PaaSとは？
- 低いインフラストラクチャと開発コスト
- 組み込みのアプリケーション開発ツールとサポート
- 迅速な展開時間
- オンデマンドでスケーラブルなリソース
PaaSのセキュリティ対策
クラウドでは、セキュリティはクラウドプロバイダーと顧客の間で共有責任となります。PaaS顧客は、そのアプリケーション、データ、ユーザーアクセスのセキュリティに責任を負います。PaaSプロバイダーは、オペレーティングシステムと物理インフラストラクチャを保護します。
以下に、クラウドにおける組織のデータとアプリケーションのセキュリティを確保するための7つのPaaSセキュリティベストプラクティスをご紹介します。
- プロバイダーのセキュリティを調査する – プロバイダーのセキュリティパッチ管理計画について尋ね、最新のセキュリティプロトコルを使用しているかどうかを確認します。従業員のITシステムおよび物理施設へのアクセスに関するセキュリティ手順を確認します。セキュリティ侵害が発生した場合のインシデント対応計画と、システム全体が停止した場合の災害復旧計画があるかどうかを尋ねます。PaaSサービスが停止した場合、その上で実行されているアプリケーションとデータはどうなりますか？
- 脅威モデリングを使用する – セキュリティ上の欠陥の大部分は、ソフトウェア開発の初期段階で導入されます。セキュリティ意識の高い開発者は、脅威モデリングの実践とツールを使用することで、アプリケーション設計における潜在的な欠陥を特定し、修正できます。Open Web Application Security Project (OWASP) は脅威モデリングに関する情報を提供しており、Microsoftは無料の脅威モデリングツールと情報を提供しています。
- 継承されたソフトウェアの脆弱性を確認する – サードパーティのプラットフォームやライブラリには、しばしば脆弱性があります。開発者は、これらの潜在的な負債をスキャンしない場合、それらを継承してしまう可能性があります。
- ロールベースのアクセス制御を実装する – ロールベースのIDおよびアクセス管理は、開発者やその他のユーザーが必要なリソースやツールにアクセスできる一方で、それ以外のリソースにはアクセスできないようにするのに役立ちます。
- 非アクティブなアカウントを管理する – 未使用のアカウントは、ハッカーにとって潜在的な足がかりとなります。元従業員のアカウントやその他の非アクティブなアカウントを廃止します。ハッカーは、最近会社を辞めた人や入社した人を探し（LinkedInはそのための優れた情報源です）、アカウントを乗っ取ります。また、管理アカウントへの不正アクセスを防ぐために、ルートアカウントの認証情報をロックします。
- プロバイダーのリソースを活用する – ほとんどの主要なPaaSプロバイダーは、自社のプラットフォーム上で構築するためのガイドラインとベストプラクティスを提供しています。また、多くは開発者向けに技術サポート、テスト、統合、その他の支援を提供しています。
PaaSセキュリティソリューション
組織は、データとアプリケーションを盗難や不正アクセスから保護するために、独自のセキュリティ技術を導入することができます。重要なクラウドセキュリティソリューションとして、次の3つが挙げられます: Cloud Access Security Brokers (CASB)、Cloud Workload Protection Platforms (CWPP)、およびCloud Security Posture Management (CSPM)。
CASBは、クラウドセキュリティゲートウェイ (CSG) とも呼ばれ、不正なクラウドサービスの監視、Data Loss Prevention (DLP) を含むデータセキュリティポリシーの適用、ユーザー、デバイス、アプリケーションに基づいたクラウドサービスへのアクセス制限、およびコンプライアンスとリスクのためのクラウド構成の監査など、さまざまなセキュリティサービスを提供します。
CWPP 保護されていないワークロードとコンテナは、サイバー犯罪者にクラウド環境への侵入経路を提供するため、CWPPはコンテナとワークロードインスタンスを検出し、監視します。CWPPサービスは、マルウェア保護も適用し、複数のPaaS環境全体でセキュリティ管理を簡素化します。
Cloud Security Posture Management (CSPM) セキュリティポスチャマネージャーは、クラウド環境をセキュリティおよびコンプライアンスの問題について継続的に監査し、手動または自動による修復を提供します。CASBは、ますますCSPM機能を追加しています。
アーキテクチャとセキュリティ技術の新たな進歩により、クラウドセキュリティは進化し続けています。例えば、個々のアプリケーションとその依存関係をパッケージ化するコンテナの登場は、同じサーバー上の他のアプリケーションの脆弱性から個々のアプリケーションインスタンスを分離することで、PaaS開発をより安全にするのに貢献しています。
より多くのエンタープライズアプリケーションがクラウドに移行するにつれ、より多くの開発者がPaaSを利用してクラウドネイティブアプリケーションを作成したり、オンプレミスアプリケーションをクラウド対応にしたりするようになるでしょう。サイバー攻撃、データ侵害、その他のセキュリティインシデントのリスクを最小限に抑えるには、IT管理者はアプリケーションセキュリティのベストプラクティスに従い、最新の高度なクラウドセキュリティ技術を導入する必要があります。
Skyhigh Securityのクラウドセキュリティソリューションは、組織がクラウド内のデータに対する可視性と制御を得ることで、ビジネスの成長とデジタルトランスフォーメーションを加速することを可能にします。
