NIST、マルチクラウド環境特有のセキュリティリスクに警鐘

米国政府は、マルチクラウド環境がもたらすサイバーセキュリティおよびコンプライアンス面での特有の課題について、組織に対して警告を発しました。

米国国立標準技術研究所(NIST)は、複数のクラウドサービスプロバイダー(CSP)を利用することで、単一クラウドやオンプレミス環境と比較して、一貫したセキュリティポリシーの維持、統一的な管理策の適用、強固な認証プロトコルの実施が組織にとってより困難になると指摘しています。

NISTによれば、これは主に各プロバイダーがそれぞれ独自のセキュリティモデル、ツール、構成、責任共有フレームワークを持っていることに起因します。

マルチクラウド環境、すなわち2つ以上のクラウドプロバイダーを利用する形態へ移行する組織は増加の一途をたどっています。

このアプローチの重要なサイバーセキュリティ上の利点は、単一プロバイダーへの依存を減らせる点です。あるプロバイダーが障害やサイバー攻撃に見舞われた場合でも、組織は運用を継続し、重要なシステムやデータへのアクセスを維持できます。

しかしNISTが指摘するように、この構成は重大なセキュリティ上の課題も引き起こします。

8月21日に公開されたNISTの新しい報告書は、マルチクラウドアーキテクチャに関連する諸問題の解決策を検討・優先順位付けする取り組みを、サイバーセキュリティコミュニティ全体でさらに推進することを目的としています。

マルチクラウド環境特有のセキュリティ課題

NISTは、アイデンティティ・アクセス管理、脆弱性管理、インシデント対応・災害復旧、データ保護といった分野にまたがり、マルチクラウド環境で新たに生じる課題として合計23項目を特定しました。

セキュリティチームは、それぞれ独自のネイティブアーキテクチャを持つ各CSPのシステム全体にわたって、アクセス制御ポリシーと認可措置を一貫して実装することに大きな課題を抱えています。

これには、各CSPがクラウドサービスを支える特定の情報システムに対して多要素認証(MFA)や生体認証を導入しているかどうかを検証する能力も含まれます。

報告書はさらに、CSPが利用する他のベンダーやサードパーティのアクセス制御ポリシーおよび実装状況を検証する必要性が、こうした課題をいっそう深刻化させていると付け加えています。

マルチクラウド環境で運用する組織にとって、脆弱性管理はCSPごとにアプローチが異なるため、より複雑になりがちです。

脆弱性レポートはプロバイダーごとに異なる時間軸・形式で提供されるため、エンタープライズアーキテクチャ全体で統一されたパッチ管理手法を採用することは事実上不可能です。

加えて、顧客はCSPの情報システムへ直接アクセスできないため、独自の脆弱性スキャンを実施できない場合もあります。

一部のCSPは、インシデントに関する情報を顧客へ適時かつ十分に提供しない場合があります。またプロバイダーごとに報告形式やスキーマが異なるため、標準化された形でこの情報が提供されないこともあります。

さらにCSPは、複数のプロバイダーにまたがるクラウドサービスを顧客が独自に監視するために必要な管理者アクセス権限を付与しないケースもあります。

セキュリティチームが自組織の災害復旧計画を効果的に策定することも困難です。これは、CSPが機密性の高いバックエンド情報やシステム全体のセキュリティへの懸念を理由に、事業継続計画のポリシーを顧客に開示しないことが多く、また事業継続計画や災害復旧計画のテスト結果についても通常提供しないためです。

NISTの報告書は、顧客がクラウド環境全体でセキュリティ、暗号化、規制基準が確実に満たされるようCSPに依存していると指摘しています。

しかしマルチクラウド環境では、CSP間で暗号化などのデータセキュリティ対策の実装状況に一貫性がないため、さまざまな法域のデータ保護規制に抵触するリスクが著しく高まります。

さらに組織は、データ保護に関与するすべてのプロバイダーから情報システムのセキュリティ文書を入手することにしばしば苦労しており、これがEUの一般データ保護規則(GDPR)などの法律が定めるコンプライアンス要件を満たしていることを証明する上での障壁となっています。

NISTは、マルチクラウド環境の課題に対処するには、堅牢なガバナンスフレームワーク、一元的な可視性の確保、一貫したポリシーの適用、そして自動化と標準化への強い注力が必要になると述べています。さらに、これにはサイバーセキュリティコミュニティ全体の協調的な取り組みが求められるとしています。

報告書は次のように述べています。「本IR(内部報告書)は分析の対象範囲を明確にすることで、政府・産業界・学術界にまたがる今後の研究、調達、標準策定、ソリューション設計の指針となる、構造化された課題提起と共通の語彙を提供することを目指しています」

同研究所は、この報告書について連邦政府機関、業界パートナー、研究者、そして広くサイバーセキュリティコミュニティからの意見を募集しており、パブリックコメントの受付期間は2026年10月5日までとなっています。

マルチクラウドセキュリティの課題についてさらに詳しく知りたい方は、9月22日開催のInfosecurity主催Cloud Security in the Age of AI Virtual Summitにぜひご参加ください。参加登録はこちら から。