特集

【教えて!Webセキュリティ対策】第9弾 SBクラウド株式会社

2018.02.08

特集

image

こんにちは、CyberSecurityTIMES編集部です。
【教えて!Webセキュリティ対策】第9弾はSBクラウド株式会社(以下SBクラウド)です。
SBクラウドは中国市場シェアNo.1のクラウドサービス「Alibaba Cloud」を日本市場向けにローカライズして提供しているクラウド事業者です。
アリババグループが保有するデータセンターもSBクラウドを通じて利用することができ、日本国内だけでなく海外展開を見据える企業に向けて安価かつ便利にクラウドサーバを提供しています。
今回はSBクラウド株式会社ソリューションアーキテクトの森 真也さんにSBクラウドが考えるクラウドサーバのセキュリティについてお話を伺いました!

目次

クラウド化によるセキュリティメリットとは

Q:はじめに、SBクラウドの事業内容について教えてください。
A:はい、SBクラウドは中国市場シェアNo.1のクラウドサービス「Alibaba Cloud」を日本市場向けにローカライズして提供しています。
日本国内でビジネス展開をする企業様や、中国をはじめとしたアジアでの海外展開をする企業様に利用いただいています。
これから海外展開を見据える企業様や、サービスの規模を拡大したいと考えるお客様のお手伝いをしていくのが私たちSBクラウドのミッションです。


Q:森さんの主な業務内容を教えてください。
A:私はSBクラウドでソリューションアーキテクトという役割を担っています。Alibaba Cloudはクラウドサービスという特性を生かしどんどん新しい機能を追加しています。それを売る私たちが一番に機能を熟知しなければなりません。私の仕事は、お客様へAlibaba Cloudを使ったソリューションを提案し導入していただくことです。そのために、新機能を実際に検証したり、その検証結果を外へ向けて発信も行います。発信の方法は自社で運営している技術ブログのほかに、お客様向けの勉強会を開催して共有をしたり、お客様の会社へ訪問してトレーニングを実施するなど様々です。

Q:昨今様々なサービスがクラウド化しています。サーバも例外ではなく多くの企業がクラウドサーバへ移行しています。従来ではクラウド化の一番の目的は予算削減だったのですが、昨今はセキュリティの強化が目的だそうです。クラウド化することでのセキュリティメリットはどんなものだとお考えになりますか?
A:クラウド化の一番のメリットは、お客様で対応しなければいけないセキュリティの範囲が狭くなるところではないかと考えています。
オンプレミスでサーバを持っている場合は、サーバそのものが資産になりながらもその管理を全て自分達で賄わなければならないという不便な点があります。
なにか問題が起こったときはその責任は全て自分達で負わなければなりません。全て自分達で管理するため運用の自由さはありますが、管理にかかるコストやリスクが高くなります。
クラウドを利用した場合は、仮想サーバのOSやアプリケーションの部分はお客様が責任を持つ必要がありますが、サーバ本体の根本的な部分の管理責任を持つ必要はありません。そこの運用管理は全て私たちクラウド事業者が行うため、お客様は今まで管理に当てていた時間を別のことに当てることができるのです。サービスの種類によっては、権限管理のみ行えばよいケースもあります。
私もオンプレミスサーバを運用していた経験があるので、その運用の労力は十分に痛感しています。脆弱性の情報が出たら、さらに詳しい情報を集めて、アップデートの可否を決めて、タイミングを調整して、何十何百ものサーバを自分達で守っていかなければならないんです。時間も人件費もかかることなので、可能であれば手離れしたいですよね。その手間を省くことができるのがクラウド化のメリットだと思います。

Q:先ほどクラウド化をしてもOSやアプリケーションの領域はお客様の責任の範囲内との言及がありましたが、ユーザーの多くはその事実に気がついていないことが多いと思います。ユーザーはどう対策すれば良いのでしょうか?
A:例えばの話ですが、お客様がAlibaba Cloudを利用して全ての責任は弊社が持ってくれると思い込んでしまうと、セキュリティの対策はおろそかになり、契約したときのままでなにも設定されていない無防備なサーバになってしまいます。
そのようなサーバは犯罪者にとって攻撃してくださいと言っているようなものです。乗っ取られて踏み台にされて気がつけば犯罪に加担していたなんてことがあるかもしれません。クラウドベンダーが責任を持って管理してくれているという認識のエンジニアは弊社のサービスを利用している・していないに関わらず多く存在していると思います。
弊社の場合は認識の違いが発生しないように、ご契約時に弊社とお客様の責任範囲を図で示して説明するようにしています。パブリッククラウドの特性も合わせて説明することでご納得いただいています。
そのほか、クラウドサーバを利用する際に行うべきセキュリティ対策について弊社で独自に作成したドキュメントをお渡ししています。
全てインターネット上にあるということ、その危険性と対策をする重要性を認識することが大事だと思っているので、機会があれば何度でも説明しています。

Alibaba Cloudでアジアへの事業進出を積極的に行うには

Q:Alibaba Cloudを利用する際に行うべきセキュリティ対策の中で最初からサービスに搭載されているものはあるのでしょうか?
A:Alibaba Cloudに最初から搭載されているサービスの中でも代表的なものを3つご紹介しますね。
第一にAnti-DDoS機能です。この機能はインターネットと接続される部分すべてについている機能です。ある程度のDDoS攻撃は防げるようになっています。
第二にファイアウォールです。Alibaba Cloudではセキュリティグループとよばれるファイアウォールの機能を備えています。セキュリティグループに所属するサーバに対して一元にファイアウォールの設定を反映することができます。
最後の機能はアカウントのアクセス権限の振り分けです。RAM(リソースアクセスマネジメント)という機能を搭載していて、親アカウントとは別にサブユーザーを決めることができます。サブユーザーの権限設定は細かく決めることができるので、たとえ何十人もそのサーバに携わることがあったとしても安全に情報の公開範囲を切り分けることができます。

これらの機能は標準装備なので、契約した段階からサーバに搭載されています。
基礎的な対策は取れているので、さらにセキュリティ面を強化したい場合は、お客様各自でWAFを入れたり、さらにDDoS対策を追加することでより強固なサーバになります。

Q:Alibaba Cloudは中国発のサービスですが、海外のサービスであることに対してユーザーからどのような質問をされることがありますか?
A:お客様から一番質問されることが多いものは、SBクラウドで管理しているデータはどこに存在しているのか。本当に安全なのかというものです。
国外に情報を持っていっていないかということを心配されるんですね。
お客様のデータは日本でのクラウド事業者であるSBクラウドが責任を持って管理しているため日本の法律にもあわせて安全が確保されているということをお伝えしています。
日本リージョンはもちろんのことですが、海外リージョンの場合も弊社が責任をもって管理しています。

Q:中国でのITシステム展開を行うにあたってAlibaba Cloudにはどのようなメリットがあるのでしょうか?
A:Alibaba Cloudはご存知の通り、世界最大手Eコマース企業の一つであるアリババグループが提供するクラウドサービスです。そのため、中国ビジネス・中国への展開がとても強いです。
現在、日本の企業は中国本土のクラウドサーバを個々で買うことができません。それが可能なのはAlibaba Cloudを取り扱っている弊社だけです。
また、中国は情報規制が厳しく、中国の中から外へ出て行くインターネットの通信を全て政府が検閲していることもあり、通信の遅延や遮断が発生するリスクがあります。そういった問題もあり、中国でのビジネスは少しハードルが高いんです。
弊社の場合は中国と日本のサーバを専用型ネットワークサービスで結ぶことができるので、インターネットを使わずにサーバ間のやりとりをすることが可能です。
検閲による遅延・遮断のリスクを回避ができ、インターネットを使わない回線で情報のやりとりができる点もAlibaba Cloudの強みですね。
グローバルに支社を持つ企業が中国支社の情報や社内システムを使うときにこの仕組みが生きてきます。
そういった部分を魅力に感じて多くの企業にご利用いただいています。

そのほかAlibaba Cloudの強みでいうと、高トラフィックの処理に長けているという点もあります。
毎年11月11日にアリババはEコマースで「独身の日」というネットセールを行なっています。たった1日で約1兆9千億円もの売り上げを上げる一大イベントです。
1兆9千億円という数字は日本の有名Eコマースが半年から8ヶ月ほどかけて取引する額ですね。それを1日で稼いでしまいます。それだけ売り上げが上がるイベントのトランザクションを支えているのもAlibaba Cloudなんです。
8年くらい続いているイベントですが、1度も落ちたことがありません。それだけ安定したクラウドであることがAlibaba Cloudの強みでありメリットですね。
中国での展開を考えるのであれば、Alibaba Cloudを使うべきだと考えています。それは、先に挙げたようなメリットを提供できるからです。
今後もアジア圏のエリアを拡大していく予定なので、アジア圏を中心にグローバル展開を検討している企業様には是非とも使ってもらいたいですね。

Alibaba Cloudの今後とセキュリティ

Q:Alibaba Cloudは今後どのようにサービスを発展させて行くのでしょうか?
A:今後の予定としては中国本土のAlibaba Cloudで既に実装されているサービスを日本リージョンでも使えるようにしていくことです。
例えば、先ほど標準でAnti-DDoS機能がついているとお話ししましたよね?
中国ではオプションで強化版が既に出ています。
現時点では日本版にはその機能をつけることができないので、それを日本版でも使えるようにする予定です。
現時点では日本版の場合はサードパーティ製のWAFを利用しなければなりませんが、今後はAlibaba CloudのWAFサービス提供も開始する予定なので、ますますセキュリティ強化がしやすくなっていく予定です。
今後はさらにシンガポールをはじめとしたアジアのリージョンを増やしていく予定ですが、それによってお客様にとってより一層海外展開に活用できるサービスとなっていけると考えています。

そのほか、Alibaba Cloudに関わる全てのセキュリティ情報を、管理画面を通じて可視化できるプロダクトを提供していきます。
攻撃の検知だけでなく遮断の様子や傾向みたいなものですね。それひとつあるだけで利便性がだいぶ上がると思います。

クラウドサーバの便利な使い方やセキュリティ対策について深く理解していない人はまだまだたくさんいると思います。
例えば、万が一日本のサーバが災害などで使えなくなってしまったとき、一時的にシンガポールや中国のサーバに内容を移して稼働させることができます。
そういう活用方法はクラウドサーバならではのもので、意外と知らない人が多いです。オンプレではできなかったけどクラウドになることでできるようになるといった可能性の広がりを伝えていくのも私たちの仕事だと考えています。
お客様が一番効率よく便利に使えるようにお客様の利便性とセキュリティレベルを高めながら、より多くの企業様にご利用いただけるように頑張ってまいります。

おわりに

クラウドサービスであるAlibaba Cloudを提供する中でのセキュリティ対策の重要性とAlibaba Cloudの利便性の高さについてお話いただきました。
クラウドサーバはベンダーから提供されているものだが、セキュリティ対策はユーザー側も行わなければならないと大切なお言葉をいただきました。
ユーザーが適切なセキュリティ対策を行うためにも、クラウド事業者として注意喚起や啓蒙活動を活発に実施し、ユーザーの環境にあったプランの提案を密に行う熱意のある姿勢を感じることができました。
今後もサービス拡大に合わせて、セキュリティ対策のサービスを充実させていくとのこと、これからもますますニーズが拡大していくのではないでしょうか。
本日はありがとうございました。

WAFとは?導入した時のメリットについて

森 真也さん

SBクラウド株式会社
ソリューションアーキテクト

SBクラウド株式会社で働く、Alibaba Cloudのソリューションアーキテクト。
以前は、オンプレミス環境でのシステム開発・運用を行っていたが、パブリッククラウドを利用することでの効率性に魅了されSBクラウドへジョイン。
Alibaba Cloudを活用した、お客様向けのソリューションの提供やトレーニングなど実施をしている。