社外から社内向けの通信に関するセキュリティに比重を置く、従来型のセキュリティ対策は、クラウド利用においては適していません。本記事では、クラウドセキュリティの概要や従来型セキュリティ対策との違いを解説します。そのうえで、Microsoft 365のクラウドセキュリティについてもご紹介しますので、ぜひ参考にしてください。
そもそもクラウドセキュリティとは
「クラウドセキュリティ」とは文字通り、クラウド内の環境やデータを保護するために必要なポリシーや技術などを指す総称です。
近年、コロナ禍の影響や働き方改革の推進などを理由に、テレワークを導入する企業が増えていますが、それに伴いクラウドの必要性も増しています。DX（デジタルトランスフォーメーション）を進めるためにも、クラウドの利用は欠かせません。そうした事情もあり、クラウドセキュリティにも注目が集まっているのです。
クラウドセキュリティと、クラウドを使っていなかった従来までのセキュリティ対策とでは大きく異なります。従来のセキュリティでは、社内・社外のネットワーク環境が分離されており、「社外から社内へ」の通信を監視することが重要とされていました。
一方のクラウドでは、よくも悪くも社内・社外間の通信がしやすくなっており、従来の方法ではセキュリティを維持できません。そのため、クラウドの課題に特化したセキュリティ対策（＝クラウドセキュリティ）が求められているのです。
従来型のセキュリティ対策手法の脆弱性
クラウドを利用するにあたり従来型のセキュリティ対策には、一体どのような問題点・脆弱性があるのでしょうか。以下、考えられる問題点・脆弱性を1つずつ見ていきましょう。
社内と社外を分けて境界のセキュリティを強化
クラウドを使っていないときは、「社内ネットワーク内は安全である」「社外は危険」という前提のもとにセキュリティ対策が行われてきました。たとえば従来のセキュリティでは、社内・社外のネットワーク間にファイアーウォールを設置し、社内のネットワークを保護する手法が主流でした。
このように、社内外のネットワークを明確に分離し、「社内ネットワークを守る」ことに注力してきたのです。社外ネットワークの悪い要素を、安全な社内ネットワークへ侵入させないことが最も重要と考えられてきました。
しかし、この方法では「社内の脅威」に対処できないという問題があります。後述するように、コンピュータウイルスや内部不正に対し無防備であることが問題視されています。
内部にウイルスが入った場合に為すすべがない
情報漏洩などのセキュリティ事故は、必ずしも社外ネットワークからの攻撃だけで起こるとは限りません。たとえば、社内PCがウイルスに感染し、顧客情報やID・パスワードが流出してしまうこともあります。
また、報酬目的などで社内から故意に顧客情報・機密情報を持ち出す社員がいる可能性もあるでしょう。「社外ネットワークから社内ネットワークを守る」ことに注力する従来のセキュリティ対策では、これらを防止できません。たとえ社員に悪意がなくても、人為的なミスによる情報漏洩が発生する可能性も考えられます。
さらに、クラウドでは多くの場合、ID・パスワードさえ知っていれば、社外ネットワークからでも簡単に社内データへアクセス可能です。社内ネットワークを守ることに注力する従来型の対策では、ID・パスワード漏洩時のリスクを避けられないという問題もあるのです。
Microsoft 365でできるセキュリティ対策とは
「Microsoft 365」とは、常に最新のOfficeアプリが利用可能なサブスクリプション型クラウドサービスです。Microsoft 365は従来型のセキュリティ対策と異なり。クラウドに適したさまざまなセキュリティ対策機能を備えています。これらを利用することによって、企業は安全にMicrosoft 365を利用できます。以下、Microsoft 365が備える主要なセキュリティ対策機能をご紹介します。
社外からの不正アクセス防止
Microsoft 365では、従来のセキュリティ対策と同じように、社外からの不正アクセスを防止する機能を備えています。まずMicrosoft 365では、IDやパスワードを漏洩した場合の不正アクセスに備え、多要素認証の利用が可能です。多要素認証を使うことによって、メールアドレス・パスワードによる認証のほか、電話・SMSでの認証を追加できます。社内の機密情報・個人情報に対し、特定ユーザーのみ閲覧できるよう制限することも可能です。
またMicrosoft 365では、ネットワークレベルでDos対策が施されていたり、ウイルス対策・スパム対策用の機能を備えていたりします。Microsoft 365とユーザー間の通信はSSL/TLSにて暗号化されているため、外部から盗聴されることはありません。
そのほか、メールサービス「Exchange Online」では、IPアドレスにて接続制限をかけることが可能です。たとえば、会社のIPアドレスからのみ接続を許可した場合、社外からのアクセスを全て拒否できるわけです。
社内ユーザーにおける情報漏洩防止
社内ユーザーの行為によって、機密情報・顧客情報が漏洩してしまう可能性も否定できません。そのためMicrosoft 365では、社内ユーザーによる情報漏洩を防止する機能も備えています。
まずMicrosoft 365では、管理者権限によってユーザーライセンスを適宜追加・削除可能です。ユーザーがMicrosoft 365で行った操作を詳細に記録した監査ログもあります。
社員が誤って（もしくは悪意をもって）情報を流出させるのを防ぐため、DLP（Data Loss Prevention）も利用可能です。DLPを利用することで、マイナンバー番号のような機密情報が外部へ共有されないように設定できます。
またMicrosoft 365では、Microsoft Intuneを利用することで、ユーザー端末の管理が可能です。Microsoft Intuneによって、たとえば外部で紛失した端末のデータを遠隔から削除できます。これにより、情報漏えいのリスクを抑えられます。
さらにMicrosoft Intuneでは、端末にインストールされたセキュリティソフトのバージョンチェックも可能です。仮にきちんと更新されていなかった場合は、管理者が強制的にアップデートできます。
CASBによるセキュリティ保護
Microsoft 365を使う際のセキュリティ対策として、「CASB（Cloud Access Security Broker）」サービスの利用も注目されています。Microsoft 365へアクセスする際に、CASBを経由するよう設定することで、以下の機能が利用できます。
- 可視化と分析
Microsoft 365の利用状況を可視化・分析する機能です。 - コントロール
Microsoft 365に対するアクセスを制御する機能です。 - データ保護
任意の機密情報が漏えいしないように対策する機能です。 - 脅威の検出と防御
Microsoft 365内に隠されたマルウェア・ランサムウェアなどを検知・隔離する機能です。さらに膨大なデータのダウンロードなど、異常なアクセスを検出することも可能です。
メールセキュリティの強化
メールによる情報漏洩が起きないようにする対策も必要です。その点、Microsoft 365にはウイルス・スパイウェアが含まれる送受信メールを検知し、削除する機能があります。ウイルス感染の原因となりやすい迷惑メールを削除することも可能です。
そのほか、任意のユーザーグループごとにアクセス権限を設定する機能もあります。権限の変更も難しくありません。
また、「SPF」「DKIM」といった認証を利用し、認証できないメールを受信しないように設定する機能もあります。これによって、なりすましメールによる被害を予防可能です。
まとめ
社外から社内への不正アクセスを重点的にカバーする従来型セキュリティでは、クラウド利用におけるセキュリティを保持できません。クラウドセキュリティでは、社外からの不正アクセスはもちろん、社内からの情報漏洩を予防するための対策も求められます。今回ご紹介した内容を参考に、ぜひ強固なセキュリティの構築にお役立てください。
