クラウドセキュリティの基本｜安全にクラウドを使うための対策

この記事でわかること

クラウドセキュリティの基本概念と責任共有モデル
中小企業が対策すべきセキュリティリスク5つ
具体的な対策（IAM・暗号化・バックアップ等）
クラウドサービス選定時のセキュリティチェックリスト
セキュリティインシデント発生時の対応手順

クラウドセキュリティの基本

クラウドサービスのセキュリティは「責任共有モデル」に基づきます。インフラのセキュリティはクラウド事業者が担保しますが、データやアクセス管理はユーザー企業の責任です。

責任共有モデル

レイヤー	IaaS（AWS等）	PaaS（Heroku等）	SaaS（Salesforce等）
データ	ユーザー	ユーザー	ユーザー
アプリケーション	ユーザー	ユーザー	ベンダー
ミドルウェア	ユーザー	ベンダー	ベンダー
OS	ユーザー	ベンダー	ベンダー
仮想化基盤	ベンダー	ベンダー	ベンダー
物理インフラ	ベンダー	ベンダー	ベンダー

重要なポイント: どのサービス形態でも「データの保護」は常にユーザーの責任。クラウドに預けたからといって、データセキュリティの責任がなくなるわけではありません。

中小企業が対策すべき5大リスク

リスク①: アカウント乗っ取り

原因: パスワードの使い回し、フィッシング、パスワードの漏洩
被害例: AWS/Azureアカウントが乗っ取られ、仮想通貨マイニングに悪用。月額数百万円の請求
対策: 多要素認証（MFA）の必須化、パスワードマネージャーの利用

リスク②: データ漏洩

原因: クラウドストレージの公開設定ミス、APIキーのGitHub公開
被害例: S3バケットが公開設定のまま放置され、顧客データが流出
対策: デフォルトで非公開設定、定期的な設定監査

リスク③: 内部不正

原因: 退職者のアカウント残存、過剰な権限付与
被害例: 退職した元社員が顧客データをダウンロード
対策: 最小権限の原則、退職時の即時アカウント無効化

リスク④: ランサムウェア

原因: マルウェア感染からクラウド上のデータも暗号化
被害例: クラウド同期されたファイルがランサムウェアで暗号化
対策: バックアップの3-2-1ルール、EDRの導入

リスク⑤: サービス停止

原因: クラウド事業者の障害、DDoS攻撃
被害例: AWSの障害で自社サービスが数時間停止
対策: マルチリージョン構成、障害時の対応手順の準備

💬

クラウドセキュリティの事故の大半は「設定ミス」です。高度なサイバー攻撃よりも、S3バケットの公開設定やIAMの過剰権限が原因で情報漏洩するケースが圧倒的に多い。まず「クラウドの設定を定期的に見直す」習慣をつけてください。AWS Security Hub、Azure Security Centerなどの無料ツールで設定ミスを自動検知できます。

具体的な対策

IAM（アクセス管理）

対策	具体的な実施内容
多要素認証（MFA）	全ユーザーに必須。特にrootアカウントは最優先
最小権限の原則	業務に必要な最小限の権限のみ付与
アカウント棚卸し	月1回、不要なアカウントを削除
パスワードポリシー	12文字以上、英数記号混在、90日ごとの変更
SSO連携	Google Workspace/Microsoft 365とのSSO

データ暗号化

通信の暗号化: TLS 1.2以上を必須（全通信経路）
保存データの暗号化: AES-256。AWS KMS、Azure Key Vault等を利用
鍵管理: 暗号鍵はクラウドの鍵管理サービスで管理（自己管理はリスク大）

バックアップ（3-2-1ルール）

3: データのコピーを3つ持つ（本番 + バックアップ2つ）
2: 2種類以上の媒体に保存（クラウド + 別リージョン or オンプレミス）
1: 1つは遠隔地に保管（別リージョン or 別クラウド）
テスト: 四半期に1回、バックアップからの復元テストを実施

ログ管理・監視

アクセスログ: 全アクセスを記録（AWS CloudTrail、Azure Activity Log等）
アラート設定: 異常な操作（大量ダウンロード、深夜のアクセス等）を自動検知
ログ保存期間: 最低1年間（法的要件に応じて延長）

SaaS選定時のセキュリティチェックリスト

チェック項目	確認内容
セキュリティ認証	SOC2 Type II、ISO27001の取得状況
データの保管場所	日本国内のデータセンターか
暗号化	通信・保存データの暗号化方式
MFA対応	多要素認証に対応しているか
SSO対応	SAML/OIDC対応か
バックアップ	自動バックアップの頻度・保持期間
SLA	稼働率のSLA（99.9%以上推奨）
データエクスポート	契約終了時のデータ返却方法
インシデント対応	事故発生時の通知義務・対応体制
利用規約	データの二次利用・第三者提供の有無

インシデント対応手順

初動対応（発生〜1時間以内）

インシデントの検知・確認
被害拡大の防止（アカウントロック、ネットワーク隔離等）
関係者への第一報（経営者・CISO・情報システム部門）
対策本部の設置

調査・復旧（1時間〜数日）

原因の特定（ログ分析）
被害範囲の特定
復旧作業（バックアップからのリストア等）
再発防止策の実施

報告・改善（数日〜）

個人情報漏洩の場合：個人情報保護委員会への報告（72時間以内）
本人への通知
再発防止策の策定と実施
インシデント報告書の作成

💬

中小企業がまずやるべきクラウドセキュリティ対策はこの3つです：①全アカウントにMFA（多要素認証）を設定、②退職者のアカウントを即日無効化、③クラウドストレージの共有設定を月1回チェック。この3つだけで、クラウドのセキュリティ事故の80%以上を防げます。今日からできることばかりなので、すぐに実行してください。

まとめ

クラウドは「責任共有モデル」。データのセキュリティは利用者の責任
事故の大半は「設定ミス」が原因。高度な攻撃より怖い
MFA必須化・最小権限・バックアップ3-2-1が基本の3本柱
SaaS選定時はSOC2/ISO27001取得、データ保管場所、暗号化を確認
インシデント対応手順を事前に準備し、年1回訓練を実施

クラウドセキュリティのご相談は、お問い合わせからお気軽にどうぞ。

クラウドセキュリティのご相談

お気軽にご相談ください。無料でアドバイスいたします。

無料で相談する

この記事をシェア

クラウドセキュリティのことならFUNBREWへ

要件整理から開発まで一貫して対応します。

お問い合わせ

クラウドセキュリティの基本｜安全にクラウドを使うための対策