設定ミスは依然としてクラウド環境における最大級の脅威の一つです。たった一つの設定エラーが原因で、パブリックなネットワークアクセスの許可、キーのローテーション漏れ、暗号化の欠如、サービスの露出、ログ記録の不備などが発生する可能性があります。CISAは現在、米連邦機関に対してクラウドの基本的な設定基準の遵守を義務付けています。
ミッドマーケット層の組織のうち3分の2以上が複数のクラウドプロバイダーを利用しており、それぞれが異なるセキュリティモデル、用語、設定項目を持っています。Intruderの2026 Cloud Security Indexレポートによると、同じセキュリティ上の問題であってもAWS、Azure、Google Cloudでは現れ方が異なることが多く、特定と修復にはそれぞれ異なるアプローチが求められます。
Intruderの創業者兼CEOであるChris Wallis氏は、次のように述べています。「クラウドに移行すればデフォルトで安全になる、という思い込みが一般的にあります。しかし今回のデータはその逆を示しています。プラットフォームごとに弱点は異なり、セキュリティチームは各プラットフォーム固有のリスクを理解し、対処しなければなりません。一度設定すればそれで済むという話ではないのです」
プラットフォーム別に見るクラウドセキュリティリスク
一般的なクラウドセキュリティ上の問題は、各プラットフォームのアーキテクチャの違いにより、AWS、Azure、Google Cloudで異なる傾向を示します。AWS環境で最も頻繁に見られるのは、ストレージ、ネットワークアクセス、ID管理に関する設定ミスです。Azureで最も多い問題は、ストレージセキュリティとID保護、特にアクセスキーのローテーション漏れ、パブリックにアクセス可能なストレージ、MFA(多要素認証)の未設定に集中しています。
Google Cloudで主に問題となっているのは、ID・アクセス管理(IAM)の脆弱さで、MFAの未設定、未使用のサービスアカウント、過剰な権限が付与されたサービスアカウントなどが挙げられます。
脆弱なID管理、過剰な権限、安全でない・不完全な設定は、3社すべてのプロバイダーに共通して、クラウドセキュリティリスクの最も一般的な原因であり続けています。
クラウドセキュリティリスクの比較
脆弱なIAM管理、ログ記録とアラートの不備は、3社すべてのクラウドプロバイダーで最も広範に見られたセキュリティ上の問題であり、アカウントの80%から98%に影響を及ぼしていました。
分析対象となった6つのセキュリティカテゴリのうち5つで、AWSが最も高い設定ミスの発生率を記録しました。これには、許可範囲が広すぎるファイアウォール、露出したサービス、脆弱な暗号化が含まれます。Azureはサービスの設定ミス率が最も高い結果となりました。Google Cloudは6つのカテゴリのうち4つで最も低い発生率を記録しています。
露出したサービスの割合には最も大きなばらつきが見られ、AWSアカウントの76%、Azureアカウントの64%に対し、Google Cloudアカウントではわずか8%にとどまりました。この差は、各プロバイダーが提供するサービスの幅広さと、デフォルト設定を安全にするアプローチの違いに一部起因しています。
組織規模別に見る修復の傾向
クラウドセキュリティの態勢は、組織の規模によっても違いが見られます。大企業は一般的に、許可範囲が広すぎるファイアウォール、露出したサービス、脆弱な暗号化に関する問題が小規模組織より少なく、これはセキュリティプロセスの成熟度の高さと、クラウドセキュリティへの投資の大きさを示しています。
IAMは、規模が大きくなるほど課題が増す唯一のカテゴリです。脆弱なIAM管理は、中小企業の87%、ミッドマーケット組織の95%、大企業の98%に影響を及ぼしています。この増加傾向は、大規模な環境ほどユーザー、ロール、権限の管理が複雑になることに起因すると考えられます。
組織の規模は、修復にかかる時間にも影響します。小規模組織がクラウドの設定ミスを解消するまでの日数は平均8日から16日です。修復にかかる平均日数は、従業員数1,000人から5,000人の組織で35日とピークに達し、従業員数5,000人から10,000人の組織では19日に減少、最大規模の企業では10日にまで短縮されます。ミッドマーケット組織は、大企業が持つような専任のセキュリティリソースを持たないまま、エンタープライズ規模のクラウド環境を管理しているケースが少なくありません。
翻訳元: https://www.helpnetsecurity.com/2026/08/14/intruder-cloud-misconfiguration-trends-report/
