自社で利用するクラウドサービスが増えるほど、「何を・どこまで自分たちで守ればよいのか」が見えにくくなります。SaaS や社内システムの基盤をクラウドへ移すなかで、設定ミスによる情報漏えいやアカウントの不正利用といった事故が、規模を問わず起きています。専任のセキュリティ担当を置けず、情報システムや総務の担当者が兼任で対応している企業では、なおさら「何から手を付ければよいか」で立ち止まりがちです。
クラウドのセキュリティは、クラウド事業者と利用者が責任を分担する「責任共有モデル」が前提になります。自社が担う範囲を正しく理解したうえで、認証の強化・アクセス権の管理・設定の点検といった対策を、優先順位をつけて進めることが重要です。
本記事では、企業が取るべきクラウドセキュリティ対策の全体像を一覧で示し、責任共有モデルで自社が負う範囲、クラウド利用で起きる主なリスク、各対策の具体的な中身、そして何から着手すべきかの順番までを解説します。専任のセキュリティ担当がいない企業でも、順を追って進められる構成です。
目次
一括ダウンロードする
クラウドセキュリティ対策とは？企業が取るべき対策の全体像
クラウドセキュリティ対策とは、SaaS やクラウド基盤（IaaS・PaaS）を業務で安全に使うために、アカウント・データ・クラウド側の設定を守るための取り組みの総称です。守るべき対象が自社の社内ネットワークの中に閉じないため、機器を囲って守る従来の発想ではなく、認証とアクセス権、そして設定の管理が中心になります。
企業が取るべき対策は、おおむね次の8つに整理できます。まずは全体像として一覧で押さえ、それぞれの中身は後半で具体的に解説します。
- 認証の強化：多要素認証やパスワードレスで、なりすましを防ぐ
- アクセス権の最小化：役割ごとに操作できる範囲を絞り、退職者のアカウントを放置しない
- 設定の定期点検：公開範囲やアクセス制御の設定ミスを定期的に見つけて直す
- データの暗号化：万一漏えいしても、そのままでは読めないようにする
- バックアップ：消失・改ざんに備えて複数世代を保全する
- ログの監視・脅威検知：不審な操作やアクセスを記録し、早期に気づく
- 従業員の教育：シャドーIT（部門が無断で使うクラウド）や誤操作を減らす
- 事業者・サービスの選定：セキュリティ認証やサポート体制を基準に選ぶ
これらを闇雲に進めるのではなく、「どこまでが自社の責任か」を確かめることが出発点になります。次章で責任共有モデルを押さえたうえで、リスク・各対策・着手順の順に見ていきます。
どこまでが自社の責任か：クラウドの責任共有モデル
クラウドのセキュリティは、事業者がすべてを守ってくれるわけではありません。総務省は、クラウド事業者と利用者が責任を分担する「責任共有モデル」の考え方を示しています。何を自社でやるべきかは、この分担を理解するところから決まります。
クラウドのセキュリティの確保については、まず、サービスの提供者と利用者とが、責任を分担するという考え方が重要です。このような考え方を「責任共有モデル」と呼びます。責任共有モデルの考え方は現在多くのクラウドサービス事業者に採用されています。また、ＳａａＳ、ＰａａＳ、ＩａａＳといったクラウドサービスの種類によって責任分担の範囲が異なります。
出典：クラウドの設定ミス対策ガイドブック｜総務省
責任の分担は、クラウドサービスの提供形態（SaaS・PaaS・IaaS）によって変わります。下表は、大手クラウド事業者である Microsoft（Azure）が公開する責任共有モデルをもとに、守るべき領域ごとに「利用者」「共有」「事業者」のどこが担うかを整理したものです。
事業者によって層の呼び方や線引きは多少異なりますが、「利用者側に近い層ほど自社の責任、基盤に近い層ほど事業者の責任」という考え方は共通します。
| 責任領域 | データ（顧客データ） | 構成と設定 | IDとユーザー管理 | クライアント端末 | アプリケーション | ネットワーク制御 | OS | 物理基盤（ホスト・ネットワーク・データセンター） |
|---|---|---|---|---|---|---|---|---|
| SaaS | 利用者 | 利用者 | 利用者 | 共有 | 共有 | 事業者 | 事業者 | 事業者 |
| PaaS | 利用者 | 利用者 | 利用者 | 利用者 | 共有 | 共有 | 事業者 | 事業者 |
| IaaS | 利用者 | 利用者 | 利用者 | 利用者 | 利用者 | 利用者 | 利用者 | 事業者 |
※ Microsoft（Azure）が公開する責任共有モデルをもとに作成。ここでの「責任」は設定・運用・監視を誰が担うかを表すもので、契約上の法的責任を示すものではありません（2026年11月時点）。
表のとおり、データ・設定・ID とユーザー管理は、SaaS・PaaS・IaaS のいずれでも利用者の責任です。Microsoft も、デプロイの種類に関係なくデータ・端末・アカウント・アクセス管理の責任は常に利用者が負うとしています。このため、どのクラウドを使っても、本記事で挙げる認証・アクセス権・設定点検・暗号化といった対策は、自社でやるべき範囲に入ります。
注意したいのは、設定作業を外部のSIer（システム構築事業者）に委託した場合です。総務省のガイドブックは、委託先が行った設定であっても最終的な責任は利用者が負うとしています。委託したから安心、とはならない点に留意してください。
ＳＩ事業者が行った設定であっても、最終的な責任は利用者が負うことになることから、利用者もＳＩ事業者の行った設定に注意しておく必要があります。
出典：クラウドの設定ミス対策ガイドブック｜総務省
出典・参考資料（2件）
クラウド利用で起きる主なセキュリティリスク
ここからは、なぜ各対策が必要なのかを理解するために、クラウド利用で実際に起きる主なリスクを整理します。後半の各対策は、ここで挙げるリスクに対応しています。
設定ミスによる情報の公開事故
クラウドは設定項目が多く、一つの見落としが重大な漏えいにつながります。ストレージのアクセス権を公開のまま放置して情報が外部から見えてしまう、管理者権限の設定が甘く外部から侵入される、といった形で起きます。
総務省のガイドラインも、オブジェクトストレージの「アクセス権設定を厳密に行わずに情報漏えいを起こすリスク」や、ID・アクセス管理で「一般利用者と管理者を明確に分離して認証の設定・管理を行わない」ことによるリスクを具体的に挙げています。
どんな設定ミスが多いかは、米国の政府機関（NSA・CISA）が公表した「よくある設定ミス」のリストが参考になります。総務省のガイドブックもこれを引用しており、デフォルト設定のまま使う、ユーザーと管理者の権限を分けない、多要素認証の設定が不十分、ネットワーク共有のアクセス制御が甘い、といった項目が並びます。いずれも後半の「認証の強化」「アクセス権の最小化」「設定の定期点検」で対応できるものです。
アカウントの不正アクセス・なりすまし
クラウドサービスはインターネット経由でどこからでも使えるため、IDとパスワードが漏れると外部から直接ログインされます。使い回したパスワードの流出や、フィッシングによる窃取が入口になりやすく、認証をパスワードだけに頼っている状態はリスクが高い状態です。多要素認証やアクセス制限が、この入口を塞ぐ対策になります。
データの消失
誤操作による削除、ランサムウェアによる暗号化、クラウド側の障害などで、データが失われることがあります。クラウドに預けていればバックアップも自動、とは限らず、保全の範囲は契約やプランによって異なります。消失に備えた自社側のバックアップが必要です。
シャドーIT（無断利用）
シャドーITとは、情報システム部門が把握しないまま、各部門や個人が業務でクラウドサービスを使う状態を指します。管理の目が届かないため、重要なデータが安全でない場所に置かれたり、退職後もアクセスが残ったりします。利用状況の可視化と、従業員への教育・ルール整備で減らします。
内部不正・権限の放置
退職者のアカウントを失効させずに放置する、必要以上の権限を付与したままにする、といった管理の緩みは、内部からの持ち出しや不正利用につながります。役割ごとに権限を絞り、アカウントの作成から削除までを管理することが対策になります。
コンプライアンス違反
個人情報や機密データをクラウドで扱う場合、関連する法令や業界のルール、データの保存場所（国・地域）への配慮が求められます。要件を満たさないまま運用すると、規制違反や取引先からの信頼低下につながります。扱うデータの性質に応じて、保存先や管理体制を確認しておく必要があります。
対応は、データの保存先（データセンターの所在地）の確認と、後述する事業者選定でのセキュリティ認証の確認が中心になります。
取るべきクラウドセキュリティ対策【具体策】
ここからは、前章のリスクに対応する具体的な対策を、認証から順に解説します。それぞれ「何をする対策か」と「まずどこから着手するか」を押さえてください。8つ目の「事業者・サービスの選定」は、後半の「セキュリティに強いクラウドサービス・事業者の選び方」で扱います。
1. 認証の強化（多要素認証・パスワードレス）
なりすましを防ぐ最も基本的な対策が、認証の強化です。パスワードに加えて、スマートフォンアプリやワンタイムパスワード、生体認証などを組み合わせる多要素認証（MFA）を有効にします。さらに、パスワード自体を使わず、パスキー（FIDO2）や生体認証でログインするパスワードレス認証に切り替えれば、パスワードの使い回しや流出、フィッシングの入口そのものを減らせます。
複数のクラウドサービスを使う場合は、一度の認証で各サービスにアクセスできるシングルサインオン（SSO）と組み合わせると、安全性と利便性を両立できます。
多要素認証（MFA）の仕組みや、認証の3要素、よく混同される二段階認証との違いを基礎から押さえたい場合は、以下の記事で詳しく解説しています。
2. アクセス権の最小化
利用者に与える操作権限を、業務に必要な最小限に絞ります。役割ごとに権限を設計し、管理者権限は限られた人だけに付与します。退職・異動の際にアカウントや権限を速やかに見直すことも重要で、放置された権限は内部不正や乗っ取りの温床になります。前述のとおり、ユーザーと管理者の権限を分けていないことは、公的機関が挙げる代表的な設定ミスの一つです。
まずは管理者権限を持つアカウントを洗い出し、本当に必要な人だけに絞るところから着手すると、影響の大きいリスクを先に減らせます。
3. 設定の定期点検（CSPM・SSPM の活用）
設定ミスは一度直しても、運用のなかで再び生まれます。公開範囲やアクセス制御の設定を定期的に点検し、複数人で確認する体制が有効です。手作業での確認が追いつかない場合は、設定を自動でチェックするツールを使います。
ツールを使う前でも、点検すべき勘所は共通しています。まず、ファイルやストレージの公開範囲が意図せず全体公開になっていないか、退職者や使われていないアカウント・権限が残っていないかを確認します。あわせて、多要素認証が全ユーザーで有効か、監査ログや暗号化が無効化されていないかも、定期的に点検しましょう。
IaaS の設定を監査する CSPM、SaaS の設定を監査する SSPM が代表例で、総務省のガイドブックは CSPM を「クラウドの設定を自動的にチェックし、設定ミスやコンプライアンス違反等のリスクを特定してくれる」ツールと説明しています。
SaaS の設定点検を自動化する SSPM について、CSPM・CASB との違いや具体的な製品の比較まで知りたい場合は、以下の記事で詳しく解説しています。
出典・参考資料（1件）
4. データの暗号化
暗号化は、設定ミスそのものを減らす対策ではなく、万一漏えいが起きても中身を読まれないようにするための備えです。保存するデータと通信する経路の両方を暗号化し、鍵の管理も含めて運用します。総務省のガイドブックも、暗号化の位置づけを次のように整理しています。
暗号化は設定ミスを減らす対策ではなく、設定ミスによる情報漏洩が起きたときのための対策です。情報が盗まれても暗号化してあれば、そのままでは読むことができません。
出典：クラウドの設定ミス対策ガイドブック｜総務省
多くのクラウドサービスは保存データの暗号化を標準またはオプションで用意しているため、まず自社が使うサービスで暗号化が有効になっているかを確認するとよいでしょう。
5. バックアップ
誤削除・改ざん・障害に備えて、データのバックアップを取ります。クラウドサービスにバックアップ機能があれば利用し、重要なデータは社内のストレージや別の場所にも保存して、複数世代を残します。IPA（情報処理推進機構）の手引きも、拡張機能のバックアップの利用、社内ストレージへの保存、複数世代の取得を挙げています。
出典・参考資料（1件）
まずは失うと事業に影響する重要なデータを洗い出し、そのバックアップが取得・復元できる状態かを確認するところから始めます。
6. ログの監視・脅威検知
認証ログや操作ログを記録し、不審なアクセスや設定変更に早く気づける状態にします。総務省のガイドブックは、ミスは避けられないものとして、起こらないようにする「予防」の対策だけでなく、起きてしまったミスを見つける「発見」の対策も必要だとしています。ログの監視は、この「発見的措置」にあたります。
クラウドの利用状況を可視化する CASB（キャスビー）などのツールも、アクセスの監視やリスクの検出、シャドーIT（無断利用）の把握に役立ちます。
出典・参考資料（1件）
7. 従業員の教育
どれだけ仕組みを整えても、使う人の理解がなければ、無断利用（シャドーIT）やパスワードの使い回し、フィッシングへの対応といった人起因のリスクは残ります。利用してよいサービスのルール、パスワードや多要素認証の使い方、不審なメールへの対応を定期的に周知し、組織全体で底上げします。
一括ダウンロードする
何から始める？対策の着手順・優先順位
対策が多く、専任の担当がいないと「どこから手を付ければよいか」で止まりがちです。公的な手引きの考え方に沿うと、次の順序で進めるのが現実的です。IPAの手引きは、クラウド利用のポイントを選択・運用・セキュリティ管理の3段（順に6項目・4項目・5項目）に整理しており、ここでの順番もその流れに沿っています。
まず、自社の責任範囲を確かめることが出発点になります。利用中のサービスが SaaS か IaaS かで、自社が担う範囲は変わります。責任共有モデルに照らして、設定・アクセス権・データの管理のうち自社が負う部分を洗い出しておくとよいでしょう。
次に必要なのが、いま使っているクラウドと設定の棚卸しです。どの部門が何を使っているか（シャドーITを含む）、公開範囲やアクセス権の設定がどうなっているかを一覧にし、明らかな公開ミスや過剰な権限から先に直すのが効果的です。
続いて取り組みたいのが、認証とアクセス権の見直しです。多要素認証の有効化と、可能ならパスワードレスへの移行が要になります。あわせて役割ごとに権限を絞り、退職者のアカウントを失効させることが重要です。入口を塞ぐこの段階が、被害の確率を最も下げます。
そのうえで、暗号化とバックアップによる「起きたとき」への備えが欠かせません。重要なデータの暗号化と、複数世代のバックアップを整えておくと安心です。
さらに、ログの監視・脅威検知と従業員教育は、継続的に行うことが重要です。予防だけでなく、起きたミスを見つける「発見」の仕組みと、人の底上げを運用に組み込むことが求められます。設定は運用のなかで再びずれるため、継続的な設定点検（CSPM・SSPM）もこの段階で位置づけるとよいでしょう。
最後に、これらの観点は事業者・サービスの選定にも反映されます。新たにクラウドを導入・見直す際は、次章の基準でセキュリティに強いサービスを選ぶことが大切です。手作業での管理が負担なら、認証やアクセス制御をまとめて担うサービスの活用も検討するとよいでしょう。
出典・参考資料（2件）
セキュリティに強いクラウドサービス・事業者の選び方
自社で担う対策と並んで、信頼できる事業者を選ぶことも重要です。次の観点で確認します。
セキュリティ認証を取得しているか
第三者による認証は、事業者のセキュリティ対策を外から確かめる目安になります。クラウド分野では、ISMSクラウドセキュリティ認証（ISO/IEC 27017）が、事業者選定に直接なじむ基準です。これは情報セキュリティ全般の認証であるISMS（ISO/IEC 27001）を前提に、クラウド固有の管理策の実施を認証する仕組みです。
ISMS クラウドセキュリティ認証とは、JIS Q 27001 をベースとした従来の ISMS 認証を前提として、その適用範囲内に含まれるクラウドサービスの提供もしくは利用に関して、クラウドサービスに関するガイドラインである JIS Q 27017 に規定されるクラウドサービス固有の管理策が実施されていることを認証する仕組みです。
出典：ISMS ユーザーズガイド（ISMS クラウドセキュリティ認証）｜日本情報経済社会推進協会（JIPDEC）
このほか、政府機関のクラウド調達のために安全性が評価・登録されたサービスを公開するISMAP（政府情報システムのためのセキュリティ評価制度）もあります。ISMAPは本来、各政府機関が登録サービスから調達することを原則とする制度ですが、政府が求める水準を満たすと評価されたサービスの一覧として、民間企業が選定の信頼の目安に参照することもできます。
出典・参考資料（2件）
サポートが手厚く、情報開示が透明か
導入時の設定支援や運用中の問い合わせ対応が整っているかは、専任担当がいない企業ほど重要になります。障害時の連絡体制や稼働状況の開示、セキュリティに関する情報の公開姿勢もあわせて確認します。日本語でのサポートや国内の窓口があるかも、実務上の判断材料になります。
必要なセキュリティ機能が揃い、柔軟に設定できるか
多要素認証やアクセス制限、ログの取得・監視、暗号化といった機能が標準で備わっているか、自社の運用に合わせて設定を調整できるかを確認します。機能が足りないと別のツールで補うことになり、管理が分散します。本記事で挙げた対策を、できるだけまとめて実現できるサービスを選ぶと運用の負担を抑えられます。
クラウドセキュリティ対策を実現するサービスの活用
対策のなかでも、認証の強化・アクセス権の管理・ID管理は、ばらばらのツールで対応すると設定や運用が分散しがちです。これらをまとめて担う ID 基盤（IDaaS）を使うと、入口の対策を一元的に整えられます。ID 基盤には複数の製品がありますが、ここでは認証から ID 管理までを一つで担える代表的な一例として、主なスペックを紹介します。
| サービス名 | CloudGate UNO |
|---|---|
| 提供会社 | 株式会社インターナショナルシステムリサーチ |
| 月額費用 | 400円〜600円/ユーザー（税抜） Standard Plus 400円／Enterprise Plus 500円／Smart Pack 600円 |
| 初期費用 | 要問い合わせ（全プラン別途。金額は公式に記載なし） |
| 対応認証方式 | FIDO2・パスキー、生体認証（Windows Hello・Touch ID／Face ID）、OTP、CloudGate Authenticator |
| パスワードレス対応 | ●全プラン・全ユーザー無制限 |
| アクセス制限 | IP制限・デバイス証明書・国／地域・時間帯・ブラウザ制限 |
| ID管理・プロビジョニング | アカウントの作成・更新・削除を自動化（ライフサイクル管理） Active Directory連携はEnterprise Plus以上 |
| 無料トライアル | 30日間 |
| 主なセキュリティ認証 | ISMS（ISO/IEC 27001、IS 676799）、Pマーク、FIDO2認定 |
| 詳細情報 | 公式資料を見る |
CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO（クラウドゲートウノ）は、株式会社インターナショナルシステムリサーチが自社開発するクラウド型の ID 基盤（IDaaS）です。シングルサインオン（SSO）、多要素認証、パスキー（FIDO2）によるパスワードレス認証、アクセス制限、ID管理（アカウントの自動作成・更新・削除）を一つにまとめて提供します。
本記事で挙げた「認証の強化」「アクセス権の最小化」を中心にカバーするサービスです。
認証面では、パスキーによるパスワードレス認証を全プラン・全ユーザーで無制限に利用できます。SMSやワンタイムパスワードを狙う攻撃が増えるなかで、フィッシングに強い認証方式へ切り替えやすい点が特徴です。SAML 2.0 や OpenID Connect に対応し、Google Workspace や Microsoft 365 など複数のクラウドサービスへ一度の認証でアクセスできます。
アクセス制限は、IPアドレス・デバイス証明書・国/地域・曜日や時間帯・ブラウザといった条件で、ログインできる場所や端末を細かく制御できます。さらに、設定内容を脆弱・許容・良好の3段階で評価して見せる「セキュリティリスク可視化（RAV）」機能を備え、不正アクセスの多くの原因である設定の甘さに気づける仕組みを用意しています。
料金はStandard Plusが月額400円から（1ユーザーあたり、税抜。2026年11月時点）で、30日間の無料トライアルも利用できます。ISMS（ISO/IEC 27001）やFIDO2認定を取得しており、国産の自社開発で日本語のサポートを受けられる点も、専任担当がいない企業にとって選びやすい材料です。
認証をパスワードレスに切り替えることが運用の現場にどう表れるかについて、提供元のインターナショナルシステムリサーチは、導入企業での効果を次のように述べています。
導入と同時にパスワードレス認証に切り替えた企業では、IT部門の業務の約20%を占めていたパスワード関連のヘルプデスク業務が「0%」になったという事例があります。
ここでは認証・ID管理を担うサービスを例に挙げましたが、社内のセキュリティは端末・ネットワーク・データ・監視など、守る対象ごとに適したソリューションが異なります。クラウド対策とあわせて社内全体のセキュリティを見直したい方は、守る対象別にタイプと代表サービス・選び方を整理した以下の記事もご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
クラウドのセキュリティ対策は、まず責任共有モデルで自社が担う範囲を確かめ、認証の強化・アクセス権の最小化・設定の定期点検・暗号化・バックアップ・ログ監視・従業員教育・事業者選定を、優先順位をつけて進めることが基本です。専任担当がいなくても、責任範囲の確認から設定の棚卸し、認証とアクセス権の見直しへと順に着手すれば、被害の確率を着実に下げられます。
特に、なりすましと設定ミスへの対策は効果が大きい一方で、手作業だけでは管理が分散しがちです。認証・アクセス制御・ID管理をまとめて担うサービスも選択肢に入れながら、自社に合った進め方を検討してください。
一括ダウンロードする
よくあるご質問（FAQ）
Q. クラウドセキュリティ対策とは何ですか？
A. クラウドセキュリティ対策とは、SaaS やクラウド基盤（IaaS・PaaS）を業務で安全に使うために、アカウント・データ・クラウド側の設定を守る取り組みの総称です。守るべき対象が社内ネットワークの中に閉じないため、機器を囲って守る従来の発想ではなく、認証の強化・アクセス権の管理・設定の点検が中心になります。
具体的には、認証の強化、アクセス権の最小化、設定の定期点検、データの暗号化、バックアップ、ログの監視、従業員の教育、事業者・サービスの選定という8つの対策に整理できます。
Q. クラウドのセキュリティは事業者がすべて守ってくれるのではないですか？
A. クラウドのセキュリティは事業者と利用者が責任を分担する「責任共有モデル」が前提で、データ・設定・ID とユーザー管理は、SaaS・PaaS・IaaS のいずれでも利用者の責任です。アカウントやアクセスの管理も利用者が担い、事業者が担うのは主に物理基盤やネットワークなど基盤に近い層です。
したがって、どのクラウドを使っても、本記事で挙げた認証・アクセス権・設定点検・暗号化といった対策は自社でやるべき範囲に入ります。詳しくは総務省「クラウドの設定ミス対策ガイドブック」が責任共有モデルの考え方を示しています。
Q. 専任のセキュリティ担当がいない中小企業は、クラウドセキュリティ対策を何から始めればよいですか？
A. まず責任共有モデルで自社の責任範囲を確かめ、次にいま使っているクラウドと設定を棚卸しして明らかな公開ミスや過剰な権限を直し、そのうえで多要素認証とアクセス権の見直しに進むのが現実的です。入口にあたる認証とアクセス権を固める段階が、被害の確率を最も下げます。その後、暗号化・バックアップで「起きたとき」に備え、ログの監視・脅威検知と従業員教育を運用に組み込みます。
この順序はIPA「中小企業のためのクラウドサービス安全利用の手引き」の考え方に沿っています。
Q. クラウドのセキュリティ事故は、どんな原因で起きることが多いですか？
A. クラウドの事故は、アクセス権を公開のまま放置する、権限管理が甘いといった「設定ミス」が代表的な原因です。米国の政府機関（NSA・CISA）がまとめ、総務省のガイドブックも引用する「よくある設定ミス」には、デフォルト設定のまま使う、ユーザーと管理者の権限を分けない、多要素認証の設定が不十分、ネットワーク共有のアクセス制御が甘い、といった項目が並びます。
いずれも「認証の強化」「アクセス権の最小化」「設定の定期点検」で対応できるものです。
Q. クラウドの設定を外部のSIerに委託すれば、セキュリティの責任も任せられますか？
A. 委託先（SI事業者）が行った設定であっても、最終的な責任は利用者が負います。総務省のガイドブックも、利用者はSI事業者の行った設定に注意しておく必要があるとしています。設定作業を委託したから安心とはならず、委託先任せにせず設定内容を自社でも確認できる体制を持っておくことが重要です。
Q. クラウドセキュリティ対策は、多要素認証を有効にすれば十分ですか？
A. 多要素認証はなりすまし対策として有効ですが、それだけでは十分ではありません。多要素認証が塞げるのは不正ログインの入口であり、設定ミスによる情報の公開事故、データの消失、内部不正などには別の対策が必要です。アクセス権の最小化、設定の定期点検、暗号化、バックアップ、ログの監視を組み合わせ、事故を「予防」する対策と、起きたミスを「発見」する対策の両面で備えることが重要です。
Q. セキュリティに強いクラウドサービス・事業者はどう見分ければよいですか？
A. 第三者によるセキュリティ認証の取得状況・サポート体制・必要なセキュリティ機能の3点で確認するのが基本です。クラウド分野では、ISMSクラウドセキュリティ認証（ISO/IEC 27017）が事業者選定に直接なじむ基準で、政府調達向けに安全性を評価・登録するISMAP（政府情報システムのためのセキュリティ評価制度）の登録一覧も、民間企業が信頼の目安に参照できます。
あわせて、日本語サポートや情報開示の透明性、多要素認証・アクセス制限・ログ取得・暗号化といった機能が標準で揃うかも確認します。
クラウドセキュリティ対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、認証強化・アクセス制御・ID管理など、クラウドのセキュリティ対策に役立つ法人向けサービスの最新資料を無料で一括請求できます。機能・料金・サポート体制を比べて、自社に合うサービスを効率的に探せます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
