クラウドセキュリティの基本は、責任共有モデルの理解、IAMの最小権限設計、暗号化、ネットワーク制御、ログ管理の5領域です。AWS・Azure・Google Cloudのいずれも同等のセキュリティ機能を提供しており、自社のクラウド環境に応じた適切な設計と運用が重要です。
責任共有モデル
クラウドセキュリティの大前提が責任共有モデルです。クラウドプロバイダー（CSP）が「クラウドのセキュリティ」を担い、利用者が「クラウド内のセキュリティ」を担います。
| サービスモデル | CSPの責任 | 利用者の責任 |
|---|---|---|
| IaaS | 物理インフラ、ハイパーバイザー | OS、ミドルウェア、アプリ、データ、アクセス制御 |
| PaaS | 上記 + OS、ランタイム | アプリ、データ、アクセス制御 |
| SaaS | 上記 + アプリ | データ、アクセス制御、設定 |
IAM（アイデンティティ管理）
クラウドセキュリティの最重要領域です。クラウドへのすべてのアクセスはIAMを通過するため、IAMの設計ミスは直接的な情報漏洩につながります。
共通のベストプラクティス
- 最小権限の原則：必要最小限の権限のみを付与
- MFAの全面適用：特に管理者アカウントは必須
- ルートアカウント/グローバル管理者の使用制限：日常業務では使用しない
- サービスアカウントの管理：定期的なキーローテーション
- 権限の定期棚卸し：未使用の権限を四半期で見直し
セキュリティ対策は導入して終わりではなく、日々の運用と検知後の初動が成果を分けます。情シス365では Defender／Intune の運用も含めて、必要な時間数に応じた月額制（月12万円〜）でご支援しています。
情シス365（セキュリティ運用） を見る →暗号化
保存時の暗号化（Encryption at Rest）
3大クラウドともストレージ・データベースのデフォルト暗号化が提供されています。多くのサービスでAES-256が自動適用されます。より高いセキュリティが必要な場合は顧客管理鍵（CMK）を使用します。
転送時の暗号化（Encryption in Transit）
すべての通信をTLS 1.2以上で暗号化します。3大クラウドともデフォルトでTLS暗号化が適用されますが、古いプロトコル（TLS 1.0/1.1）が無効化されていることを確認しましょう。
ネットワーク制御
- VPC/VNet設計：パブリックサブネットとプライベートサブネットの分離
- セキュリティグループ/NSG：最小限のポートのみ許可。0.0.0.0/0からのSSH/RDPは禁止
- プライベートエンドポイント：PaaS/SaaSサービスへの接続をインターネットを経由せずプライベート接続
- WAF：Webアプリケーションの前段にWAFを配置してOWASP Top 10の攻撃を防御
ログ管理と監視
| 目的 | AWS | Azure | Google Cloud |
|---|---|---|---|
| API操作ログ | CloudTrail | Activity Log | Cloud Audit Logs |
| リソース監視 | CloudWatch | Azure Monitor | Cloud Monitoring |
| 脅威検知 | GuardDuty | Defender for Cloud | Security Command Center |
| SIEM連携 | Security Lake | Microsoft Sentinel | Chronicle |
CSPM（クラウドセキュリティ態勢管理）
CSPM（Cloud Security Posture Management）は、クラウド環境の設定ミスやコンプライアンス違反を自動的に検出する仕組みです。
- AWS：Security Hub + Config
- Azure：Defender for Cloud（CSPM）
- Google Cloud：Security Command Center
「S3バケットがパブリック公開になっている」「ストレージアカウントの暗号化が無効」といった設定ミスを自動検出し、修正を推奨します。
3大クラウドのセキュリティ機能比較
| 領域 | AWS | Azure | Google Cloud |
|---|---|---|---|
| IAM | IAM + Organizations + SSO | Entra ID + PIM | Cloud IAM + Organization Policy |
| 鍵管理 | KMS + CloudHSM | Key Vault + Managed HSM | Cloud KMS + Cloud HSM |
| DDoS対策 | Shield (Standard/Advanced) | DDoS Protection | Cloud Armor |
| WAF | AWS WAF | Azure WAF | Cloud Armor WAF |
| コンプライアンス | Audit Manager | Compliance Manager | Assured Workloads |
BTNコンサルティングの支援
AWS、Azure、Google Cloudのセキュリティ設計・実装を支援します。IAM設計、ネットワーク設計、暗号化設定、ログ管理、CSPM導入まで一括で対応します。
よくある質問
責任共有モデルとは何ですか？
クラウド事業者（CSP）と利用者で責任範囲を分担する考え方です。IaaSではCSPが物理インフラとハイパーバイザーを担い、利用者がOS・ミドルウェア・アプリ・データ・アクセス制御を担います。PaaSではOSとランタイムまでCSP側、SaaSではアプリまでCSP側となり、利用者の責任はデータ・アクセス制御・設定に絞られます。
クラウドセキュリティで最も重要な領域は？
IAM（アイデンティティ管理）です。クラウドへのすべてのアクセスはIAMを通過するため、設計ミスが直接的な情報漏洩につながります。最小権限の原則、管理者アカウントへのMFA必須化、ルートアカウント／グローバル管理者を日常業務で使わないことが基本です。
暗号化はどこまで設定が必要ですか？
保存時は3大クラウドともストレージ・データベースのデフォルト暗号化（多くはAES-256）が提供されており、より高いセキュリティが必要なら顧客管理鍵（CMK）を使います。転送時はTLS 1.2以上とし、TLS 1.0/1.1が無効化されていることを確認します。
ネットワーク設定で気をつける点は？
VPC/VNetでパブリックサブネットとプライベートサブネットを分離し、セキュリティグループ／NSGでは最小限のポートのみ許可します。0.0.0.0/0からのSSH/RDPは禁止です。PaaS/SaaSへの接続はプライベートエンドポイント経由にします。
まとめ
クラウドセキュリティの基本は、責任共有モデルの理解、IAMの最小権限設計、暗号化、ネットワーク制御、ログ管理の5領域です。AWS・Azure・Google Cloudのいずれも同等のセキュリティ機能を提供しており、自社のクラウド環境に応じた適切な設計と運用が重要です。