情報セキュリティの重要性が年々増していることを実感した話

AWSのアクセスキー流出などで再注目されるセキュリティ意識

最近AWSのアクセスキー流出によって仮想通貨を押し付けられたり、AWSのインスタンスを世界各地に作られて金銭的被害を与える事件が発生しています。特に仮想通貨の取引では数十億円の被害が出ている実例もあるので正直怖いですよね。

やはりこういった実害が出ているという事で我が社の取締役会でもセキュリティは議論に出ているようですね。ただセキュリティについては会社の上層部も詳しくはないので被害の部分のみにフォーカスした議論をして、結論は出ないタイプの問題になっていると思います。

一応、情報処理安全確保支援士の資格持ちの身としては情報セキュリティに関して関心が増えるのは大変結構なことなのですが、実態よりも過剰に警戒しているような気もしています。

一部の人は「情報流出の元はGithubだ！」「クラウドは危険だ！」という主張をするのですが、Githubもクラウドも使い方に問題があると危険なだけで設定をしっかりとしていれば問題ありません。そのためよくある質問に対しての私なりの回答を書いてみます。

Q1. AWSのアクセスキー流出などが危険だから自社サーバを立てたほうがいいのでは？
Q2. AWSを使っているとデータが抜かれるリスクがあるのでは？
Q3. 外部からの攻撃に対しての対策はどうすればいいのか？

このあたりについて書いていきます。

Q1. AWSのアクセスキー流出などが危険だから自社サーバを立てたほうがいいのでは？

この主張はたまにされます。AWSみたいなクラウドサービスは一部の設定情報がブラックボックスになるので不鮮明であり、リスクがあるという主張です。ただ個人的に自社サーバを立てるのはもうオススメできないなと考えています。

上図のオンプレミスが自社サーバを立てる場合です。基本的に自社サーバを立てる方がエンジニアを抱えたり設備を持つためコストが高くなります。一方でクラウドの方が簡単に設定ができたり、運用時にサービスの規模を大きくしたいときに簡単に対応できます。

また、AWSを含めたクラウドサービスはそこらの自社サーバ構築よりもセキュリティに関してしっかりしています。そもそもAWSの設定をしっかりしていてデータが抜かれましたという情報を聞いたことがあるでしょうか？　ないですよね。そんな問題が出たら即座にネットにAWSのリスクに関して情報が溢れます。そういった情報が流れてないという事はしっかり設定すればクラウドサービスは安全に運用できるということです。

そのためクラウドサービスを使う方が「安く済んで、かつ安全」ということですね。