クラウドの設定不備

クラウドサービスの利用者が行う設定の誤りや漏れ。ストレージを誰でも閲覧できる公開設定のまま運用する、IAMで不要に広い権限を与える、管理画面やAPIをインターネットに開放するといった例があり、クラウドからの情報漏えいの主な原因になっている。責任共有モデルでは利用者側の責任範囲に当たり、CSPMなどのツールで設定を継続的に点検して防ぐ。

クラウドサービスのセキュリティや運用の責任を、クラウド事業者と利用者がどのように分担するかを示した考え方。事業者はデータセンターの物理的な設備や基盤のセキュリティに責任を持ち、利用者はデータ、アクセス権限、設定などに責任を持つ。IaaS、PaaS、SaaSの順に事業者の責任範囲が広がるが、データとアカウント・アクセス権限の管理は常に利用者側に残る。

クラウドサービスの運用責任の分担の形態の一つで、事業者は物理基盤や仮想サーバなどの基盤だけを提供し、OS、ミドルウェア、アプリケーションの構築、パッチ適用、バックアップ、監視、拡張などの運用を利用者が担うもの。自由度が最も高い反面、運用の負担も大きい。IaaSの仮想サーバが典型例である。

クラウドサービスの運用責任の分担の形態の一つで、OSやミドルウェアのパッチ適用、バックアップ、冗長化などの運用の一部を事業者が担い、利用者はインスタンスの種類や台数の選択、設定、データの管理を行うもの。マネージドデータベースサービスが典型例である。

クラウドサービスの運用責任の分担の形態の一つで、基盤の構築、パッチ適用、冗長化、負荷に応じた拡張・縮小までを事業者がすべて担い、利用者はサーバを意識せずにデータや機能の利用に専念できるもの。サーバレスのサービスやSaaSが該当し、運用負担は最も小さいが自由度は低い。

クラウドサービスのセキュリティ対策について、事業者と利用者がそれぞれ責任を負う範囲を、サービスの形態ごとに分担して定める考え方。IaaSでは物理設備や仮想化基盤は事業者、OS、アプリケーション、データ、アクセス権の設定は利用者が担い、PaaS、SaaSになるほど事業者の範囲が広がるが、データとアカウントの管理は利用者の責任として残る。