第22回　クラウドは安全という都市伝説

飯田市、新潟市、香芝市、木更津市、神戸市、西条市、高砂市、寝屋川市、東村山市、守谷市、船橋市等が2月になってから不正アクセスを受けたとの報道がありました。これらの自治体は特定の業者のクラウドを利用した情報サービスを提供していました。その特定の業者の大失態ではなく、業者が利用していたセールスフォース社のクラウドサービスにおける設定の問題だったのです。いわゆるデフォルトの問題、つまり最初に設定する際に特定の操作をしない限り、本来アクセスできない第三者がその情報にアクセスできたのです。これらの自治体の場合、契約によっては、特定業者の責任として問われることになるかもしれません。しかし本質的には利用者、つまり自治体が意識することなく、設定を誤ったことになり、大きな責任があると言わざるを得ません。この根底には「クラウドは安全」という、都市伝説ともいえる誤った考えが支配しているからでしょう。ネットワークやセキュリティ関係の技術者にとって当然のことでも、技術と無縁の人にとっては、クラウドは「安くて便利、それに安全」という魔法の言葉となっているのです。

クラウドは必ずしも安全ではないのです。異論を恐れず、大胆なたとえを使えば、クラウドは大型スーパーマーケットのようなものです。消費者が必要としている「もの」（商品）を大量に購入し、物流にまで関与して、コストを下げるようなものです。その商品の管理も一元的に集中して行い、品質維持に努めます。クラウドではその「もの」が情報サービスなのです。大型スーパーマーケットではさらにコストを下げるために、配送された箱のまま陳列したり、まとめ売り、更にはレジでの支払いを自動化する店舗もあります。クラウドも同様で必要最小限のサービスを提供し、本質的なサービス以外は、利用する人の負荷に頼るのです。つまり、そのサービスを利用する人に細々とした世話をすることはありません。また多くの人の要求に応じるためにも、様々な利用状況に対応できるようになっています。このことがある人にとっては便利な状況でも、他の人にとってはセキュリティ上の大きな問題になり得るのです。

セールフォースの問題となった点もゲストユーザのアクセス権限の管理であって、当初の設定を緩くしていたのです。セキュリティの大原則から言えば、まずはどのユーザもすべてのファイルにアクセスできない状況から始めて、それぞれのユーザにファイルのアクセス権限を与えていくべきですが、利便性から言えばそうはならず、極端には誰でもアクセスできる状況になっている場合が多いようです。不正アクセスという遠い先の脅威よりも、目先の使い勝手に走ってしまうのです。サービス側も目先の「アクセスできない」というクレームよりも、先々の、実は大きな脅威である不正アクセス、情報漏えいに目をつぶってしまうのです。

基本的にクラウドの恩恵を得るためには、クラウドを十分理解した上で、そのサービス内容や設定に精通する必要があるのです。それを十分に考慮した上でも、まだ安全でない可能性もあります。それは障害の問題です。たとえ大手のクラウドサービスでも障害が起こり、長時間データにアクセスできないだけでなく、最悪の場合、データ自体が紛失してしまう可能性もあるのです。クラウドと言っても、その先にあるのは雲や霧ではなく、物理的な装置です。物理的なものである以上、故障は当然あり得るのです。故障だけでなく、クラウド管理運営側の人為的なミスによってデータが紛失する場合もあります。昨年11月の福井県のふくい産業支援センターが運営するWebサービスにおいてデータが完全に抹消されてしまいました。これは管理運営会社が、福井県が契約更新したにも関わらず、その手続きが滞り、更新されていないものと解釈し、データを抹消したのです。

対策としては、まずデータの消滅や障害による長時間のサービス不可の状態があり得るものと考え、その場合の対処策を練っておくべきです。クラウドに置かれたデータが抹消されただけで、その被害において補いきれない損失を被る場合は、バックアップをとっておき、そのバックアップによって復旧するまでの時間と併せて損失をあらかじめ評価しておくべきです。それによって最終的に取り得る全体的な対策が見えてくるはずです。

今回のセールスフォースに起因する問題は当然自治体だけではありません。少なくない数の企業がセキュリティ上の問題を露呈しました。クラウドの利用においては、その利用方法や設定だけが問題ではなく、クラウドを利用する自治体や企業、組織のセキュリティ意識も重要です。類推可能な簡単なパスワードが設定されていないか等、パスワードの管理をおこなっているか、パスワード自体が漏えいしていないか、またフィッシングサイトが作られ、クラウドのユーザに成りすますためのIDとパスワードが搾取されていないか等、サービス自体をしっかりと管理する必要もあるのです。クラウドは無条件に安全とは言い難いのです。