概要

クラウドコンピューティングはオンプレミスと異なり、セキュリティの責任がCSP（Cloud Service Provider）とユーザで分担されます。この「責任共有モデル」を誤解すると、重大なセキュリティリスクが生じます。SC試験では責任共有モデル・サービスモデルごとの違い・クラウド固有のリスクが出題されます。

クラウドサービスモデルの比較

IaaS・PaaS・SaaSの定義

モデルユーザが管理する範囲CSPが管理する範囲例
IaaSOS・ミドルウェア・アプリ・データハードウェア・仮想化・ネットワークAWS EC2・Azure VM
PaaSアプリ・データOS・ランタイム・ミドルウェア以上AWS RDS・Heroku
SaaSデータと利用設定のみアプリを含む全スタックSalesforce・Office365

責任共有モデル詳細

SaaS の責任分担：
CSP：[物理][ネットワーク][仮想化][OS][ランタイム][ミドルウェア][アプリ]
ユーザ：[データ][アクセス管理][エンドポイント][設定]

IaaS の責任分担：
CSP：[物理][ネットワーク][仮想化]
ユーザ：[OS][ミドルウェア][アプリ][データ][アクセス管理][設定]

重要な誤解：SaaSでもアクセス管理・データ保護・設定はユーザ責任です。

IaaS と SaaS の責任範囲の比較
IaaS SaaS
OS管理
ユーザ責任
CSP責任
ミドルウェア
ユーザ責任
CSP責任
アプリケーション
ユーザ責任
CSP責任
データ・アクセス管理
ユーザ責任
ユーザ責任
代表例
AWS EC2 / Azure VM
Salesforce / Office365

クラウド固有のセキュリティリスク

データの所在（データ主権）

リスク内容
データの物理的場所データがどの国に保存されるか。日本の個人情報保護法・GDPRとの関係
越境データ移転GDPR「十分性認定」がない国へのデータ転送制限
行政機関のアクセスCSPが所在する国の法律（例：CLOUD Act）による開示要求

マルチテナントリスク

クラウドは複数の顧客が同一のハードウェアを共有します（マルチテナント）。

リスク軽減策
サイドチャネル攻撃仮想化レイヤで分離。機密データはシングルテナント構成を検討
ノイジーネイバーパフォーマンスへの影響。専有インスタンス（Dedicated Host等）で回避

クラウド接続のセキュリティ

接続方式特徴
インターネット（パブリックエンドポイント）一般的。TLSで暗号化
VPN暗号化されたトンネル
専用線（AWS Direct Connect等）インターネットを経由しない専用接続。高帯域・低レイテンシ
VPCエンドポイントAWSサービス間の通信をプライベートネットワーク内で完結

AWS Well-Architected フレームワーク（セキュリティ柱）

AWSのベストプラクティスを6つの柱で整理したフレームワークです。セキュリティ柱では以下を定義しています。

設計原則内容
強力なアイデンティティ基盤の実装最小権限・一時的認証情報・MFA
トレーサビリティの確保ログ・監査・アラートの統合
全レイヤでのセキュリティネットワーク・コンピューティング・アプリ・データの多層防御
セキュリティベストプラクティスの自動化Infrastructure as Code・コンプライアンス自動化
データ保護転送時・保存時の暗号化・鍵管理
セキュリティイベントへの準備インシデント対応ランブックの整備
Well-Architected フレームワーク（セキュリティ柱）
アイデンティティ基盤
最小権限・MFA
トレーサビリティ
ログ・監査・アラート
全レイヤ防御
多層防御
自動化
IaC・コンプライアンス
データ保護
暗号化・鍵管理
インシデント準備
対応ランブック
セキュリティ柱
6つの設計原則

鍵管理サービス（KMS）

クラウドでの暗号化鍵の管理を行う専用サービスです。

サービス説明
AWS KMSAWSマネージドの鍵管理サービス
Azure Key VaultAzure の鍵・シークレット・証明書管理
GCP Cloud KMSGCPの鍵管理サービス

鍵の管理方式：

  • SSE-S3：CSPが鍵を管理（最も簡単）
  • SSE-KMS：ユーザがKMSで鍵を管理（監査ログあり）
  • SSE-C：ユーザが鍵を提供（最も制御が高い）

IaC（Infrastructure as Code）のセキュリティ

Infrastructure as Code（Terraform・CloudFormation等）の利点：
- インフラをコードで管理 → バージョン管理・レビュー可能
- 設定ミスの予防 → コードレビューで誤設定を発見
- 再現性 → 環境の一貫した構成を保証

セキュリティリスク：
- IaCファイルにシークレット（パスワード・APIキー）を含めてしまう
- 対策：シークレットスキャン（git-secrets・truffleHog）

SC試験での頻出ポイント

  • SaaSでもユーザが責任を負う領域：データの分類・アクセス管理（MFA設定等）・設定（ファイル共有設定等）
  • IaaSとPaaSのセキュリティ責任の違い：IaaSではOSのパッチ適用がユーザ責任。PaaSではCSPが担当
  • データ主権とGDPR：EU市民データをGDPR十分性認定のない国に移転するには追加的な保護措置が必要
  • KMSでの鍵管理の重要性：誰が鍵を管理するかによってデータへのアクセス制御の責任が変わる
  • VPCエンドポイントの目的：インターネットを経由せずにAWSサービスにプライベート接続

よくある誤問・ひっかけパターン

誤り① 「SaaSを利用すれば自社でセキュリティを考える必要がない」→ 誤。アクセス管理・データ保護・設定はユーザ責任として残ります。

誤り② 「クラウドはオンプレミスより必ず安全」→ 誤。クラウドCSPのインフラは高セキュリティですが、設定ミス・権限管理ミスはユーザ責任であり、インシデントの主因です。

誤り③ 「専用線（Direct Connect）は暗号化されているため安全」→ 誤。専用線はインターネット経路を回避しますが、デフォルトでは暗号化されていません。機密データにはIPsec等の暗号化を追加する必要があります。

関連用語

重要キーワード

用語説明
責任共有モデルクラウドのセキュリティ責任をCSPとユーザで分担する考え方
IaaS/PaaS/SaaSクラウドの3サービスモデル。ユーザの責任範囲が異なる
データ主権データの物理的所在国と適用法律の問題
KMSクラウドの暗号化鍵を管理するマネージドサービス
IaCインフラをコードで管理する手法。Terraform・CloudFormation等
Well-ArchitectedAWSのアーキテクチャベストプラクティスを6つの柱で整理したフレームワーク