借りたクラウドが破られたら何を失うか GMOの件から考える、小さな会社のクラウドの選び方と預け方

「お名前.com デスクトップクラウド」(FXの取引ソフトを24時間動かすために借りる、インターネット上のWindowsのパソコン)の件で、GMOは第4報で、自社のシステムにセキュリティ上の問題があったと認めています。利用者は月額を払って、事業者の用意したパソコンを使っていました。その中で動かしていた取引ソフトを通じて、取引口座を操作されました。

クラウドを借りるということは、中に置くものの守りを、ある部分まで事業者に預けることです。ファイルを置いておく共有ドライブ、会計ソフト、メール、ホームページを置くサーバーなど、インターネット越しに借りているものは、どれもここでいうクラウドです。この記事では、小さな会社がクラウドを選ぶときにセキュリティの面で見る点と、何を預けるかの決め方を整理します。10月29日時点の情報です。

守る範囲は、事業者と利用者で分かれている

クラウドのセキュリティには、責任共有モデルという考え方があります。建物や機械、土台のソフトは事業者が守り、その上に置くデータや設定、パスワードは利用者が守る、という分け方です。賃貸の部屋にたとえると、建物の入口の鍵は大家さん、部屋の中の貴重品の管理は住む人、という分け方です。どこで線を引くかは、サービスの種類によって変わります。VPS(インターネット上に借りる自分専用のパソコン)のように、中のOS(WindowsやLinuxのような、パソコンを動かす土台のソフト)まで借りる形では、OSの更新や中のソフトの設定は利用者の側になることが多くなります。

責任共有モデル(AWS・英語)

aws.amazon.com

今回は、事業者が守る側の部分が破られました。利用者がいくら気をつけても防げない部分があることを、はっきり示した例です。

選ぶときに見る5つの点

料金や速さに加えて、次の5つを見ておくと、事故のときの差になります。

管理画面のログインに多要素認証(パスワードに加えて確認コードを求める仕組み)を使えるか
障害や事故のお知らせを出すページがあり、過去の告知が残っているか
問い合わせの窓口が、夜間や休日にもつながるか
事故のときの補償や返金の決まりが、規約に書かれているか
セキュリティの方針や、第三者の認証(ISMSなど。会社の情報の守り方を、外部の審査機関が確かめて認める制度)を公開しているか

GMOの件では、24時間の電話窓口が最初から最後まで同じ番号で開いていました。これは、事故が起きてから価値がわかる部分です。

何を預けて、何を預けないか

選び方と同じくらい大事なのが、借りたクラウドに何を置くかです。次の問いに答えてみてください。

そのクラウドが破られたら、何を失うか
中に、ほかのサービスにログインしたままのソフトや、パスワードのメモを置いていないか
中のデータは、別の場所にもバックアップがあるか
中の設定やパスワードは、ほかのサービスと使い回していないか

今回の件で被害が大きくなったのは、借りたパソコンの中で、取引口座にログインしたままの取引ソフトが動いていたからでした。自動売買という使い方の性質上、避けにくい部分ですが、「破られたら何が動かされるか」を一度書き出しておくだけで、守り方は変わります。

預ける量を減らす工夫

小さな会社でもできる工夫を挙げます。

1つのクラウドに、すべてを置かない。大事なデータは別の事業者にもバックアップする
クラウドの中で使うパスワードは、そこだけのものにする
クラウドの中から、メールや銀行など、ほかの大事なサービスにログインしない
使わなくなったクラウドは、契約ごと解約する

自分の会社の借り物を書き出してみた

私もこの件を受けて、自分が借りているクラウドやサーバーを書き出してみました。サイトの公開、メール、ファイルの保管、試しに動かすためのサーバーで、思っていたより1つ多い5つでした。そのうち1つは、ほとんど使っていない、試しに動かすために借りたサーバーで、ログイン用のパスワードも古いままでした。使っていないものほど、守りが手薄になります。