責任共有モデルとは?- チェック・ポイント・ソフトウェア

共有責任モデルとは何ですか?

共有責任モデルは、クラウドサービスプロバイダーとクラウドの顧客との間のネットワークセキュリティ責任の内訳を説明しています。詳細は、使用するクラウドサービスの種類と特定のクラウドプロバイダーによって異なります。

責任共有モデルのしくみ

クラウド環境では、クラウドプロバイダーとお客様がITインフラストラクチャスタックに対する責任を共有します。クラウドプロバイダーは常に物理インフラストラクチャに責任を持ち、クラウドの顧客は常に自身のデータに責任を持ちます。

その間のすべては、使用されているクラウドサービスモデルに依存します。

インフラストラクチャスタックの一部に対するネットワーク制御には、インフラストラクチャスタックを保護する責任が伴います。たとえば、クラウドのお客様がクラウド環境に仮想マシン (VM) をデプロイできる場合、安全な VM イメージを使用し、潜在的な攻撃から保護するために正しく構成する責任があります。

クラウド共有責任モデルは、セキュリティのどの領域がクラウドサービスプロバイダーまたは顧客のみの責任であり、どの領域を共有するかを示しています。責任が一方から他方に移る時点で、クラウドプロバイダーはある程度の責任を負う場合がありますが、クラウドの顧客に特定の設定を構成するように要求します。

責任共有モデルが重要なのはなぜですか?

クラウドの責任共有モデルは、クラウドのデータとアプリケーションを攻撃から保護するための重要な部分です。各クラウドプロバイダーの責任共有モデルの概要は次のとおりです。

彼らの責任はどのようなセキュリティタスクですか。
どちらがお客様のものですか。

クラウドのお客様は、クラウド共有責任モデルを理解して、攻撃からクラウドインフラストラクチャを保護する役割を理解する必要があります。

責任共有モデルの例

各クラウドプロバイダーには独自の共有責任モデルがあり、これにより各サービスモデルの責任の内訳が定義されます。

クラウドの責任共有モデルには、次の 3 つの主要なものがあります。

クラウドの責任共有の実装における課題

クラウドセキュリティの責任は、クラウドプロバイダーとその顧客の間で共有されます。クラウドユーザーが自分の役割を果たそうとするときに直面する一般的な課題には、次のようなものがあります。

理解不足: クラウド共有責任モデルは、クラウドのお客様が自身のセキュリティに対して責任を持つことを定めています。組織が責任共有モデルを理解していない場合、クラウド環境を効果的に保護することはできません。
マルチクラウド環境: ほとんどの組織には複数のクラウド環境があり、それらの環境内でさまざまなサービスを利用できます。つまり、セキュリティチームは、さまざまな共有責任モデルを理解し、遵守する必要があります。
可視性と制御の制限: クラウドのお客様は、ITインフラの下位レイヤーの可視性と制御が限定的またはまったくありませんが、上位レイヤーのセキュリティを管理する責任があります。この限られた可視性と制御により、組織の責任を果たすことができるセキュリティソリューションの導入が困難になる可能性があります。
セキュリティの設定ミス: 責任共有モデルの下でセキュリティの責任を果たすには、多くの場合、ベンダーが提供する設定とセキュリティ構成を構成する必要があります。設定ミスは、クラウドデータ侵害やその他のセキュリティインシデントの主な原因の1つです。
規制コンプライアンス: 組織は依然としてクラウドの規制コンプライアンス要件の対象となりますが、責任の共有により、この問題はより複雑になる可能性があります。企業は、セキュリティを直接管理する代わりに、ベンダー自身のクラウドコンプライアンスの証明に頼る必要がある場合があります。
アクセス管理: IDおよびアクセス管理(IAM) はクラウドに不可欠ですが、アクセス管理を複数のクラウドプラットフォームに統合することは難しい場合があります。この複雑さは、責任の共有によって組織がすべての環境で同じソリューションを使用できない、またはクラウドプロバイダーのソリューションを使用することを余儀なくされることを意味する場合、さらに悪化します。

責任共有モデルのベストプラクティス

責任共有モデルの下でクラウドセキュリティを確保するためのベストプラクティスには、次のようなものがあります。

責任共有モデルを理解する: クラウド共有責任モデルは、組織のクラウドセキュリティ責任を表します。これを理解することは、クラウド環境を保護するための最初のステップです。
リスク評価の実施: リスク評価は、組織に対する潜在的なセキュリティリスクを特定するように設計されています。これらを定期的に実行することで、組織は攻撃者に悪用される前にセキュリティギャップに迅速に対処できます。
セキュリティ制御の実装: 多くのセキュリティのベストプラクティスは、オンプレミスとクラウドで等しく適用できます。データの暗号化、アクセス制御、および同様のソリューションは、常に組織のクラウドセキュリティ戦略の一部である必要があります。
コンプライアンスの確保: 規制コンプライアンス要件は、クラウドにも適用されます。組織とクラウドプロバイダーがコンプライアンスの責任を果たしていることを確認します。
従業員のトレーニング: 従業員が誤ってクラウドセキュリティを脅かす行動をとる可能性があります。クラウドの共有責任モデルとセキュリティのベストプラクティスに関するトレーニングを提供することで、これらのリスクから保護することができます。

チェック・ポイントとの責任共有モデル

責任共有モデルは、あらゆるクラウドセキュリティプログラムの中核をなすものです。クラウドの共有責任モデルとそれに基づく責任の詳細については、共有責任モデルに関するこのホワイトペーパーをご覧ください。クラウド共有責任モデルのセキュリティ要件を満たす効果的なクラウドセキュリティプログラムを実装するには、明確なクラウドセキュリティ戦略が必要です。

開始するには、チェック・ポイントのクラウドセキュリティブループリントとチェック・ポイントの AWS向けセキュリティソリューションをご覧ください.