クラウドの設定ミスとは？情報漏えいを招くよくある事例・原因と対策を解説

他社がクラウドの設定ミスで個人情報を漏らしたというニュースを見て、「自社のクラウドは大丈夫だろうか」と不安になった情報システム担当者は少なくありません。クラウドの設定ミスは、特別な攻撃を受けなくても、公開範囲やアクセス権限を一つ誤るだけで大量の情報が外部から見える状態を生んでしまいます。

この記事では、クラウドの設定ミスとは具体的にどんなミスなのかを類型の一覧で示し、実際に起きた情報漏えいの事例、ミスが起きる原因、そして今日から自社で確認できる対策までを順に解説します。手作業での点検が難しくなってきたときに役立つCSPM（クラウドの設定ミスを自動で検知する仕組み）や設定ミス診断サービスも、最後に紹介します。

クラウドの設定ミスとは？よくある類型一覧

クラウドの設定ミスとは、クラウドサービスを使うときに利用者側が行うセキュリティ設定を適切に行わず、本来守るべきデータや資源が外部から見える・操作できる状態になってしまうことを指します。総務省のガイドラインは、設定が関係する項目をID・アクセス管理、ログ、ストレージ、ネットワークなどの類型に整理しています。

ここからは、現場で起きやすい設定ミスを「どんな危険につながるか」「どこを・どう直すか」とあわせて一覧で確認します。自社の環境と照らし合わせながら読み進めてください。

これらの類型のうち、ID・アクセス管理、ログ、ストレージ、ネットワーク、鍵管理（暗号化）などは、総務省のガイドラインが「セキュリティ設定項目の類型」として整理しているものです。多要素認証の設定不備やデフォルト設定の放置は、米国のNSA・CISAが2023年に公表した「よくある設定ミスの上位項目」でも挙げられており、総務省のガイドブックでも紹介されています。

出典・参考資料（3件）

• 出典：クラウドサービス利用・提供における適切な設定のためのガイドライン｜総務省（令和4年10月）（https://www.soumu.go.jp/main_content/000944468.pdf）
• 出典：クラウドの設定ミス対策ガイドブック｜総務省（令和6年4月）（https://www.soumu.go.jp/main_content/000944467.pdf）
• 参考資料：Top Ten Cybersecurity Misconfigurations（AA23-278A）｜NSA・CISA（2023年10月）（https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a）

主要クラウドで特に注意したい具体的な設定

設定ミスの多くは、クラウドの既定では安全側になっているものを、利用者が運用の都合で変更したときに生まれます。主要なクラウドで特に誤りやすい設定を、公式ドキュメントの説明とあわせて確認します。

ストレージの公開設定（AWS S3）。Amazon S3は既定では公開されませんが、ポリシーの変更で誰でもアクセスできる状態に変えられます。公式ドキュメントは次のように説明しています。

デフォルトでは、新しいバケット、アクセスポイント、およびオブジェクトはパブリックアクセスを許可しません。ただし、ユーザーはバケットポリシー、アクセスポイントポリシー、またはオブジェクトのアクセス許可を変更することで、パブリックアクセスを許可できます。S3 ブロックパブリックアクセス設定は、これらのポリシーやアクセス許可を上書きして、これらのリソースへのパブリックアクセスを制限できるようにします。

出典：Amazon S3 ストレージへのパブリックアクセスのブロック｜Amazon S3 ユーザーガイド

「S3 ブロックパブリックアクセス」を有効にしておけば、個別のポリシー変更があっても公開を抑えられます。

ストレージの匿名公開（Microsoft Azure）。Azure Storageも既定は非公開で、匿名アクセスを明示的に許可したときだけ外部から読める状態になります。

Azure Storage は、オプションでコンテナーと BLOB の匿名読み取りアクセスをサポートします。既定では、データへの匿名アクセスは許可されません。匿名アクセスを明示的に有効にしない限り、コンテナーとその BLOB へのすべての要求には承認が必要です。コンテナーのアクセス レベル設定を構成して匿名アクセスを許可すると、クライアントは要求を承認することなくそのコンテナー内のデータを読み取ることができます。

出典：コンテナーと BLOB 用の匿名読み取りアクセスを構成する｜Microsoft Learn

通信を許可する範囲（AWS セキュリティグループ）。サーバーへの接続元を限定せず、すべてのIPアドレスからの接続を許可してしまうと、管理用のポートが世界中に開くことになります。AWSはベストプラクティスで次のように注意を促しています。

EC2 インスタンスにアクセスできるようにするために、ポート 22 (SSH) または 3389 (RDP) のインバウンドルールを追加する場合は、特定の IP アドレスの範囲のみを許可する必要があります。0.0.0.0/0 (IPv4) と ::/ (IPv6) を指定すると、指定したプロトコルを使用して、誰でも任意の IP アドレスからインスタンスにアクセスできるようになります。

出典：セキュリティグループを使用して AWS リソースへのトラフィックを制御する｜Amazon VPC ユーザーガイド

ストレージの公開防止・通信範囲の限定（Google Cloud）。Google Cloudでも考え方は共通です。Cloud Storageでは「公開アクセスの防止（Public Access Prevention）」を有効にすると、バケットやオブジェクトが誤って一般公開される状態を防げます。

VPCファイアウォールも、SSH（22番）やRDP（3389番）を 0.0.0.0/0 に開放せず、許可する送信元IPの範囲を限定するのが基本です。

出典・参考資料（1件）

• 参考資料：公開アクセスの防止（Public Access Prevention）｜Google Cloud（https://cloud.google.com/storage/docs/public-access-prevention?hl=ja）

いずれのクラウドでも「既定の安全な設定を、運用の都合で緩めていないか」を確認することが出発点になります。

設定ミスが招いた情報漏えいの実例

設定ミスは「ありうる話」ではなく、実際に大規模な情報漏えいの原因になっています。公表された事例を見ると、特別な攻撃ではなく、権限や公開範囲の設定を一つ誤っただけで多くの情報が閲覧可能になっていることがわかります。

マイナビ：社給端末管理のクラウドでアクセス権限を誤設定。株式会社マイナビは2025年10月3日、社員に貸与する端末を管理するクラウド環境でアクセス権限の誤設定があり、14,762件の個人情報が第三者から閲覧できる状態になっていたと公表しました。閲覧可能だった期間は2022年11月26日から2025年9月2日までで、9月2日に発覚した当日中にアクセス権限を再設定しています。

同社は現時点で第三者による不正アクセスの形跡は確認されていないとしています。攻撃を受けたのではなく、設定の誤りそのものが漏えいの可能性を生んだ事例です。

出典・参考資料（1件）

• 出典：クラウド環境の誤設定に伴う個人情報の漏洩可能性について｜株式会社マイナビ（2025年10月3日）（https://www.mynavi.jp/topics/post_50495.html）

性能改善の設定変更が漏えいを招いた例。東京都のサイバーセキュリティに関する注意喚起では、チケットのリセールサイトでアクセス集中への対策としてキャッシュ設定を強化した際に、ログイン状態を識別するCookieをキャッシュの対象に含めてしまい、一部の利用者の情報が他の利用者から閲覧できる状態になった事例が紹介されています。

外部からの攻撃ではなく、性能改善を目的とした変更の確認不足が情報漏えいにつながった例です。

こうした事故は特定の業界に限りません。個人情報保護委員会への漏えい等の報告は、令和6年度に過去最多を更新したと報告されています。クラウドの利用が広がるなかで、設定ミスは誰にでも起こりうるリスクになっています。

出典・参考資料（2件）

• 参考資料：クラウド共有とWebフォームの設定ミスで起きる情報漏えい｜東京都サイバーセキュリティポータル（cybersecurity-taisaku.metro.tokyo.lg.jp）
• 参考資料：令和6年度 個人情報保護委員会 年次報告｜個人情報保護委員会（https://www.ppc.go.jp/aboutus/report/annual_report_2024/）

なぜクラウドの設定ミスは起きるのか

設定ミスは、担当者の不注意だけが原因ではありません。総務省のガイドラインは、設定不備の要因を「人・組織」「作業規則・マニュアル」「システム動作環境における設定管理」「設定の方法論」の4つの観点で整理しています。ここでは、現場で特に起きやすい原因を見ていきます。

責任共有モデルの誤解

クラウドのセキュリティは、事業者と利用者が役割を分担する「責任共有モデル」が前提です。総務省のガイドブックは、この考え方を次のように説明しています。

クラウドのセキュリティの確保については、まず、サービスの提供者と利用者とが、責任を分担するという考え方が重要です。このような考え方を「責任共有モデル」と呼びます。責任共有モデルの考え方は現在多くのクラウドサービス事業者に採用されています。また、ＳａａＳ、ＰａａＳ、ＩａａＳといったクラウドサービスの種類によって責任分担の範囲が異なります。

出典：クラウドの設定ミス対策ガイドブック｜総務省（令和6年4月）

AWSやMicrosoft Azureの公式定義でも、データの管理やアクセス権限（IAM）の設定は利用者側の責任と位置づけられています。「クラウド事業者が安全にしてくれているはず」という思い込みが、利用者が担うべき設定の確認を抜け落ちさせ、設定ミスの温床になります。

出典・参考資料（2件）

• 参考資料：責任共有モデル｜アマゾン ウェブ サービス（aws.amazon.com）
• 参考資料：クラウドでの共同責任｜Microsoft Learn（learn.microsoft.com）

デフォルト設定への依存と属人化

クラウドは簡単に使い始められる反面、初期設定のまま運用を続けてしまいがちです。ログ取得が既定で無効になっているサービスもあり、有効化を忘れると異常が起きても気づけません。設定が特定の担当者の頭の中にしかなく、引き継ぎで抜けが生じることも少なくありません。

DX推進のスピードと人材不足

事業のスピードを優先してクラウド環境を次々に立ち上げると、セキュリティ設定の確認が後回しになります。セキュリティに詳しい人材が限られていると、設定の妥当性を誰も点検しないまま運用が始まることもあります。手軽さと影響範囲の広さが同居している点が、クラウドの設定ミスを重大なものにします。

マルチクラウド・SaaS乱立の複雑さとシャドーIT

複数のクラウドや多数のSaaSを併用すると、サービスごとに設定画面も用語も異なり、横断的に把握するのが難しくなります。担当部署が把握していないまま現場で導入されたサービス（シャドーIT）があると、その設定ミスは点検の対象にすら入りません。環境が増えるほど、設定の見落としは起こりやすくなります。

クラウドの設定ミスを防ぐ対策（今すぐ確認＋仕組み化）

対策は「まず今日確認すること」と「継続的に防ぐ仕組みをつくること」の2段階で考えると進めやすくなります。はじめに手を動かせる確認項目から着手し、その後に運用として定着させていきます。

今すぐ確認したいチェック項目

まずは、自社が使っているクラウドやSaaSについて、次の項目を確認してみてください。IPAや東京都が中小企業向けに示している確認の観点に沿ったものです。

• データやファイルの公開範囲が、必要な範囲に限定されているか
• 重要なデータの保存先と、誰がアクセスできるかを把握できているか
• 通知や共有の宛先・共有先が意図した相手に限られているか
• 利用者と権限が棚卸しされ、退職者・異動者のアカウントが残っていないか
• 設定を変更したときに見直し・記録する手順があるか
• これらを定期的に確認する機会（月次・四半期など）があるか

たとえば公開範囲の確認は、AWSであれば前述の「S3 ブロックパブリックアクセス」が有効になっているかを見る、Azureであれば匿名アクセスが許可されていないかを見る、というように、前半で挙げた設定項目と対応づけると具体的に進められます。

継続的に防ぐための仕組み化

一度確認して終わりにせず、設定ミスが起きにくい状態を保つ仕組みをつくることが重要です。次のような取り組みが、継続的な防止につながります。

• 最小権限の原則：必要な人に必要な権限だけを与え、管理者権限を絞る
• 多要素認証（MFA）の必須化：管理者や重要アカウントは認証を強化する
• ネットワーク境界の管理：不要なポートを閉じ、公開範囲を限定する
• 組織ポリシーによるガードレール：危険な設定を組織のルールで未然に防ぐ
• 監視と対応体制：ログを取得・監視し、異常に気づける体制を整える

出典・参考資料（1件）

• 参考資料：中小企業のためのクラウドサービス安全利用の手引き（中小企業の情報セキュリティ対策ガイドライン 第4.0版 付録）｜独立行政法人情報処理推進機構（IPA）（ipa.go.jp）

上長への説明・社内展開に使える公的ガイドライン

社内で対策を進めるときは、公的な資料を根拠として示すと話が通りやすくなります。クラウドの設定ミス対策には総務省とIPAの資料が参照しやすく、どちらも無料で入手できます。目的に応じて使い分けると、上長や関係部署への説明がスムーズになります。

• 総務省「クラウドの設定ミス対策ガイドブック」（令和6年4月公表）：設定ミスの考え方や責任共有、よくある設定ミスを平易にまとめた入門資料。令和4年10月のガイドラインを解説したもので、まず全体像を共有したいときに向きます。
• 総務省「クラウドサービス利用・提供における適切な設定のためのガイドライン」（令和4年10月）：設定項目の類型や設定不備の要因を体系的に整理した詳細資料。具体的な点検基準を詰めたいときに参照します。
• IPA「中小企業のためのクラウドサービス安全利用の手引き」：選定時・運用時の確認ポイントが整理されており、中小企業が実務に落とし込むときに向きます。

出典・参考資料（2件）

• 出典：「クラウドの設定ミス対策ガイドブック」の公表｜総務省 報道資料（令和6年4月26日）（https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00209.html）
• 出典：クラウドサービス利用・提供における適切な設定のためのガイドライン｜総務省（令和4年10月）（https://www.soumu.go.jp/main_content/000944468.pdf）

手作業の点検の限界とCSPM・設定ミス診断サービスの活用

ここまでの確認項目は、まず自社で手を動かすうえで有効です。一方で、複数のクラウドや多数のSaaSを使っていると、すべての設定を手作業で網羅し、変更のたびに点検し続けるのは現実的に難しくなります。設定は日々変わり、新しいサービスも増えていくためです。

そこで役立つのが、クラウドの設定を自動で点検する仕組みです。総務省のガイドブックでも、ツールによる対策としてCSPM（クラウドセキュリティポスチャ管理）などが紹介されています。CSPMは、クラウドの設定を基準と照らして継続的にチェックし、設定ミスを検知して知らせる仕組みです。

CSPMが主に点検するのは、AWS・Azure・Google Cloudといったクラウド基盤（IaaS/PaaS）の設定です。グループウェアやクラウドストレージといったSaaSの共有範囲・外部共有・権限の設定ミスには、SaaS側の設定を点検するSSPMと呼ばれる仕組みが対応します。

CSPMがCWPP・SSPM・CASB・CNAPPといった似た仕組みとどう違い、クラウドの何を自動で点検するのかは、以下の記事で整理しています。

ここからは、クラウドの設定ミスを検知・診断できる代表的なサービスを紹介します。それぞれの対応クラウドや診断範囲は、次の比較表でまとめて確認できます。

※2026年11月時点の各社公式情報・掲載情報による

1. Aikido Security（株式会社AndGo）

Aikido Securityは、クラウドの設定を検査するCSPMに、ソースコード診断やWebアプリの診断、依存ライブラリやコンテナの検査を加え、複数の診断を一つの管理画面で扱える脆弱性診断SaaSです。クラウド設定の点検（CSPM）はAWS・Azure・Google Cloudに対応しており、外部から侵入されやすい設定になっていないかを継続的に点検します。

複数のツールを使い分けるとアラートがばらばらに出て対応しきれなくなりがちですが、Aikido Securityは検出を一つにまとめ、対応すべきものを絞り込めるようにしています。見つかった問題の修正案を自動で作成する機能もあり、検知から対処までを進めやすい点が特長です。

無料で試せるプランがあり、有料プランは月額5万円台からの参考価格が示されています（正式な料金は要問い合わせ）。製品開発元はベルギーの企業ですが、日本では株式会社AndGoが日本語での窓口と導入の伴走を担います。

設定の点検で生じるアラートが増え続けると、現場では対応しきれない事態も起こります。日本窓口を担う株式会社AndGoの原氏は、インタビューで次のように語っています。

2. Cloudbase（Cloudbase株式会社）

Cloudbaseは、クラウドの設定ミス検知（CSPM）を中心に、ワークロードの脆弱性管理や権限の管理までを束ねた国産のクラウドセキュリティ製品です。AWS・Microsoft Azure・Google Cloud・Oracle Cloud、さらにオンプレミスまでを対象にでき、検出したリスクごとに日本語の修復手順を製品内に表示します。

リスクの優先度づけには、深刻度を示すCVSSに加えて対処の緊急度を判断するSSVCを採用しており、数多く出る指摘のなかから対応すべきものを見極めやすくしています。国産サービスとして日本語で使え、2025年度のグッドデザイン賞を受賞しています。料金は要問い合わせで、トライアルが用意されています。

3. WideAngle マネージドCSPM（NTTコミュニケーションズ株式会社）

運用の手間まで抑えたい場合に候補になるのが、NTTドコモビジネス（NTTコミュニケーションズ）のWideAngle マネージドCSPMです。Palo Alto Networksの「Prisma Cloud」もしくは「Cortex Cloud」を基盤に、顧客のクラウド環境を監視して設定ミスを検出・通知するマネージド型のサービスです。

このサービスの特徴は、CSPMツールのライセンス提供だけでなく、初期開通作業や運用ヘルプデスク、依頼作業までを一体で提供する点です。AWS・Azure・Google Cloudに対応し、独自のポリシーを加えて検知の精度を高めるとしています。

自社でCSPMを運用する余力が限られ、監視や運用を外部に任せたい情報システム部門に向いています。料金は要問い合わせです。

4. クラウドパトロール（SBテクノロジー株式会社）

クラウドパトロールは、SBテクノロジー（ソフトバンクグループ）が提供する国産のCSPMサービスです。クラウドの設定監査に加えて、オンプレミスを含む外部に公開された資産の管理（ASM）も一つのサービスで行えます。CISベンチマークという国際的な基準に沿って、環境ごとの準拠状況を監査します。

Microsoft Azure・AWS・Google Cloudに対応し、2025年11月にはOracle Cloudへの対応も追加されました。料金が月額5万円（税抜）からと明示されており、海外製品の見積もり制と比べて費用を見積もりやすい点が導入のしやすさにつながります。ソフトバンクグループによる日本語サポートを受けられる点も安心材料です。

5. Shisho Cloud（GMO Flatt Security株式会社）

GMO Flatt Securityが提供するShisho Cloudは、CSPMを中核としたセキュリティSaaSです。自社のクラウド環境（AWS・Google Cloud）を自動的・継続的に検査し、検出したリスクをリアルタイムで通知します。ソースコード管理のGitHubとも連携し、ソフトウェアの依存関係や構成ファイルの継続的なレビューにも対応します。

特徴は、CISベンチマークに基づく評価項目を公式ドキュメントで具体的に公開している点です。IAMの運用、ストレージやデータベースの暗号化・公開設定、監査ログ、ネットワーク設定など、何をどう評価するかが文書化されています。

検査の内容をコードとして定義できる柔軟性もあり、セキュリティの担当者やSRE（サイト信頼性エンジニア）向けに設計されています。料金は要問い合わせです。

まとめ

クラウドの設定ミスは、ストレージの公開設定やアクセス権限、ログの無効化といった身近な設定の誤りから生まれ、特別な攻撃がなくても大規模な情報漏えいにつながります。まずは本記事の類型一覧とチェック項目を使って自社の設定を見直し、最小権限やMFA、監視といった仕組みで継続的に防げる状態をつくることが大切です。

複数のクラウドやSaaSを使っていて手作業での点検に限界を感じる場合は、設定ミスを自動で検知するCSPMや設定ミス診断サービスの活用が選択肢になります。対応クラウドや診断範囲、料金を見比べて、自社に合うサービスを検討してみてください。

また、以下の記事では脆弱性診断サービスについて、診断方法や費用相場、選び方を詳しく解説しています。設定ミス診断に限らず、自社に合う診断サービスを広く比較検討したい方は、ぜひこちらもご覧ください。

よくある質問（FAQ）

Q. クラウドの設定ミスとは何ですか？

A. クラウドの設定ミスとは、クラウドサービスで利用者側が行うべきセキュリティ設定を適切に行わず、本来守るべきデータや資源が外部から閲覧・操作できる状態になってしまうことです。公開範囲やアクセス権限（IAM）、監査ログ、暗号化といった設定の誤りが代表例で、総務省のガイドラインではこれらを設定項目の類型として整理しています。

特別な攻撃を受けなくても、設定を一つ誤るだけで情報漏えいにつながる点が特徴です。

Q. クラウドの設定ミスで特に多いのはどんなミスですか？

A. クラウドの設定ミスで多いのは、ストレージやファイル共有の公開設定、アクセス権限（IAM）の過剰な付与、管理用ポートの広すぎる開放、監査ログの無効化、多要素認証（MFA）の未設定などです。いずれも「既定では安全な設定を、運用の都合で緩めたまま戻し忘れる」ことで起きやすいミスです。本記事の類型一覧を使って、自社の環境が当てはまっていないかを照らし合わせて点検することが出発点になります。

Q. クラウドの設定ミスは誰の責任になりますか？

A. クラウドの設定ミスは、多くの場合クラウド事業者ではなく利用者側の責任になります。クラウドのセキュリティは事業者と利用者が役割を分担する「責任共有モデル」が前提で、データの管理やアクセス権限の設定は利用者が担う範囲とされています。「事業者が安全にしてくれているはず」という思い込みが利用者側の設定の確認漏れを生むため、自社がどこまでを担うのかを正しく理解しておくことが重要です。

Q. クラウドの設定ミスは外部から攻撃されなくても情報漏えいにつながりますか？

A. はい、外部からの攻撃がなくても、公開範囲やアクセス権限の設定を一つ誤るだけで情報漏えいにつながります。 実際に公表された事例でも、第三者による不正アクセスの形跡がないまま、アクセス権限の誤設定だけで1万件を超える個人情報が外部から閲覧できる状態になっていました。攻撃を防ぐ対策だけでなく、設定そのものを点検することが欠かせません。

Q. クラウドの設定ミスを防ぐには、まず何を確認すればよいですか？

A. まずは、データの公開範囲が必要な範囲に限定されているか、重要データの保存先と誰がアクセスできるかを把握できているか、退職者・異動者のアカウントが残っていないかを確認してください。あわせて、設定を変更したときに見直し・記録する手順があるか、月次や四半期など定期的に確認する機会があるかも点検します。

これらを確認したうえで、最小権限やMFA、監視といった仕組みで継続的に防げる状態にしていくのが進めやすい順序です。

Q. CSPMとは何ですか？手作業の点検と何が違いますか？

A. CSPM（クラウドセキュリティポスチャ管理）とは、クラウドの設定を基準と照らして継続的に自動チェックし、設定ミスを検知して知らせる仕組みです。手作業の点検が時点ごとの確認にとどまり、複数のクラウドやSaaSを横断して変更のたびに追い続けるのが難しいのに対し、CSPMは設定が変わるたびに自動で点検できる点が異なります。

総務省のガイドブックでもツールによる対策として紹介されており、手作業での点検に限界を感じたときの選択肢になります。

Q. 中小企業でもクラウドの設定ミス対策は必要ですか？

A. 中小企業でもクラウドの設定ミス対策は必要です。 設定ミスによる情報漏えいは企業規模を問わず起きており、むしろ専任のセキュリティ担当者がいない中小企業ほど設定の確認が後回しになりがちです。IPAの「中小企業のためのクラウドサービス安全利用の手引き」など、中小企業向けに確認の観点を整理した公的資料が無料で入手できるため、まずはこうした資料に沿った点検から始められます。

クラウドの設定ミス診断・CSPMの資料を一括チェック

MCB FinTechカタログでは、クラウドの設定ミスを検知するCSPM・脆弱性診断サービスの最新資料を無料で一括請求できます。対応クラウドや診断範囲、料金を見比べて、自社に合うサービスを選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。