～ サイバー攻撃者が設定の不備を突く前にクラウドセキュリティの確保を ～
2023年5月24日:
企業がインフラをクラウドサービスに移行する際、セキュリティの確保が万全でないことも珍しくはありません。先進的サイバーセキュリティテクノロジーのプロバイダーであるWithSecure (旧社名: F-Secure、本社: フィンランド・ヘルシンキ、CEO: Juhani Hintikka、日本法人: 東京都港区、以下、ウィズセキュア) は、攻撃者がクラウド設定の不備を突いてネットワークを侵害することを阻止するために、同社のWithSecure Elementsセキュリティプラットフォームに新モジュールとなる『Cloud Security Posture Management』 (以下、CSPM)を追加したことを発表しました。
クラウドベースのIaaS (Infrastructure-as-a-Service = サービスとしてのインフラ) を企業のIT資産に組み込むことは、今や一般的なものになっています。クラウドへの移行には多くのメリットがありますが、同時に、IaaSプラットフォームの急速な拡大、クラウドセキュリティにおけるスキルと経験を持つ専門家の不足、GDPRをはじめとした様々な規制、そして全体的な複雑さなどの新たな課題も出現してきます。多くの企業が複数のパブリッククラウドサービスプロバイダーを並行して利用していることもまた、クラウドインフラのセキュリティ確保の難しさに拍車をかけています。
ウィズセキュアでプロダクト部門長を務めるLeszek Tasiemski (レシェック・タシエムスキー) はこうした状況を次のように解説しています。
「クラウドインフラのセキュリティ確保は、様々な理由により、非常に困難な作業となります。クラウドは通常、従来のインフラと比較して抽象化されたレイヤーを提供するため、従来のセキュリティとクラウド特有のセキュリティの両方において懸念が生じます。多くのユーザーにとって、自身とクラウドサービスプロバイダーのどちらがセキュリティのどの部分に責任を負うかという、責任共有モデルを正しく理解することは簡単ではありません。」
セキュリティ上の課題が積み重なると、重大な問題に発展する可能性があります。2022年にウィズセキュアが実施したマーケットリサーチ*1によると、過去12ヶ月間に24%の企業が自社のクラウドプラットフォームに影響を与えるセキュリティの設定ミスを発見、そして約34%の企業が設定ミス以外の脆弱性を発見していたことがわかりました。
Tasiemskiはまた、こう付け加えています。
「AmazonのIMDSv1のように、クラウドレイヤーに脆弱性があるケースもあります。サイバー犯罪者は小さな脆弱性をも探し当て、そこを突いてきます。私たちが日々ニュースで耳にするようなインシデントでは、こうした設定ミスが敵にうまく攻撃されることが増えてきています。」
CSPMは、クラウドベースのセキュリティプラットフォームであるWithSecure Elementsの新モジュールであり、ユーザーは既存のエンドポイント保護 (EPP)、エンドポイントでの検知と対応 (EDR)、脆弱性管理、コラボレーション保護と同様に、必要な機能を柔軟に選択することができます。CSPMは一般的なクラウドベースのIaaSプラットフォームの脆弱性や設定ミスに関連するリスクを管理することを目的としており、AWSとMicrosoft Azureのプラットフォームに対応しています。
(WithSecure Elementsポートフォリオ)
Cloud Security Posture Managementの主なメリットは以下の通りです:
● リスクレベルに基づいて設定ミスを特定し、優先順位を付け、対策を添付して説明
● 設定は、必要以上に寛容なIAM権限、暗号化されていない保存データ、パブリックIPアドレスにアクセスできるクラウドインスタンス、インシデント調査のためのロギングが有効かどうか、さらに既存のクラウドセキュリティ問題や新たなクラウドセキュリティ問題を確認
● ウィズセキュアのコンサルタントが持つ専門知識とリサーチ能力により、チェックが脅威モデルに適合し、ユーザーに真のセキュリティバリューを提供
● 専用ダッシュボードでは、セキュリティの状態の経年変化やセキュリティの状態に関する様々なインサイトなど、注意を払うべき重要情報をわかりやすいグラフで提供
● WithSecure Elementsのエンドポイント保護 (EPP)、エンドポイントでの検知と対応 (EDR)、脆弱性管理、コラボレーション保護などのモジュールと共通のポータルで、マルチベンダーおよびマルチクラウドを管理
● CISやNIST CSFなどへの準拠を維持するのに役立つ、具体的なルールやフラグ立てを実行
● MSPやMSSPなどのパートナーが、CSPMをマネージドサービスとして顧客に提供が可能
(管理ポータル)
WithSecure Elements Cloud Security Posture Managementの詳細についてはこちらのページをご覧ください:
https://www.withsecure.com/en/solutions/software-and-services/elements-cloud-security-posture-management
*1:
WithSecure 2022 B2Bマーケットサーベイ。2022年5月に12ヶ国 (日本／フィンランド／イギリス／フランス／ドイツ／ベルギー／オランダ／デンマーク／ノルウェー／スウェーデン／アメリカ／カナダ) で3,072人を対象にオンラインによる調査を実施。回答者は、IT／クラウド／ネットワークセキュリティの製品およびサービスを導入する企業／団体内のIT意思決定者／ITインフルエンサー／経営幹部である。
【本件に関する報道関係者からのお問合せ先】
ウィズセキュア株式会社
広報部 秦 和哉
TEL: 03-4578-7745 (直通) 080-6842-8222 (モバイル)
press-jp@withsecure.com
WithSecure™について
WithSecure™は、ITサービスプロバイダー、MSSP、ユーザー企業、大手金融機関、メーカー、通信テクノロジープロバイダー数千社から、業務を保護し成果を出すサイバーセキュリティパートナーとして大きな信頼を勝ち取っています。私たちはAIを活用した保護機能によりエンドポイントやクラウドコラボレーションを保護し、インテリジェントな検知と対応によりプロアクティブに脅威を検出し、当社のセキュリティエキスパートが現実世界のサイバー攻撃に立ち向かっています。当社のコンサルタントは、テクノロジーに挑戦する企業とパートナーシップを結び、経験と実績に基づくセキュリティアドバイスを通じてレジリエンスを構築します。当社は30年以上に渡ってビジネス目標を達成するためのテクノロジーを構築してきた経験を活かし、柔軟な商業モデルを通じてパートナーとともに成長するポートフォリオを構築しています。
1988年に設立されたWithSecureは本社をフィンランド・ヘルシンキに、日本法人であるウィズセキュア株式会社を東京都港区に置いています。また、NASDAQ ヘルシンキに上場しています。詳細は www.withsecure.com をご覧ください。また、Twitter @WithSecure_JP でも情報の発信をおこなっています。