ダイレクトクラウドのクラウドにおけるセキュリティ対策

情報セキュリティインシデントに関する調査結果

情報セキュリティの調査研究や啓発に取り組む特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）の集計によると、2018年に報道された個人情報漏洩インシデント（事件・事故）は443件で、想定損害賠償総額は2,684億円、一件あたりの平均想定損害賠償額は6億3,767万円にのぼりました。想定損害賠償額とは、JNSAが独自の算定式を使い、被害者全員が賠償を請求したと仮定して算出した推計値です。

情報漏洩が発生した場合には、損害賠償や罰金といった経済的な損失だけではなく、社会的信用の失墜といったような経営に与える影響も深刻なものとなるでしょう。

これらの情報セキュリティ対策は、企業の情報システムに携わる担当者だけの仕事ではなく、経営者の責任として、経営者自らが率先垂範し、会社全体として取り組む必要があります。

JNSAが公表した2014年から2018年までの個人情報漏洩インシデントの件数・人数・想定損害賠償額を、下の表にまとめました。

単位：億円

参考：特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）の下記資料をもとに当社作成（2014年の値は2014年版、2015年・2016年の値は2016年版、2017年・2018年の値は2018年速報版による。人数は1万人未満、金額は1億円未満を切り捨て）

参照元：特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）｜2014年 情報セキュリティインシデントに関する調査報告書～個人情報漏えい編～

参照元：特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）｜2016年 情報セキュリティインシデントに関する調査報告

参照元：特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）｜2018年 情報セキュリティインシデントに関する調査結果～個人情報漏えい編～（速報版）

漏洩の原因

JNSAが集計した2017年の個人情報漏洩インシデント386件を原因別に分けると、誤操作が97件、紛失・置き忘れが84件、不正アクセスが67件、管理ミスが50件でした。上位4つの原因を合わせた298件が全体の約77％を占めており、人による操作や管理の誤りと、外部からの攻撃の両方に備える必要があります。

参考：特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）の下記資料をもとに当社作成（コメントは当社による説明）

参照元：特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）｜２０１７年 情報セキュリティインシデントに関する調査報告書【速報版】

参照元：特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）｜2018年 情報セキュリティインシデントに関する調査結果～個人情報漏えい編～（速報版）

関連記事：情報漏洩対策とは？原因別の優先順位と実践手順を解説

漏洩媒体・経路

同じ2017年の386件を、情報が漏れた媒体・経路別に分けると、紙媒体が150件で最も多く、インターネットが87件、電子メールが77件、USBメモリなどの可搬記録媒体が41件と続きます。

参考：特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）の下記資料をもとに当社作成

参照元：特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）｜２０１７年 情報セキュリティインシデントに関する調査報告書【速報版】

参照元：特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）｜2018年 情報セキュリティインシデントに関する調査結果～個人情報漏えい編～（速報版）

クラウドセキュリティとは

企業や組織において、社内の情報資産をクラウドサービスに預ける、といった利用が進んでいます。

クラウドサービスを利用する際に特に注意すべき点は、以下の３点となります。

・インターネット回線を利用するということ

・サービスの提供者が管理するデータセンターまたはサーバーにデータを保管すること

・クラウドサービス事業者側に運用やデータ管理を依存すること

利用者にとって情報システムの保守、運用、管理に関する負担が軽減されるなどのメリットがある一方、情報セキュリティ対策をサービス事業者に大きく依存することになります。

そのため、お客様がクラウドサービスを利用する際には、事業者が情報セキュリティ対策を適切に行っているかどうかを確認した上での選定が必要となります。

クラウドサービスを利用する際に考慮すべき点

以下は、DirectCloudの利用を検討している企業が特に気をつけていただきたいポイントをまとめたものです。

１．SSL/TLSによる通信経路の暗号化

SSLサーバー証明書により、通信データを暗号化することの必要性について説明します。クラウドでは、クラウド事業者のデータセンターにデータが保管されるため、通常はインターネットを経由してサービスを利用することになります。

インターネットを経由することで、通信経路上での盗聴や改ざんなどのリスクが発生します。公開情報でもない限り、必ず通信データを SSL/TLS によって暗号化する必要があります。SSLの最終版であるバージョン3.0は、インターネット技術の標準化団体であるIETF（Internet Engineering Task Force）が2015年に使用を禁止しました。現在の暗号化通信では、後継規格のTLSが使われています。

詳細を見る

参照元：Internet Engineering Task Force（IETF）｜RFC 7568: Deprecating Secure Sockets Layer Version 3.0

２．厳格なアクセス制御

クラウドではインターネットの利用が前提となるため、不正アクセスやなりすましによるデータの閲覧や改ざん、情報漏洩のリスクが存在しています。

対策として、まずデータの重要度を定義し、アクセスするユーザーがどのデータに対してどのような操作（閲覧、変更、削除など）が可能となるかを権限設定にて行うことが重要となります。たとえば強固なユーザー認証として、ワンタイムパスワードやデバイス認証が有効です。IDやパスワードを利用する場合は、類推されやすいパスワードを禁止し、サービスごとに異なるパスワードを設定させる運用が大切です。パスワードの変更について、総務省は「国民のためのサイバーセキュリティサイト」で、定期的な変更は不要であり、アカウントの乗っ取りなど流出の事実がある場合に変更すればよいと案内しています。

詳細を見る

参照元：総務省｜安全なパスワードの設定・管理｜国民のためのサイバーセキュリティサイト

３．セキュアなアプリケーション構築

インターネットを経由したアプリケーションや OS の脆弱性を狙った攻撃により、情報漏洩や改ざんの発生リスクがあります。最近では、SQLインジェクション攻撃、クロスサイトスクリプティングやアプリケーション/OSの脆弱性を狙った攻撃が主流となっています。

攻撃を受けた場合の影響を軽減させるために、定期的な外部からの診断テスト、開発したプログラムのコードレビューを行うことが重要です。また、攻撃を検知したり、被害の発生をすぐに検知するために、リバースプロキシ型のWeb Application Firewallの導入、マルウェアスキャン、改ざん検知などが効果的な対策となります。

詳細を見る

４．データ暗号化及びバックアップ

海外のデータセンターを利用する場合、政府機関によりデータに対して検閲が入る可能性があります。たとえば米国では、2018年に成立したCLOUD法（Clarifying Lawful Overseas Use of Data Act）によって、米国の管轄下にある事業者は、データの保存場所が米国外であっても、令状など有効な米国の法的手続に基づく開示要求に応じる義務があると明確化されました。実際、米連邦捜査局（FBI）がデータセンターからサーバーを押収したという事例が発生しています。可能であれば、データ自体に暗号化を行う、秘密分散などの技術を採用するなどの対策が必要となります。また、可用性の観点からデータのバックアップを定期的に実施することが推奨されています。

詳細を見る

参照元：米国司法省（U.S. Department of Justice）｜Promoting Public Safety, Privacy, and the Rule of Law Around the World: The Purpose and Impact of the CLOUD Act

５．適切なクラウド事業者の選定

クラウドを導入することは、自社で行う業務の一部をアウトソーシングするという意味になります。アウトソーシング先の企業を選定することは発注者側の責任であり、非常に重要なことです。昨今のクラウドサービスの進化や多様化を鑑みると、この適切なクラウド事業者を選定することは、非常に困難で時間のかかる業務といえます。またクラウド事業者の経営状況によっては、途中でサービスポリシーの変更、サービス自体を終了といった可能性もあります。自社のセキュリティポリシーに合致しているかどうかを、サービス仕様書や契約書、及びクラウド事業者へのヒアリングなどを通じて確認することが必要です。

サービス提供範囲

DirectCloudの場合、ログインID管理、パスワードポリシー、ファイルやデータに対するアクセス権限設定に関しては、お客様のセキュリティポリシーに沿って運用できるように設計されています。

また、アプリケーションからサービス運用までの領域はクラウドサービス提供者である株式会社ダイレクトクラウドの運用・責任範囲となります。

※上記、ハードウェア・ネットワーク、サービス運用の領域はAWS（Amazon Web Service）のサービスに依存しています。

参照元：株式会社ダイレクトクラウド｜法人向けクラウドストレージ「DirectCloud」の特徴 | 強固なセキュリティ

クラウド提供事業者として当社が取得している公的認証

株式会社ダイレクトクラウドは、お客様からの情報セキュリティ統制に関する高い水準の要求にお応えできるよう、プライバシーマーク(Pマーク)及び情報セキュリティマネジメントシステム（ISMS）の国際規格であるISO/IEC27001及び27017の認証を取得しております。

今後も情報セキュリティマネジメントシステムの構築・維持を継続的に取組んでまいります。

• ●Webアプリケーション脆弱性チェックリスト
• ●サービス品質保証制度
• ●サイバーリスク保険
• ●サーバー稼働率