社運用）とは種類の異なるリスクや、採用そのものに伴う構造的なデメリットがあります。こうした弱点を具体的に把握しておくことは、導入可否の判断にも、導入後の対策にも欠かせません。
本記事では、クラウド特有のデメリット・リスクの中身を原因と影響まで一覧で整理し、オンプレミスとの違いと責任共有モデル（どこからが自社の責任か）、各リスクに自社でできる対策までを解説します。社内説明の材料や、対策を検討する際の材料としてご活用ください。
目次
一括ダウンロードする
クラウド特有のデメリット・リスク一覧（事故・セキュリティ上の危険）
はじめに、クラウドを利用することで生じる事故・セキュリティ上の危険を1つずつ見ていきます。それぞれ「何が原因で起きるのか」「起きると何が困るのか」をあわせて確認すると、自社でどこに備えるべきかが見えてきます。クラウド採用そのものの損得（ベンダーロックインなど）は性質が異なるため、次の章で別に扱います。
IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2025」でも、不注意による情報漏えいは組織向けの脅威として挙げられ続けています。クラウド利用の広がりとともに、設定や運用のミスが実際の被害につながる場面が増えています。
出典・参考資料（1件）
まず、クラウドで起きやすい主なリスクを、原因と起きると困ることをあわせて一覧にします。各項目の詳しい内容と対策は、このあと1つずつ解説します。
| リスク | 設定ミスによる情報漏えい | 不正アクセス・乗っ取り | 内部不正 | データ消失 | サービス停止 | シャドーIT |
|---|---|---|---|---|---|---|
| 主な原因 | 公開・権限設定の誤り、既定値のままの利用 | 認証情報の窃取、多要素認証の未設定 | 過剰な権限、アクセス状況の把握不足 | 誤操作、事業者側の障害、ランサムウェア | 事業者側のシステム障害 | 無許可のクラウド利用 |
| 起きると困ること | 個人情報・機密情報がインターネット上に流出する | データの閲覧・改ざん・持ち出しにつながる | 従業員・退職者がデータを持ち出す | 重要な業務データを失う | 復旧を自社で制御できず業務が止まる | 管理外でのデータ漏えい・消失に気づけない |
設定ミスによる情報漏えい
クラウドで最も多い事故の原因が、設定ミスです。アクセス権限や公開範囲の設定を誤ったまま運用すると、本来は限られた人しか見られないはずのデータが、インターネット上で誰でも閲覧できる状態になります。総務省の資料でも、クラウドの設定ミスによる代表的なリスクとして、まず情報漏えいが挙げられています。
クラウドの設定ミスによるリスクで代表的なものは、情報漏洩が起きることです。特に、個人情報や機密情報が漏洩するとより深刻な事態になります。
出典：クラウドの設定ミス対策ガイドブック｜総務省
設定ミスが起こりやすい理由の1つが、既定値（デフォルト値）のまま使ってしまうことです。総務省の同ガイドブックは、デフォルト値が安全な値とは限らず、何も設定しないまま使った結果、情報が漏えいした国内の事例があると指摘しています。導入しただけで安全になるわけではない、という点が見落とされやすいリスクです。
出典・参考資料（1件）
不正アクセス・アカウントの乗っ取り
クラウドサービスはインターネット経由でどこからでも利用できる反面、認証情報さえ分かれば第三者も同じ入り口から侵入できます。パスワードの使い回しやフィッシングによる認証情報の窃取、多要素認証を設定していないアカウントが狙われると、アカウントを乗っ取られ、保存したデータの閲覧・改ざん・持ち出しにつながります。
総務省のガイドブックは、設定ミスから起こり得る脅威として、情報漏えいのほかに管理者のID・パスワード漏えいによるシステムの乗っ取りや停止まで含まれるとしています。入り口の認証が弱いと、被害は一部のデータにとどまりません。
内部不正による情報の持ち出し
権限を持つ従業員や退職予定者が、業務で正当にアクセスできる立場を使ってデータを持ち出すリスクもあります。クラウドでは必要以上に広い権限を与えたままにしやすく、誰がどのデータにアクセスできるかを把握しきれていないと、内部不正の発見が遅れます。アクセス権限を業務に必要な範囲へ絞り込み、操作ログを残しておくことが抑止につながります。
データ消失
クラウド上のデータは、誤操作による削除、事業者側の障害、ランサムウェアによる暗号化などで失われることがあります。「クラウドに預けていれば消えない」と考えがちですが、利用者側の操作ミスや、事業者のバックアップ範囲外のデータは保証されないこともあります。重要なデータは、別の場所にも控えを取っておく運用が欠かせません。
ランサムウェアはバックアップごと被害に及ぶこともあるため、予防・検知・感染時の対応を体系的に知りたい方は、以下の記事をあわせてご覧ください。
サービス停止・事業者側の障害
クラウドは事業者のシステム上で動くため、事業者側で大規模障害が起きると、自社では対処できないまま業務が止まります。復旧の時間や手順を自社でコントロールできない点は、自社運用にはない弱点です。基幹業務をクラウドに載せる場合は、停止したときの業務影響と代替手段をあらかじめ想定しておく必要があります。
シャドーIT
シャドーITとは、情報システム部門が把握・許可していないクラウドサービスを、従業員が業務で勝手に使っている状態を指します。無料のファイル共有やチャットツールに業務データを置くと、会社の管理の外でデータが扱われ、漏えいや消失が起きても気づけません。利用するサービスを棚卸しし、認める範囲を決めておくことが対策の起点になります。
セキュリティ以外のデメリット｜クラウド採用そのものの損得・向き不向き
ここまでは事故・攻撃に関わるリスクを見てきました。クラウドのデメリットにはもう1つ、採用・運用そのものに伴う構造的な不自由さがあります。情報漏えいのような事故とは別の軸として、契約や運用の観点から損得と向き不向きを整理します。これらは特定のサービスに限らず、クラウド利用に共通して生じやすい性質です。
ベンダーロックイン（他サービスへ移りにくい）
一度あるクラウドサービスで業務を組み立てると、別のサービスへ乗り換えるのが難しくなります。米国立標準技術研究所（NIST）の資料は、SaaS間ではデータの書き出し・取り込みの形式が完全には互換でないことがあると指摘しています。時間をかけて作り込んだ業務ルール・画面設定・連携スクリプトもそのサービス固有で、容易には移せません。使い込むほど移行の負担が増える点が、ベンダーロックインの実態です。
解約時のデータ移行・エクスポート
サービスをやめるときに、預けたデータをどう取り戻すかも事前に確認しておきたい点です。NISTの資料によると、規約違反などを理由に事業者側から利用を打ち切られた場合、多くの事業者はクラウドに残ったデータを保全する義務を負わないとしています。
自主的に利用をやめた場合でも、データを意図的に消さない期間はおおむね30日程度が一般的と説明されています。移行の段取りは、契約を続けているうちに進めておく必要があります。
SLA・可用性の限界
多くの事業者は、SLA（サービス品質保証）として稼働率（可用性）を99.5%から100%の範囲で提示しています。ただしNISTは、この割合がどう計算されるかには注意が必要だとしています。
さらに、約束した稼働率を満たせなかった場合の補償は、調査対象の標準的な契約では将来の利用分に充てるサービスクレジットにとどまり、返金やそれ以外の救済は用意されていないとされています。止まったときに金銭で埋め合わされるとは限らない、という前提で考える必要があります。
契約・コスト面の制約
一般的な利用者にとって、クラウドの料金体系や利用規約は交渉できないのが通常だとNISTは述べています。事業者は規約をいつでも変更でき、価格も限られた事前通知で改定できる、とされています。利用量に応じた従量制は、使った分だけ払える反面、月ごとの費用が読みにくく想定より膨らむことがあるため、契約前に料金の決まり方と規約変更の扱いを確認しておくと安心です。
カスタマイズ・証跡取得の制約
クラウド、特にSaaSは、事業者が用意した機能の範囲で使うことが前提です。自社の業務に合わせた細かいカスタマイズができない、監査で必要な操作ログを十分な期間・粒度で取り出せない、といった制約が出ることがあります。自社運用なら自由に変えられた部分が、クラウドでは事業者の提供範囲に縛られる点は、導入前に業務要件と突き合わせておきたいポイントです。
クラウドで起きた情報漏えい事例と被害規模
ここまで挙げたリスクが、実際にどの程度の規模で起きているのかを見ておきます。総務省のサイバーセキュリティタスクフォースの資料は、クラウドサービスの設定ミスに起因する主な事故を、被害規模と原因つきで一覧にしています。社内で導入可否を説明する際の、具体的な材料になります。
出典：クラウドサービス利用時のセキュリティ向上に関する取組について（資料30-2）｜総務省 サイバーセキュリティタスクフォース
- 2018年５月 ホンダのインド法人 Honda Car India において、クラウド上に保管していた5万件以上の顧客情報が公開状態に設定されていた。
- 2019年７月 米国キャピタル・ワン銀行において、クラウドサービスの設定ミスにより１億件以上の個人情報が流出。
- 2020年12月 PayPayにおいて、「アクセス権限の設定不備」により最大約2,000万件の情報が漏えいした可能性。
- 2020年12月 楽天、楽天カード及び楽天Edyにおいて、「クラウド型営業管理システムの利用におけるセキュリティ設定の不備」により最大約149万件の情報が漏えいした可能性。
- 2021年２月 Freeeにおいて、「権限設定の不備」により2,898件の個人情報が第三者によるアクセス可能な状態にあった（その後、当該情報へのアクセスはなかったと発表）。
いずれも原因は、アクセス権限や公開範囲の設定不備といった、利用者側の設定に関わるものである点が共通しています。クラウドの事故は高度な攻撃だけで起きるのではなく、日常の設定・運用の見落としから生じることが多いと分かります。では、クラウドはオンプレミスと比べて本当に危ないのか、どこまでが自社の設定責任なのか。このあとのオンプレミスとの違い・責任共有モデルの章で整理します。
オンプレミスとの違い
「クラウドは危険、オンプレミスは安全」と単純に捉えるのは正確ではありません。両者はリスクの種類と、対策を担う範囲が違います。主な違いを観点ごとに整理すると、次のとおりです。
| 観点 | 管理・対策の範囲 | 対策の自由度 | 運用・保守の負担 | 障害・復旧の主導権 | 主なリスクの出どころ |
|---|---|---|---|---|---|
| オンプレミス | 物理・OS・アプリ・データまで自社 | 高い（自由に設計できる） | 自社で負う（人員・知識が必要） | 自社でコントロールできる | 自社の構築・運用 |
| クラウド | 利用形態に応じて事業者と分担（責任共有モデル） | 事業者が提供する範囲に依存する | 基盤の運用・保守は事業者が担う | 事業者側の障害は自社で対処できない | 利用者の設定ミス・権限設定＋事業者側の障害 |
※一般的な整理です。実際の分担や運用は、利用するサービス・契約により異なります。
オンプレミスはすべてを自前でまかなう必要がある一方、クラウドは基盤の運用やハードウェアの保守を事業者に任せられ、担当者の負担を抑えられます。総務省の調査でも、クラウドを利用した企業の約9割が「効果があった」と回答しています。ただしこれは導入の効果に対する評価であり、安全性が自動的に確保されるという意味ではありません。
クラウドでは、対策の一部を事業者に委ねる分、どこまでが自社の責任かが分かりにくくなります。利用形態（SaaS・PaaS・IaaS）によって自社が管理する範囲も変わり、この線引きを曖昧にしたまま使うと、設定の抜け漏れが事故につながります。
このように、クラウドが一方的に危険なわけではなく、対策の担い手と範囲が移るということです。次章の責任共有モデルで自社の守備範囲を押さえ、適切に設定・運用できれば、クラウドでも安全性は確保できます。
責任共有モデル｜どこからが自社の責任か
クラウドのセキュリティは、事業者と利用者が責任を分担するという考え方が基本になります。これを責任共有モデルと呼びます。どこまでを事業者が守り、どこからを自社が守るのかを理解することが、設定ミスを防ぐ出発点です。
クラウドのセキュリティの確保については、まず、サービスの提供者と利用者とが、責任を分担するという考え方が重要です。このような考え方を「責任共有モデル」と呼びます。（中略）また、ＳａａＳ、ＰａａＳ、ＩａａＳといったクラウドサービスの種類によって責任分担の範囲が異なります。
出典：クラウドの設定ミス対策ガイドブック｜総務省
利用形態ごとに、自社が管理・制御する範囲は次のように変わります。SaaSでは自社が設定する範囲が限られる一方、IaaSでは自社の管理範囲が自社運用に近いところまで広がります。
| 利用形態 | SaaS（アプリケーションを利用） | PaaS（開発・実行環境を利用） | IaaS（インフラを利用） |
|---|---|---|---|
| 自社が管理・制御する主な範囲 | ユーザー固有のアプリ設定の範囲に限られる | 導入したアプリと、その実行環境の設定 | OS・ストレージ・導入アプリまで広く制御（自社運用に近い） |
| 自社が設定する主な項目 | ユーザー・権限・ロール、パスワード/ログインポリシー、共有設定、アプリケーションの設定 | アプリケーションの設定、データベースの設定、ID・アクセス管理、ロギング | ID・アクセス管理、ロギングとモニタリング、ストレージ、ネットワーク、鍵管理、仮想マシン |
※管理・制御する範囲はNIST SP 800-145の定義、設定項目は総務省「クラウドの設定ミス対策ガイドブック」の設定項目例にもとづく一般的な整理です。実際の分担は契約・サービスにより異なります。
総務省のガイドブックは、自社が設定する項目として、ID・アクセス管理、ロギングとモニタリング、鍵管理、SaaSの共有設定などを具体的に挙げています。情報漏えい事例の多くはこれらの設定の誤りから起きており、ここが自社の守備範囲だと理解しておくことが重要です。
（IaaS＋PaaSの設定項目例）ＩＤとアクセス管理／ロギングとモニタリング／オブジェクトストレージ／インフラ管理／仮想マシン（ＶＭ、ＶＰＳ）／ネットワーク／セキュリティ等の集中管理／鍵管理／（ＰａａＳが提供する）アプリケーションの設定／データベースの設定／コンテナの設定
出典：クラウドの設定ミス対策ガイドブック｜総務省
設定の一部をシステム構築を委託するSI事業者に任せる場合も、注意が必要です。総務省のガイドブックは、SI事業者が行った設定であっても、最終的な責任は利用者が負うことになるため、利用者も委託先の設定内容に注意しておく必要があるとしています。外部に任せても、自社の責任がなくなるわけではありません。
各リスクに効く対策（デメリット→打ち手の対応）｜まず自社でやること
ここまで見たリスク・デメリットに対して、自社側でできる対策を対応づけて整理します。まずは自社運用で手当てできる基本から押さえると、どこに製品やサービスで補うべきかも見えてきます。総務省のガイドブックは、特に重要な設定ルールとして、ユーザーアカウントの管理・アクセス管理・情報公開のルールの3点を挙げています。
| 対策 | 設定ミスによる情報漏えい | 不正アクセス・乗っ取り | 内部不正 | データ消失 | サービス停止 | シャドーIT | ベンダーロックイン・解約時のデータ移行 | SLA・可用性の限界 | 契約・コストの制約 | カスタマイズ・証跡取得の制約 |
|---|---|---|---|---|---|---|---|---|---|---|
| 自社でできる主な対策 | 既定値のまま使わず公開・共有設定を点検、重要な設定ルールの策定、設定内容の定期チェック | 多要素認証の導入、パスワードポリシーの強化、ログインの監視 | アクセス権限を業務に必要な範囲へ最小化、操作ログの取得・保全 | 別の場所へのバックアップ、復旧手順の整備 | 停止時の業務影響と代替手段の想定、重要業務の分散 | 利用サービスの棚卸し、許可する範囲と申請フローの整備 | データの書き出し形式の確認、移行手順の事前整備、契約・規約の確認 | 契約前にSLAの算定方法と補償範囲を確認、停止時の業務影響と代替手段を想定 | 従量課金の利用状況をモニタリング、予算・上限の設定、規約変更の扱いを確認 | 導入前に業務要件・監査で必要なログ要件とサービスの提供範囲を突き合わせ |
※自社でできる基本的な対策の整理です。対策の要否・優先度は、扱う情報の重要度や利用形態により異なります。
これらの対策には、自社の運用ルールや設定の見直しで対応できるものと、製品・サービスの導入で補うほうが現実的なものがあります。たとえば多要素認証やアクセス制限、設定の継続的なチェックは、専用のサービスを使うことで負担を抑えやすくなります。
一括ダウンロードする
自社だけで対策しきれない部分を補うサービスの選び方
自社の運用だけでは手が回らない部分は、専用のソリューションで補う選択肢があります。ここでは、どんな種類のサービスがどのリスクに効くのかを整理し、自社に合うものを選ぶ考え方を示します。
ソリューション類型と、効くリスクの対応
総務省のガイドブックは、設定ミス対策に使えるツールとして、CASB・CSPM・SSPMを次のように説明しています。それぞれ守備範囲が異なります。
出典：クラウドの設定ミス対策ガイドブック｜総務省
- ＣＡＳＢ（キャスビーと読みます）は、クラウドサービスの利用状況を可視化して、定期的にチェックしてくれるツールです。アプリケーションやデータへのアクセスを監視したり、セキュリティポリシーに照らして、リスクを検出する機能もあります。
- ＣＳＰＭは、クラウドサービスのうち、ＩａａＳ（インフラを提供するサービス）の監査ツールです。クラウドの設定を自動的にチェックし、設定ミスやコンプライアンス違反等のリスクを特定してくれます。
- ＳＳＰＭは、クラウドサービスのうち、ＳａａＳ（アプリケーションを提供するサービス）の監査ツールです。各アプリケーションの設定やコンプライアンス状況を管理して、脅威を検出することができます。
CSPM・SSPM・CASBは守備範囲が重なる部分もあり、名前だけでは違いが分かりにくいツールです。それぞれが何を対象に何を見つけるのか、製品選びで見るべき点までは以下の記事で整理しています。
SSPMとは？SaaSの設定不備を見つける製品18選を比較｜CSPM・CASBとの違いと選び方を解説
Microsoft 365 の共有設定、Salesforce の権限、Slack の外部連携アプリ。SaaS が増えるたびに管理画面がひとつ増え、設定が今どうなっているかを確かめるには、そのすべてを順番に開いていくしかありません。退職者のア…
不正アクセスやアカウント乗っ取りへの備えとしては、IDaaS（クラウド型のID基盤）という選択肢があります。複数のクラウドサービスへのログインを一本化し、多要素認証やアクセス制限、ID管理をまとめて提供するもので、認証の強化とアカウント管理の負担軽減を同時に図れます。
総務省のガイドブックや国際機関の報告でも、多要素認証の設定不備やアカウント管理の不備は代表的な設定ミスとして挙げられており、この領域を手当てする手段として有効です。
自社に合う対策・サービスの選び方
ソリューションを選ぶときは、自社がどのリスクに最も備えたいかが起点になります。SaaSを多数使っていて認証やアカウント管理が課題ならIDaaS、IaaSの設定ミスが不安ならCSPM、クラウド全体の利用状況を把握したいならCASB、というように、課題と守備範囲を照らし合わせると絞り込みやすくなります。
クラウド向けのツールに限らず、端末・ネットワーク・ID・データなど守る対象ごとに社内のセキュリティ対策を幅広く比較したい場合は、以下の記事で各タイプの特徴と選び方を解説しています。導入を検討される方はあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
そのうえで、自社の利用形態への対応、既存環境との連携、導入・運用の負担、サポート体制を確認するとよいでしょう。複数のサービスを同じ観点で見比べたい場合は、上記の社内セキュリティ対策全体の比較もあわせてご覧ください。ここでは一例として、クラウドのアクセス制限・認証強化・ID管理をまとめて担えるIDaaSを1つ取り上げ、確認したい観点に沿って紹介します。
| 項目 | CloudGate UNO |
|---|---|
| 提供形態 | クラウド型ID基盤（IDaaS） |
| 主な機能 | SSO（シングルサインオン） 多要素認証・パスワードレス認証 アクセス制限 ID管理・プロビジョニング |
| 対応認証方式 | FIDO2/パスキー、生体認証（Windows Hello・Touch ID/Face ID）、OTP、CloudGate Authenticator |
| パスワードレス対応 | 対応（全プラン・全ユーザーで無制限） |
| アクセス制限 | 端末・場所・時間の3軸 （IP制限・デバイス証明書・国/地域・時間帯・ブラウザ制限） |
| 初期費用 | 要問い合わせ（全プラン別途。金額は非公開） |
| 月額費用 | 400〜600円/ユーザー（税抜） Standard Plus 400円／Enterprise Plus 500円／Smart Pack 600円 |
| 無料トライアル | 30日間 |
| 主なセキュリティ認証 | ISMS（ISO/IEC 27001、IS 676799）、Pマーク、FIDO2認定 |
| 詳細情報 | 公式資料を見る |
CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、株式会社インターナショナルシステムリサーチが自社開発するクラウド型のID基盤です。一度の認証で複数のクラウドサービスへアクセスできるシングルサインオンを軸に、多要素認証やパスキー（FIDO2）によるパスワードレス認証、アクセス制限、ID管理をまとめて提供します。
特徴は、端末・場所・時間の3つの軸でアクセスを細かく制限できる点です。私用端末からのアクセスを禁止したり、特定の拠点や時間帯に利用を限定したりでき、不正アクセスや情報漏えいへの備えになります。認証には、フィッシングに強いパスキーのパスワードレス認証を採用しています。
SSO・アクセス制限・多要素認証・ID管理・プロビジョニング（アカウントの自動作成・権限付与）は、最も手頃なStandard Plus（月額400円/ユーザー。税抜、税込440円）を含む全プランに標準で含まれます。公式サイトによると、導入実績は1,400社以上で、直近1年間の認証成功は1億回以上とされています（いずれも2026年11月時点）。
オンプレミスからクラウドへ移行し、複数のSaaS利用を始めた企業に向いたサービスです。30日間の無料トライアルも用意されています。
出典・参考資料（1件）
認証強化やパスワードレス化による運用負担の軽減は、導入現場ではどの程度表れるのか。開発元のインターナショナルシステムリサーチへの取材では、次のような事例が挙げられました。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
まとめ
クラウドには、設定ミスによる情報漏えい・不正アクセス・データ消失・サービス停止といった事故のリスクと、ベンダーロックインや解約時のデータ移行、SLAの限界、契約・コストの制約といった採用そのものの構造的なデメリットがあります。どちらも、オンプレミスとは種類の異なる弱点です。
重要なのは、責任共有モデルで自社の守備範囲を把握し、設定・運用の基本を押さえたうえで、手が回らない部分を適切なサービスで補うことです。自社の課題に合う対策製品を比較検討する際は、資料を取り寄せて機能や料金を見比べると判断しやすくなります。
一括ダウンロードする
よくある質問（FAQ）
Q. 責任共有モデルとは何ですか？
A. 責任共有モデルとは、クラウドのセキュリティを事業者と利用者が分担して守るという考え方です。 事業者は基盤の運用やハードウェアの保守を担い、利用者はユーザー・権限の管理や公開・共有設定などを担います。SaaS・PaaS・IaaSという利用形態によって自社が担う範囲は変わり、SaaSでは自社が設定する範囲が限られる一方、IaaSでは自社運用に近いところまで広がります。
Q. クラウドのセキュリティはどこからが自社の責任になりますか？
A. ID・アクセス管理、ログの取得・保全、暗号鍵の管理、SaaSの共有・公開設定といった利用者側の設定が、自社の責任範囲になります。 公表された情報漏えい事例の多くは、これらの設定の誤り（アクセス権限や公開設定の不備）から起きており、ここが自社の守備範囲だと理解しておくことが重要です。
設定をSI事業者に委託した場合でも、最終的な責任は利用者が負うため、委託先の設定内容も自社で確認しておく必要があります。
Q. クラウドの設定ミスによる情報漏えいはどう防げばよいですか？
A. 既定値（デフォルト値）のまま使わず、公開・共有設定やアクセス権限を点検し、定期的にチェックすることが基本の対策です。 デフォルト値は安全な値とは限らず、何も設定しないまま使った結果、情報が漏えいした国内の事例もあります。
自社だけで継続的な点検が難しい場合は、設定ミスを自動で検出するCSPM（IaaS向け）やSSPM（SaaS向け）、利用状況を可視化するCASBといったツールで補う方法があります。
Q. クラウドはオンプレミスに戻した方が安全ですか？
A. 「クラウドは危険、オンプレミスは安全」とは言い切れず、戻すべきかは責任範囲と自社の対策体制で判断します。 両者はリスクの種類と、対策を担う範囲が違うだけで、オンプレミスはすべてを自前でまかなう必要がある一方、クラウドは基盤の運用やハードウェアの保守を事業者に任せられます。
総務省の調査ではクラウドを利用した企業の約9割が「効果があった」と回答しており、責任共有モデルで自社の守備範囲を押さえて適切に設定・運用できれば、クラウドでも安全性は確保できます。
Q. 中小企業でもクラウドセキュリティ対策は必要ですか？
A. クラウドの事故の多くは日常の設定・運用の見落としから起きるため、対策は企業規模にかかわらず必要です。 設定ミスによる情報漏えいや不正アクセスは、高度な攻撃がなくても設定の誤りから生じます。専任者を置きにくい場合でも、まずは多要素認証の導入、公開・共有設定の点検、重要なデータのバックアップといった自社でできる基本から着手でき、手が回らない部分は専用のサービスで補えます。
Q. クラウドのベンダーロックインを避けるにはどうすればよいですか？
A. 契約前にデータの書き出し形式を確認し、移行の手順と契約・規約の内容をあらかじめ把握しておくことが有効です。 クラウドは使い込むほど業務ルールや画面設定がそのサービス固有になり、乗り換えが難しくなります。
自主的に解約してもデータを意図的に消さない期間はおおむね30日程度が一般的とされ、事業者側から利用を打ち切られた場合はデータを保全する義務を負わないこともあるため、移行の段取りは契約を続けているうちに進めておく必要があります。
Q. クラウドに預けたデータが消えることはありますか？
A. クラウド上のデータも、誤操作による削除や事業者側の障害、ランサムウェアによる暗号化で失われることがあります。 「クラウドに預けていれば消えない」と考えがちですが、利用者側の操作ミスや、事業者のバックアップ範囲外のデータは保証されないこともあります。重要なデータは、別の場所にも控えを取っておく運用が欠かせません。
クラウドセキュリティ対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、クラウドのアクセス制限・多要素認証・ID管理などに対応するサービスの最新資料を無料で一括請求できます。機能や料金を見比べて、自社に合う対策を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
