CSPMを超えて：クラウドデータのセキュリティギャップを埋める

クラウド・セキュリティ・ポスチャー・マネジメント（CSPM）は、クラウドの設定ミス、ポリシーの逸脱、およびセキュリティ上不適切なコントロールプレーンの設定を特定するための基盤となる管理手法となっていますが、セキュリティチームが解決を必要とするデータ関連の課題のすべてに対応しているわけではありません。

CSPMは、クラウド環境全体のセキュリティ状態の評価を自動化し、状態の逸脱を検出するように設計されています。AWS、Azure、Google Cloud、その他のIaaSプラットフォームにおいて、露出しているサービス、権限が過剰なIAMロール、暗号化されていないストレージ、公開スナップショット、およびポリシー違反を特定することができます。この機能は不可欠です。 ベライゾンのDBIRレポートは、エラーや設定ミスが依然としてセキュリティ侵害の主要な要因であることを示し続けています。2024年のDBIRインフォグラフィックによると、セキュリティ侵害の28%がエラーによるものであり、設定ミスは一般的なエラーパターンとなっています。

しかし、従来のCSPMツールは、インフラストラクチャの構成やコントロールプレーンのセキュリティに重点を置いており、データの内容や機密性には焦点を当てていません。これらのツールは、データリソースに何が含まれているか、そのデータの機密性がどの程度か、あるいはさまざまなアクセス経路を通じて実際に誰がそのデータにアクセスできるかといった点を詳細に検証しません。ストレージバケットは、構成の観点からはコンプライアンスを満たしているように見えても、アクセス権限の過剰な共有や外部リンクを通じて、顧客記録がさらされている可能性があります。

このギャップが重要なのは、クラウドデータのリスクが明らかな設定ミスだけに限定されないからです。多くのクラウド攻撃経路では、単なる技術的な設定ミスだけでなく、侵害された認証情報や有効なアカウントの悪用が関与しています。MITRE ATT&CKでは、攻撃者が有効なクラウドアカウントを使用してリソースにアクセスし、データをクラウドストレージへ流出させる手法が記載されています。こうしたシナリオでは、インフラは適切に設定されているように見えても、データは依然として危険にさらされたままとなる可能性があります。出典：https://attack.mitre.org/

クラウドデータのセキュリティ態勢を確立するには、機密データがどこに保存されているか、どのように移動するか、誰がアクセスできるか、そして時間の経過とともにその露出状況がどのように変化するかについて、可視性を確保する必要があります。つまり、単なるセキュリティ態勢のチェックにとどまらず、クラウドおよびSaaS環境全体にわたる検出、分類、露出分析、継続的な監視を行う必要があり、こうした機能が包括的なデータセキュリティ態勢管理（DSPM）アプローチを構成するのです。

CSPMの強み

CSPMは、コントロールプレーンレベルでリスクを引き起こすクラウドインフラストラクチャの問題を特定することに優れています。CSPMは、ベースラインやコンプライアンスフレームワークに照らして、クラウド構成を継続的に監視します。これにより、次のような問題を特定することができます：

• 一般に公開されているストレージ

• 特権が過剰なロールと過度な権限

• 暗号化されていないリソース／暗号化が無効化されている

• セキュリティグループおよび公開されているサービス／データベース

• 社内規定または規制要件への違反

クラウドチームにとって、こうした可視性は非常に貴重です。これにより、セキュリティ強化の不備を特定し、ポリシーを徹底させ、設定のずれによって生じる一般的なリスクを軽減することができます。また、複数のクラウドプロバイダーにわたって再現性のあるチェックが可能になりますが、これは大規模な環境で手動で行うのは困難です。

CSPMの課題

制限となるのは範囲です。CSPMは環境の妥当性を検証しますが、その環境に何が含まれているかまでは教えてくれません。

バケットは、あらゆる構成管理のチェックを通過しても、規制対象のデータが格納されている可能性があります。コラボレーションワークスペースは承認された設定に従っているにもかかわらず、機密ファイルが広範囲に共有されてしまうことがあります。クラウドデータベースはネットワーク層で厳重に保護されていても、アプリケーションユーザー、サービスアカウント、または継承された権限によって、予期せぬ情報漏洩が発生する可能性があります。

だからこそ、CSPMだけでは、セキュリティチームが最も重視する課題に対する答えを出すことはできません：

• 機密データはどこに保存されていますか？

• どのようなデータですか？

• 誰がアクセスできますか？

• どのように共有されているのですか？

• どのエクスポージャーが最も高いビジネスリスクをもたらすか？

従来のCSPMでは、クロスプラットフォームのデータフローに対する可視性も限られています。AWS環境のセキュリティを確保するツールであっても、AWSとMicrosoft 365、Salesforce、その他のクラウドサービスとの間でデータがどのように移動しているかについては把握できていない可能性があります。また、個人のクラウドストレージを通じて作成されたシャドーリポジトリや、承認されていないSaaSの利用、外部のコラボレーションツールへのエクスポートなども見逃してしまう可能性があります。

データコンテキストの変化が優先順位付けに影響を与える理由

セキュリティチームは、膨大な量のセキュリティ状態の検出結果に直面することがありますが、データの文脈がなければ、影響が最も大きいリスクの優先順位付けに苦労する可能性があります。合成データを用いた低リスクのテスト環境は、顧客の財務記録を含む本番システムと同じレベルの緊急性を要するものではありません。

この区別こそが、データに即した可視性が重要である理由です。これにより、重要な技術的な問題と、ビジネスにとって真に重大な問題を区別することができます。パブリックストレージに関するアラートは深刻な問題ですが、その資産に機密情報が含まれていない場合、規制対象の記録や知的財産を含む、同様に公開されているリポジトリに対する対応とは異なる可能性があります。

アクセスガバナンスもまた、見落とされがちな点です。CSPMは、広範なインフラストラクチャポリシーが導入されていることを確認することはできますが、グループ、アプリの権限、共有リソース、トークンベースのアクセス、サードパーティ製サービスの連携などを通じてアクセス権がどのように蓄積されていくかを完全に把握することはできません。時間が経つにつれて、こうした関係性によって、基本的なセキュリティ態勢のチェックでは明らかにならない脆弱性が生じる可能性があります。

データ・セキュリティ・ポスチャー・マネジメント（DSPM）がもたらすもの

データ・セキュリティ・ポスチャー・マネジメント（DSPM）は、可視性の範囲をインフラからデータへと拡大します。これは、機密情報の発見、その分類、情報漏洩の状況を把握すること、およびその状況の変化を監視することに重点を置いています。

強固なデータセキュリティ体制の管理は、クラウドおよびSaaS環境全体の資産調査から始まります。クラウドストレージ、コラボレーションツール、あるいは承認済みおよび未承認のアプリケーションなど、データがどこに存在しているかを特定する必要があります。

そこから、分類によってビジネス上の文脈が加わります。コンテンツの検査だけでは不十分であり、データの機密性や影響という観点からデータを理解する必要があります。つまり、通常のファイルと、PII、PCIデータ、財務書類、知的財産などの規制対象となる記録とを区別しなければならないということです。

次に、エクスポージャー分析では、データにアクセスされる可能性のある経路を洗い出します。これには、権限、共有設定、外部リンク、継承されたグループアクセス、APIの公開、連携機能、およびユーザーの行動などが含まれます。また、アカウントの乗っ取りや権限の昇格を通じて、攻撃者がどのようにデータにアクセスし得るかも検討します。

最後に、継続的な監視を行うことで、データの移動、共有、アクセスに関する変化を、発生したその場で確実に検知することができます。クラウド環境では、チームが連携したり、自動化を進めたり、新しいサービスを連携させたりするにつれて、リスクの露出状況が急速に変化する可能性があります。

CSPMとDSPMは相互に補完し合う

CSPMとDSPMは互いに代替し合うものではありません。これらはそれぞれ異なる問題を解決するものであり、組み合わせて使用することで最大の効果を発揮します。

CSPMはインフラストラクチャ層のセキュリティを確保します。クラウドリソースが正しく構成されているか、またベースラインとなる制御措置が適切に実施されているかを把握できます。DSPMは、データ層に対する可視性を拡大します。どのような機密データが存在するか、どこに保存されているか、誰がアクセスできるか、そしてどのように漏洩する可能性があるかを把握できます。

こうした統合的な視点により、セキュリティチームはインフラストラクチャとデータの両方に関する疑問に対して、より包括的な答えを得ることができます。また、設定ミスが実際に影響を及ぼす資産やデータと関連付けられるため、リスクの優先順位付けをより適切に行うことが可能になります。

Skyhigh Security包括的なSecurity Service Edge SSE）ソリューションのような統合プラットフォームを活用する組織は、インフラストラクチャとデータ中心の可視性を統合することで、クラウドデータおよびデータリスク管理のあらゆる側面に対応することができます。

実践例

コラボレーションのためにソースコードをクラウドストレージにエクスポートする開発チームを例に考えてみましょう。CSPMでは、そのストレージアカウントが暗号化されており、非公開であり、ベースラインポリシーに準拠していることが示されるかもしれません。インフラの観点からは、これは問題ないように見えます。

しかし、データを踏まえた可視化を行うと、異なる実態が明らかになる可能性があります。リポジトリには、独自のアルゴリズムや、期限切れの外部業者へのアクセス権、あるいは一度も無効化されていない共有リンクが含まれている可能性があります。その場合、リスクはクラウドの設定だけにあるわけではありません。設定、コンテンツ、そしてアクセス経路の組み合わせがリスク要因となるのです。

SaaS型のコラボレーションツールについても同様です。ファイルは承認済みのアプリケーションに保存されているものの、外部関係者と共有されたり、グループメンバーシップを通じて引き継がれたり、連携アプリやAPI統合を通じてアクセス可能になったりする場合があります。CSPMは、こうしたデータ共有の関係を詳細にマッピングするようには設計されていません。

現代のクラウドプログラムに両方の視点が必要な理由

クラウドの利用が拡大するにつれ、機密データはより多くのサービス、ID、コラボレーションチャネルに分散しています。インフラストラクチャによる制御は依然として必要ですが、それだけではもはや不十分です。

成熟したクラウドセキュリティ体制を構築するには、コントロールプレーンとデータプレーンの両方を包括的に可視化することが必要です。つまり、CSPMと、機密コンテンツを検出し、露出状況を把握し、リスクベースの対応を支援できるデータ中心の機能を組み合わせる必要があります。

これらのアプローチを組み合わせた組織は、次のような質問に対してより的確に答えることができます：

• クラウドリソースは安全に設定されていますか？

• 機密データは含まれていますか？

• 適切な人がアクセスできるか？

• 共有、連携、または外部リンクを通じて公開されていますか？

• どの問題を優先して是正すべきか？

これらの質問は、安全な構成と安全なデータ管理態勢の違いを明確にするものです。