クラウドデータセキュリティとは何ですか？

クラウドデータセキュリティとは、クラウド環境を通じて保存、処理、送信されるデータを保護するための、ポリシーと制御の戦略的な組み合わせのことです。その重点はクラウドデータの機密性、完全性、可用性に置かれており、データ損失、不正アクセス、偶発的な漏洩、破損、データ流出といった様々な侵害を防止することを目指している。

The protection that cloud data security delivers has never been more critical in an era when over 98% of organizations store their most sensitive data in the cloud, according to Illumio research. Yet the same research found that 47% of all data breaches originated in the cloud, with an average cost of over $4 million per incident.

導入と保護の間の乖離こそが、Illumioがゼロトラストセグメンテーション（ZTS）を中心としたアプローチを構築した理由です。Illumioのチーフエバンジェリストであり、 ゼロトラストの創始者でもあるジョン・キンダーヴァグは、ゼロトラストを、攻撃者が到達できる範囲を制限する「侵害を前提とした考え方」に基づいた戦略であり「思考法」だと説明している。効果的なクラウドデータセキュリティには、同様の考え方が不可欠です。これはデータそのものの保護を中心としており、クラウド上でデータがどこへ移動しても、その保護はデータと共に移動します。

クラウドデータセキュリティが重要な理由とは？

ほとんどの企業と同様に、貴社もおそらく、パブリッククラウド、プライベートクラウド、ハイブリッドクラウド、マルチクラウドといった複数のクラウド環境にわたって機密データを保存および処理しており、多くの場合、それらは同じワークフロー内で行われていると考えられます。その分散化は業務効率を高める一方で、セキュリティチームが管理する必要のあるリスクも生み出します。さらに事態を複雑にしているのは、サードパーティのサービスやクラウドとの連携によって、データの発見と管理がさらに困難になることです。複数のプラットフォームにまたがって存在するデータセットは、可視性や管理性が低いため、セキュリティチームが把握しにくくなりがちです。 

ほとんどの企業は資産の保護をクラウドデータストレージプロバイダーに依存しているが、内部の監視不足やデューデリジェンスの欠如が攻撃者の侵入経路となる。そして、そのリスクの多くは小さなことから始まる。例えば、設定ミスや過剰な権限設定だけでも、情報漏洩の約80%の原因となっている。たった1つのオープンなストレージバケットや過剰な権限を持つアカウントがあれば、高度な攻撃を仕掛けなくてもデータが危険にさらされる可能性があります。

Illumio's 2025 Global Cloud Detection and Response Report surveyed over 1,100 security leaders and found that nearly 90% of organizations experienced lateral movement in the past year, yet only half caught it in real time. While visibility has improved, with 80% of organizations monitoring hybrid communications, nearly 40% of that traffic still lacks the context teams need to act on it.

データ漏洩は、漏洩そのものにとどまらず、重大な影響を及ぼす可能性がある。クラウドデータのセキュリティが脆弱だと、規制遵守が脅かされるだけでなく、インシデント発生時に業務を継続する能力も損なわれます。また、顧客が共有した情報を保護してくれるという信頼を損なうことにもなり、一度失った信頼は必ずしも回復できるとは限りません。

どのような種類のクラウドデータが保護を必要とするのか？

クラウドに保存されたデータは常に移動しており、通過する各段階において情報漏洩のリスクが存在する。包括的なクラウドデータセキュリティ戦略は、3つの状態にある情報を保護します。

• 静止データは、データベース、オブジェクトストレージ、ファイルシステム、バックアップ、アーカイブなどに保存されている。同じ場所に留まっているため、アクセス制御を突破した者にとって、常に標的となる。
• 転送中のデータは、ユーザーからユーザーへ、アプリケーションからアプリケーションへ、そしてワークロードとクラウドサービスプロバイダー間のAPI呼び出しを介して移動します。データ転送のたびに、傍受者があなたのデータを入手する潜在的な機会が生じます。
• 使用中のデータは、さまざまなアプリケーション、ワークロード、分析、およびAIモデルによって処理されています。使用されているデータは読み取り可能な形式であるため、この状態は非常に脆弱である。

データは通常、そのライフサイクル全体を通して複数の状態にまたがって存在します。真のクラウドデータセキュリティ戦略は、データが現在どのような状態にあるかに関わらず、データを保護します。

クラウドデータセキュリティはどのように機能するのか？

クラウドデータセキュリティは継続的なサイクルとして機能し、各段階がデータの保護において重要な役割を果たします。

最初の発見フェーズでは、組織のデータがクラウド環境全体にどこに存在するかを特定し、機密性やビジネスにとっての価値に基づいて分類します。そこから、チームはアクセス制御パラメータを定義し、どのユーザー、アプリケーション、サービス、ワークロードがそのデータを使用できるか、またどのような条件下で使用が許可されるかを決定します。

次の段階は暗号化です。これは、アクセス制御に加えて、さらに保護層を追加するものです。つまり、データへのアクセスを許可または拒否する方法を決定したら、保存時と転送時の両方でデータを暗号化するということです。また、データを復号化するための鍵も保護する必要があります。これらの鍵を保護することは非常に重要です。なぜなら、誰かが鍵を入手した場合、機密データを復号化できてしまう可能性があるからです。

プロセス全体を通して整合性を維持するためには、モニタリングが不可欠です。監視には、構成変更、権限レベルとユーザー権限、アクセス試行とデータフロー、および組織のセキュリティ体制に関連するその他の要素の監視が含まれます。理想的には、監視によって問題や変更が違反となる前に検知できるべきである。

最後に、脅威が侵入した場合、検知と対応が引き継がれます。この段階では、侵害されたシステムを隔離し、さらなる不正アクセスを防止することで、被害を最小限に抑える必要があります。こうすることで、データの漏洩や破損の可能性を最小限に抑え、クリーンなデータと通常の業務の両方を復旧させることができます。

クラウドデータセキュリティにおける最大のリスクは何ですか？

以下のリスクには、共通する根本原因が一つあります。それぞれが、より強力なプロセスであれば遮断できたはずの、攻撃者や事故によるデータへの経路を彼らに与えてしまう。

クラウドの設定ミス

クラウド環境における設定ミスは、本来保護されているはずの環境への侵入経路を開く可能性があります。公開されているストレージバケット、暗号化されていないデータベース、設定ミスのあるサービス、不適切または脆弱なネットワーク制御などがあると、脆弱性を見つけた人は誰でもあなたのデータにアクセスできてしまいます。クラウド環境は常に変化しているため、プロジェクト中に発生した設定ミスは、プロジェクト終了後も長期間にわたって影響を及ぼし続ける可能性があります。

過剰なアクセスまたは不正アクセス

Access risk increases when users have privileges beyond what they need. Overprivileged identities, stolen credentials, insecure service accounts, insider threats, and weak authentication all widen your attack surface. An account with more access than its job requires becomes a bigger prize the moment it falls into the wrong hands.

データ損失とデータ流出

悪意の有無にかかわらず、権限のない第三者は、一度アクセス権を取得すると、機密性の高いクラウドベースのデータを移動、複製、削除、暗号化、または破損させる可能性があります。こうした活動の多くは静かに行われ、被害が発生するまで正規のネットワーク通信に紛れ込む。

安全性の低いAPIとサードパーティサービス

新しい統合が行われるたびに、お客様の環境への新たな入り口が生まれます。認証の脆弱性、安全性の低いエンドポイント、過度に寛容な共有設定などにより、APIやサードパーティサービスが本来の用途を超えて機密情報を漏洩させる可能性があります。

限定的な可視性とシャドウデータ

目に見えるものしか守ることはできない。未知のデータストア、管理されていないコピー、古いデータ、シャドウクラウドサービス、そして環境間で一貫性のないポリシーは、インシデントが発生するまで静かに拡大していく盲点を生み出します。

クラウドデータセキュリティの中核となる構成要素とは何ですか？

これらのコンポーネントが連携して、お客様のデータを保護します。それぞれが異なる層をカバーしており、いずれかの層に弱点があると、システム全体に脆弱性が生じる。

データ発見と分類

組織は、機密データを保護する前に、そのデータがどこに保存されているかを把握していなければならない。データ探索は、組織の各クラウド環境に存在する機密データを特定します。分類処理では、そのデータを種類、機密レベル、所有者、および適用される規制に基づいて並べ替えます。これは、組織の戦略全体の基盤となるものです。

IDおよびアクセス管理

アイデンティティおよびアクセス管理（IAM）は、強力な認証、最小権限、役割ベースのアクセス、定期的な権限レビューなどの手段を用いて、誰がどのような条件下でデータにアクセスできるかを決定する、サイバーセキュリティの中核となる分野です。Illumioのソリューションアーキテクチャ担当副社長であるブライアン・ピッタ氏は、これを継続的な取り組みと捉え、「攻撃は時折発生する問題だが、姿勢管理は日常的に必要なことだ」と述べている。その見解は、 ゼロトラストセキュリティの必要性を強調するものでもある。「決して信用せず、アクセス要求を常に検証せよ。そしてこの原則は、人間以外の存在に対しては特に重要だ」と、 ピッタ氏はAIによる脅威について議論するイルミオの世界ツアーで付け加えた。

暗号化と鍵管理

データは保存時および転送時に暗号化されるため、適切な鍵を持たない者には読み取れないデータとなる。鍵自体も同様に厳重な保護が必要であり、安全な保管、定期的な交換、アクセス制限によって、不正な手に渡らないようにする必要がある。

データ損失防止

DLPは、ユーザーが機密情報を共有、コピー、移動、または公開しようとするのを監視します。ほとんどの場合、DLPプラットフォームはこれらの行為が侵害となる前に特定し、阻止することができます。これにより、組織は従業員が承認されたワークフロー外で機密データを移動しようとした際にそれを検知できるようになります。

監視と脅威検出

継続的な監視により、データアクセス、構成変更、ワークロード通信、および不審なアクティビティの移動を追跡します。IllumioのCEOであるアンドリュー・ルービン氏は、この可視性を「点と点をつなぐ」システムだと表現し、セキュリティチームが「あらゆる干し草の山からあらゆる針を見つける」のに役立つと述べています。

クラウドデータライフサイクル全体を通して、データはどのように保護されるのか？

データは、作成から削除に至るまでのライフサイクルの各段階で、それぞれ異なる保護が必要となる。

1. 作成と収集：データが環境内に取り込まれる際に、分類、同意、最小化、およびセキュリティ要件が確立され、ライフサイクルの各段階を経てデータが移動する際に、それを保護するためのガイドラインとなります。
2. ストレージ：保存されたデータは、暗号化、アクセス制御、安全な構成、およびバックアップポリシーによって保護されます。バックアップポリシーは、紛失または破損したデータを安全に復元できることも保証します。
3. 利用と共有：データはユーザー、ワークロード、アプリケーション、その他のサービス間で共有されるため、システムは不正な第三者によるデータへのアクセスを防ぐために、アクセスを継続的に検証する必要があります。
4. アーカイブ：長期データは、日常的な使用が終了した後、保持、完全性、コンプライアンス、およびアクセス制御によって管理されます。
5. 削除：データが不要になった場合、または組織が法的義務に基づいてデータを破棄する必要がある場合、データは安全に削除されます。

どの段階においても不備があると、他の段階で適用される保護が損なわれる。最善の方法は、クラウドデータのライフサイクル全体を一つのまとまりのある単位として扱い、保護されていない段階を残さないことです。

クラウドデータセキュリティ対クラウドデータ保護

Cloud data security and cloud data protection are similar concepts that overlap but also differ in key ways. Cloud data security refers to efforts to prevent unauthorized use, misuse, and cyberattacks against your data. Cloud data protection is broader, covering security plus backup, recovery, retention, availability, and lifecycle management.

セキュリティとは、玄関の鍵のようなものだ。効果的な総合的アプローチでは、包括的な保護（暴風雨による被害を軽減するための計画全体）も考慮に入れる必要があります。なぜなら、ドアに鍵をかけていても、暴風雨によって壁が倒壊する可能性があるからです。セキュリティ対策によって攻撃者の侵入を防ぎます。レジリエンス（回復力）があれば、たとえ侵入されても業務を継続できる。

クラウドデータセキュリティ対データセキュリティ態勢管理

クラウドデータセキュリティとは、クラウドベースのコンピューティングプラットフォームにおけるデータを保護するために行われるあらゆる対策を指す、より包括的な用語である。しかし、データセキュリティ態勢管理（DSPM）は、この包括的な枠組みに含まれる技術分野の一つであり、機密データがどの程度脆弱であるかを特定、分類、報告するために設計されています。

DSPM can reveal risks from excessive permissions, shadow data, configuration errors, and compliance gaps. It strengthens a cloud data security program, but it doesn’t replace encryption, identity security, segmentation, DLP, or incident response.

クラウドデータセキュリティは、AIワークロードにどのように適用されるのか？

AIワークロードは、トレーニングデータや検索ソースから、プロンプト、モデル出力、埋め込み、推論データに至るまで、保護すべきデータの層をさらに増やす。データの各層にはそれぞれ固有のリスクがあるが、いずれの場合も、他のあらゆる場面で適用されるのと同じクラウド管理手法が必要となる。

機密データが、許可されていないAIモデルやサードパーティのAIサービスと意図せず共有されること（例えば、不適切なプロンプトや未承認の統合によるもの）を防ぐことも、組織が必要とする保護措置の重要な要素です。そのため、厳格なアクセス制御は、すべてのAIワークロード、データパイプライン、ベクトルデータベース、およびそれらのワークロードに接続されているその他のツールに適用され、エージェントは組織内での役割に基づいて、閲覧を許可されたもののみにアクセスできるようにする必要があります。

さらに、監視活動も進化させる必要があり、データ汚染、プロンプトに基づく情報漏洩、エージェントの過剰な権限、異常なデータアクセスといった潜在的な問題に対する監視を含める必要がある。Massive Scale AIの創設者兼CEOであるジョシュ・ウッドラフ氏は、この取り組みをどのように組織化するかについての指針を提供する「 エージェント信頼フレームワーク」を開発しました。

クラウドデータセキュリティのベストプラクティスとは？

これらの実践方法は、組織がどのクラウドプラットフォームを利用しているかにかかわらず、組織にとって実用的な出発点となります。

• あらゆるクラウド環境において機密データを継続的に検出・分類することで、データの保存場所に合わせてセキュリティ対策を常に最新の状態に保ちます。 
• 人間と機械の両方のIDに対して、ゼロトラストの原則、多要素認証、最小権限アクセスを適用する。 
• 保存時および転送時のデータを暗号化し、その暗号化を安全な鍵管理方法と組み合わせる。
• データストア、ワークロード、アプリケーション、環境間の不要な通信を制限することで、攻撃者が侵入できた場合の行動範囲を制限します。
• 継続的な監視、検証済みのバックアッププロセス、インシデント対応戦略、および災害復旧計画を実施することで、問題を迅速に発見し、効率的に復旧できるようになります。 
• ビジネスニーズに基づいてクラウドワークロードとアプリケーションを分離し、環境内の機密性の高い領域を他のコンポーネントから隔離します。 
• 権限の拡大は時間とともに静かに進行するため、定期的に権限とアクセス権限の割り当てを見直してください。

これらの習慣を総合的に実践することで、多層構造のクラウドデータセキュリティプログラムが構築され、防御の脆弱性が一つ生じただけで全てが解決するということは決してなくなります。

ゼロトラストセグメンテーションは、クラウドデータセキュリティをどのように強化するのか？

ゼロトラストセグメンテーションは、マップの作成から始まります。どのワークロードやアプリケーションが機密データストアと通信しているかを把握することで、予想以上に多くの脆弱な経路が明らかになることがよくあります。

そこから、組織は承認されたワークロードとサービスのみが保護されたデータに接続できるようにし、その他の経路をすべて遮断します。データベース、バックアップ、規制対象データ、その他の高価値リソースは隔離され、不要な東西方向のトラフィックは遮断されるため、あらゆるものが横方向に移動できる範囲が制限される。

その封じ込めこそが真の成果だ。ワークロードが侵害された場合、ZTSは攻撃者が追加データにアクセスしたり、持ち出したりする前に、そのワークロードを隔離します。Illumioのピッタ氏は、これをセグメンテーションの真の目的だと捉え、「情報漏洩が（事業を破綻させるような）大惨事になるのを防ぐために存在する」と述べている。 

ここにこそ、Illumioのゼロトラストセグメンテーションプラットフォームがその名にふさわしい性能を発揮する点がある。クラウドデータセキュリティを、単なる希望的観測に基づく防御策から、プレッシャーにも耐えうるアーキテクチャへと変革するのだ。

Illumioがクラウドデータセキュリティをどのようにサポートするか

Illumioは、攻撃者がデータにアクセスするために使用する経路に焦点を当てることで、クラウドデータのセキュリティを強化します。Illumioは、 クラウドセキュリティソリューションを通じて、クラウドワークロード、アプリケーション、機密データストア間の通信をマッピングし、環境全体で情報がどのように流れるかを正確に示します。

そのマップに基づき、Illumioのマイクロセグメンテーションソリューションは、データベース、バックアップ、および規制対象データに関して最小権限のセグメンテーションを適用し、ビジネスニーズに必要な接続のみに制限します。ワークロードが侵害された場合、そのセグメンテーションによって、侵害がさらに拡大する前に封じ込めることができる。

Illumioは、データ検出、分類、暗号化、鍵管理、DSPM、DLPツールと連携して動作し、これらのレイヤーが依存するアクセスパス保護と侵害封じ込め機能を追加します。

よくある質問(FAQ)

クラウドデータセキュリティとは、簡単に言うとどういうものか？

クラウドデータセキュリティとは、クラウド上のどこに情報が存在していても、それを保護することを意味します。これは、データのプライバシー、正確性、可用性を維持するためのツール、ルール、プロセスを組み合わせたものです。技術が複雑化しても、目標はシンプルであり続ける。適切な人材だけを残し、それ以外の人を排除することだ。

クラウド上のデータのセキュリティ確保は誰が責任を負うのか？

責任は、いわゆる責任共有モデルの下で、あなたとクラウドプロバイダーの間で共有されます。プロバイダーは基盤となるインフラストラクチャを保護し、ユーザーはアクセス制御、暗号化の選択、構成、およびそのインフラストラクチャ内でのアプリケーションとデータの使用方法を管理します。

クラウドデータにおける最大のリスクは何ですか？

設定ミスが最も多く、過剰アクセスや不正アクセス、データ損失、データ漏洩と並んで挙げられる。安全性の低いAPIやサードパーティとの連携は、さらなるリスク要因となり、シャドウデータに対する可視性の低さは、これらのリスクを結びつける要因となる。なぜなら、チームは存在を知っているものだけを保護することが多いからだ。

クラウドデータセキュリティとクラウドデータ保護の違いは何ですか？

クラウドデータのセキュリティは、不正アクセス、サイバー脅威、および悪用を防止することに重点を置いています。クラウドデータ保護は、バックアップ、リカバリ、データ保持、ライフサイクル管理といった要素を含め、より広い視野で捉える。効果的なサイバーセキュリティプログラムは、両方の分野を組み合わせ、予防的なセキュリティ対策と、侵害が発生した場合に復旧するための先見性と回復力を戦略的に融合させる必要がある。

マイクロセグメンテーションはクラウドデータをどのように保護するのか？

Microsegmentation divides your cloud environment into isolated zones around workloads and applications. Only approved connections reach sensitive data stores, and everything else gets blocked. If attackers compromise one workload, Illumio's breach containment platform keeps them contained, blocking lateral movement and protecting the rest of your data from exposure.