見えなかったクラウドサービスの利用を可視化
クラウドサービスの利用を柔軟に制御
クラウドサービスは近年急速に普及しており、今後さらに普及が加速すると考えられています。総務省調査の「平成30年版 情報通信白書」によると、2017年の時点でクラウドサービスを利用している企業の割合は50％を超えました。利用されているサービスの内容としては「ファイル保管・データ共有」（51.2％）が最も多く、次いで「サーバ利用」（47.6％）、「電子メール」（46.3％）と、企業の重要なデータのやり取りもクラウドサービスを利用して行っていることがわかります。
NRIセキュアが2018年3月に実施した調査においても、82.6%の企業がOffice 365、77.1%の企業がDropbox、57.1%の企業がEvernoteを利用していることが分かりました。2017年3月時点の調査と比較すると、クラウドサービスの企業利用が加速度的に進んでいます。
このようにクラウド利用が急速に進む一方で、セキュリティリスクの問題も表面化してきています。
適切なクラウドセキュリティ対策を講じるために、まずは、起こりうる主なリスクをご紹介しましょう。
クラウドサービスは、インターネットに接続していればどこからでも利用できる利便性ゆえに、第三者の不正アクセスのリスクが高いのも特徴です。クラウドサービス自体のセキュリティは自社では制御ができないため、セキュリティ対策が十分なサービスを選択することが重要です。一見、問題がないと思われるサービスにも思わぬ脆弱性が潜んでいる可能性はあります。ですが、クラウドサービスは現在33,000以上（Netskope社調べ）もあり、企業のIT担当者が各サービス内容を把握し、業務利用の可否を判断することは非常に難しいのが現状です。
企業によるクラウドサービスの業務利用が拡大していることにより、企業が把握していないクラウドサービス（シャドーIT）が増えています。Netskope社の調査では、『企業で利用されているクラウドサービスは平均900件あり、企業のIT担当者が把握しているのはそのうちわずか5％、残り95％はシャドーITである』という結果もありました。業務用のファイルを個人用のオンラインストレージに置いたり、チャットアプリで業務内容などの会話を行った場合、企業の把握していない思わぬところから重要情報が漏洩するなどのリスクが高まります。
企業のIT部門が把握しているクラウドサービスの利用にもリスクはあります。例えば下記のような場合、シャドーITと同様に情報漏洩のリスクが高まるため、何らかの制御が必要です。
・任意のクラウドサービス利用は許可・制御しているが、アカウントレベルの制御ができておらずプライベートアカウントでも利用されている。
・アップロード/ダウンロードの制御ができておらず、機密情報が知らない間にクラウドサービス上に置かれている。
・社外や自宅から会社のIDでログインし、私用PCに機密データをダウンロードしている。
上記リスクへの対策として注目されているのがCASBです。 CASBとは、SaaS※向けのセキュリティサービス、クラウドサービス利用によるリスクを解決するソリューションで、従業員がクラウドサービスを利用する際のセキュリティを一括管理する役割を果たします。
※SaaS（Software as a Service）…アプリケーションを端末にインストールなしで、インターネット上にサービスとして提供するもの。
Netskopeでクラウド利用に潜むセキュリティリスクを解決しませんか？
Netskopeは米国でトップクラスの導入実績があるクラウドセキュリティソリューションです。約33,000種類のクラウドサービスを判別・評価し、導入方式も柔軟に選択可能です。
中でもプロキシ型でのリアルタイム制御を得意としており、不特定多数のデバイスや環境、クラウドサービスに対し、「会社アカウントのみを許可し、個人アカウントをブロックする」などのアカウントごとの制御や、「個人情報を含むファイルのアップロードのみブロックする」というような、きめ細かい制御設定が可能です。
NetskopeにはCASBの「シャドーITの可視化」「コンプライアンス」「データセキュリティ」「脅威防御」を実現する4つの機能が備わっています。
１．シャドーITの可視化
従業員が利用しているクラウドサービスの利用状況を可視化し、操作証跡まで管理が可能です。「いつ」「誰が」「どのクラウドサービスに」「何をしたのか」を正確に把握できるため、特定困難だったシャドーITの把握や問題があった場合の早期発見が可能です。
２．コンプライアンス
Netskopeが判別・評価する約33,000種類のクラウドサービスのデータベースをもとに、サービスごとのリスク評価を行うことができます。コンプライアンスを満たさないサービス利用をリアルタイムに、評価内容に合わせて細かい制御が可能です。
例えば、会社で利用するクラウドサービスのみアクセスを許可し、業務上好ましくないクラウドサービスを遮断したり、会社で契約しているサービスは許可するが、同一サービスを私的なアカウントで利用することは不可とするなど柔軟に制御できます。
３．データセキュリティ
NetskopeのDLP機能を利用することで、ファイルがアップロードされる途中で内容を検査し、機密情報であると判断した場合は、アップロードを中断させることができます。また、特定の形式のファイルや特定の文言を含むファイルのみアップロードを禁止するという設定も可能です。
４．脅威防御
利用ユーザーの通常とは異なる疑わしい動きや、クラウドサービスへのアップロード及びダウンロードの際に、ファイルにマルウェアが含まれるか検査し、必要に応じてブロックするなど未知の脅威を排除します。
Netskopeは、用途やネットワーク環境などに合わせて、ログアップロード方式・API方式・プロキシ方式導入の中から1つまたは複数の方式を選択することが可能です。
NetskopeはCASBだけでなく、1つのクラウドプラットフォームで4つのソリューション領域に対応しています。それぞれの機能が、クラウド利用のリスクや課題を、解決に導きます。
URLフィルタやアプリケーションフィルタ、アンチウイルス、サンドボックスなどの機能を、クラウド上で提供するサービスのことです。CASBと一部重複する機能もありますが、主な制御対象はWEB全体となります。NetskopeではSWG機能も提供しており、クラウドサービスだけではなくWEB通信全体を制御/可視化の対象とし、危険なWEBサイトや業務上必要のないWEBサイトへのアクセスを防ぎます。
≫≫ ユースケース
・業務に関係無いWEBサイトへのアクセス時に警告画面を表示する。
・危険なWEBサイトへのアクセスをブロックする。
・マルウェアのダウンロードを検知してブロックする。
SDP（Software-Defined Perimeter） とも呼ばれ、ユーザーがアプリケーションに接続する際、本当に権限のある人が、時間帯や場所、デバイスやOS等のバージョンなどが正しいかをチェックし外部から不正侵入を防ぐ機能です。
VPN※を必要とすることなく企業のプライベートアプリケーションへ接続できます。クラウド上で提供されるため、VPNの課題で あった拡張性や脆弱性、運用負荷の問題が解消できたことで、近年注目されています。Netskope Private Accessでは、CASB、SWG機能と同じAgent、同じ管理コンソールでこのZTNA機能を提供致します。NPAを利用してセキュアなテレワークの実現が可能になります。
※VPN…（Virtual Private Network）…仮想プライベートネットワーク、仮想専用線。インターネット上の仮想の専用線を経由することで情報流出や改ざんなどの脅威を回避すること。
≫≫ ユースケース
テレワーク、リモートワーク環境でも下記の利用が可能です。）
・VPNを使わずに社内ポータルにアクセスする。
・AD管理サーバへアクセスし、運用作業を行う。
・IaaS上に構築したプライベートアプリへアクセスし、設定変更作業を行う。
例）重要情報を保存したAWSのS3がインターネット全体に公開される設定になっている等
※1：IaaS（Infrastructure as a Service）…サーバやストレージなどのインフラをクラウドサービスとして提供するもの。
※2：PaaS（Platform as a Service）…アプリケーションを構築または稼働させるために必要なミドルウェアなどのプラットフォームをクラウドサービスとして提供するもの。
NetskopeとIaaS/PaaSをAPI方式で接続すると、CASBと同じ管理コンソールで、CSPM機能が利用可能になります。これによりAPI接続したIaaS/PaaS上のリソースを継続的に監査し、コンプライアンスルール違反を特定することができます。
≫≫ ユースケース
・マルチクラウド環境（AWS、Azure、GCP複数利用）において、横断的にセキュリティ設定をチェックする。
・AWSの複数アカウント利用時において、アカウント全体でのセキュリティレベルを統一させる。
・複数の評価基準(例：CIS Benchmark,NIST,BestPractice等)に順応しているかセキュリティアセスメントを実施する。
・IaaS/PaaSの純正機能では作成が難しいカスタムルールを容易に作成することも可能。
NRIセキュアではクラウドセキュリティの知見が豊富な専門スタッフが導入支援・サポートをする『支援プラン』をご用意しています。『支援プラン』でNetskopeを導入された株式会社日本公文教育研究会様の“導入事例”も、ぜひご覧ください。▶導入事例はこちら
NRIセキュアはセキュリティへの豊富な知見を活かし、導入までを一括サポートいたします。その高いサービスレベルを多くのお客様からご評価いただき、販売開始からわずか2年目で国内トップの新規販売実績を誇りました。
2020年2月には、Netskope社より最高位「Platinum partner（プラチナ・パートナー）」に認定され、さらに、「Netskope Japan Emerging Partner Award 2019（技術的パートナー賞）」と「Partnar Sales Rep or the Year（個人セールス賞）」も同時受賞しました ▶ニュースリリース
「Netskope」の導入は確かな実績と信頼を誇る『NRIセキュア』にお任せください！
ITセキュリティへの知見が豊富なスタッフが、クラウドセキュリティについて語る“スタッフブログ”も、ぜひご覧ください。
