安全なクラウド移行を 阻む要因とは

対処のためのベストプラクティス

YOU DESERVE THE BEST SECURITY

最高のセキュリティをすべての人へ

安全なクラウド移行を 阻む要因とは

対処のためのベストプラクティス

3安全なクラウド移行を阻む要因とは

目次 はじめに� 4

課題1：人材に関する課題� 5 チームの知識不足� 5 チームの可用性不足と社内対立� 5

課題2：プロセスに関する課題� 7 変化のスピード� 7 対立する戦略� 8

課題3：技術に関する課題� 9 複数のポイントソリューション� 9 セキュリティに関する誤解� 9 レガシーアプリケーション� 10

クラウド移行におけるセキュリティ上の� 課題を克服するためのベストプラクティス� 11 安全なクラウド移行� 11 脅威対策の統合� 11 運用の効率性と一貫性の追求� 12 統合プラットフォームの導入� 12 セキュリティの自動化�� 13 サイロ化された責任の削減�� 14

4安全なクラウド移行を阻む要因とは

はじめに

成長中の企業は、ワークロードをクラウドに移行するこ とで得られるスケーラビリティ、コスト削減効果、そし て競争力を積極的に活用し始めています。しかし、この 移行プロセスに着手する中で、社内の人材、プロセス、 テクノロジー全体に関わるセキュリティや運用の課題に 悩まされることも少なくありません。

このホワイトペーパーでは、クラウドへの移行時に企業が 直面するセキュリティ上の課題と、移行後のクラウド展開 および継続的なクラウド運用のセキュリティ確保について 詳しく説明していきます。第2章では、こうした課題に対 処するための実践的なソリューションを紹介します。

本書を作成するにあたり、チェック・ポイントでクラウ ドセキュリティを担当しているエキスパートと、南北ア メリカ、ヨーロッパ、中東、アフリカ、およびアジア太 平洋地域の顧客にインタビューを行い、そのクライアン トや見込み客がクラウド移行時に直面する課題について の生の声と見解を収集しました。

5安全なクラウド移行を阻む要因とは

課題1：人材に関する課題 安全なクラウド移行と移行後のクラウドセキュリティを実現するには、高度なソリューションの導入 が不可欠になります。しかし、これらのツールは非常に重要ではあるものの、それらを導入して管理 するチームがあって初めてその効果が発揮されます。

テクノロジーに目が行きがちですが、初回導入時や継続的なリスク管理における「人材」の要素が重 要であることを忘れてはなりません。適切なスキルを持った監督者がいなければ、最先端のシステム であってもマイナスに作用する可能性があります。クラウドセキュリティのスキルを持った有能なエ ンジニアが世界的に不足しており、これが企業の課題をさらに深刻にしています。

チームの知識不足 企業は、自社チームのクラウドスキルを過大評価しがちで、特にクラウドセキュリティの知識におい て、期待と現実の間にギャップが生じることがよくあります。新しいクラウドソリューションの導入 には、高度なスキルを持つエンジニアの確保、またはエンジニアに対する新しいクラウドスキルの教 育が必要になります。

しかし、こうしたソリューションの数が増え、技術革新のスピードが加速する中で、スキル向上と自 己学習の競争はますます激しくなっています。また、スピーディーな導入が迫られる中で連携が不十 分だと、エンジニアは過剰な負担を強いられ、クラウド移行のプロセスは混乱し、セキュリティも脆 弱になる恐れがあります。

クラウドセキュリティ専門のチームがあったとしても、役割と責任が不明確であれば、混乱や効率の 低下を招くことがあります。

例えば、次のような事例があります。ある金融サービス提供会社は、クラウドへの移行を決定したも のの、クラウドの運用とセキュリティ確保は既存のオンプレミス環境とほぼ同様であると考え、クラ ウドに特化したエンジニアの育成や採用を行いませんでした。クラウドへの移行で生じる新たなリス クや、クラウド環境の独自性（クラウドマーケットプレイスの利用や、デプロイメントテンプレート、 パッチ適用、トラブルシューティングなど）を考慮せず、慣れていない新しいプロセスに対する準備 が不足していました。これらの新しいスキルはそれほど複雑ではありませんでしたが、習得に時間が かかり、顧客の安全な移行を遅延させてしまいました。

チームの可用性不足と社内対立 クラウドを安全に移行するためのスキルを持った人材が社内にいる企業であっても、必ずしもそのリ ソースを確保できるとは限らないため、これら2つの課題をまとめて取り上げます。

クラウドやセキュリティに精通したITチームは、多くの緊急課題に取り組む中で、しばしばリソース のやりくりを強いられています。スキルのあるチームメンバーについても、多方面からの業務依頼に 追われる形となり、安全なクラウド移行に集中する余裕を持てないケースがあります。

6安全なクラウド移行を阻む要因とは

その結果、クラウド移行のプロセスに遅れやばらつきが生じ、スムーズかつ安全な移行に必要な集中 した取り組みが断続的にしか確保できない状況になります。

例えば、次のような事例があります。私たちが話を伺った別の大規模な大学では、スキルを持ったセキュ リティエンジニアが在籍していたものの、クラウド移行を十分に計画・実行するための時間を確保できな かったことに後から気づきました。原因は、そのエンジニアたちが日々のオンプレミス環境のセキュリ ティ運用も兼任していたことにあります。また、クラウド移行初期に実施した計画会議では関係者全員が 参加しておらず、会議が進む中で重要なメンバー（クラウドマーケットプレイスでソリューションを導入 するためのアクセス権を持つメンバーなど）が含まれておらず、これが原因で移行に遅れが生じました。

社内での対立が、クラウド移行の取り組みをさらに複雑にすることもあります。クラウドセキュリ ティのツールやプロセスの選定は、客観的な企業のニーズよりも、政治的な要因に左右されることが 多いです。オンプレミス担当のエンジニアとクラウドセキュリティチームとの間で、オンプレミスか らクラウドへの最適な移行方法に関する意見の対立が生じることは、慎重に取り組むべき課題になり ます。その理由は、「正解」のソリューションやプロセスが存在しないからです。

こうした社内の対立は、安全かつ効率的なクラウド導入を妨げることがあることから、チーム間の調 整を行い、移行をスムースに進めるためには協力的なプラットフォームが重要であることが浮き彫り になります。

例えば、次のような事例があります。私たちが話を伺ったある製薬会社では、クラウドに移行できる もの、あるいは移行すべきものを評価するための明確なプロセスが規定されておらず、これが原因で 意見の対立が生じ、クラウド移行によって効果を得られるワークロードの移行が遅れました。また、 同社による安全な移行は、導入が認められていないプロセスやサービスによって複雑になることも多 くありました。あるケースでは、新規サービスの制限を理由に、管理部門が新たなクラウドサービス への登録を承認しませんでした。また別のケースでは、同社の監査人が以前のアーキテクチャ設計に 合わないトラフィックフローの変更を要求しました。

また、チェック・ポイントのクラウドセキュリティアーキテクトが明らかにした別の事例によると、 ある顧客の新しいクラウドセキュリティチームは、同社の経験豊富なオンプレミスセキュリティチー ムと相談しませんでした。オンプレミスチームは過去に新しいデータセンターを導入した経験があり、 関連する専門知識を蓄積していましたが、基本的なセキュリティ概念の多くが類似しているにもかか わらず、関与することはありませんでした。

7安全なクラウド移行を阻む要因とは

課題2：プロセスに関する課題 効果的なプロセスは、クラウド移行を成功させる上で重要な役割を果たし、データやアプリケーショ ンの移行を体系的に進めるための枠組みを提供します。これにより、移行コンポーネントが効率的か つ安全に調整されることが保証されます。しかし、多くの企業は、古くなったり効果的でないセキュ リティプロセスに伴う課題を抱えており、スキルを持ったチームや高度なテクノロジーが揃っていた としても、こうした課題が移行を妨げることがあります。

しっかりとしたプロセスがなければ人と技術の連携が破綻し、インフラのセキュリティ対策が不十分 となり、重要なリソースが危険にさらされることになります。

変化のスピード クラウドへの移行を迅速に進める企業もあれば、慎重に進める企業もあります。どちらのアプローチ も、安全なクラウド移行に影響を与える可能性があります。

計画不足だと、多くの企業はクラウド移行に対して迷いが生じ、結果として遅くてまとまりのないプロ セスとなります。こうした企業は、ためらいがちなアプローチのために、効率的で計画的な移行のメ リットを得られず、整合性の取れたアーキテクチャとセキュリティ体制の確立に遅れが生じています。

移行が遅れることで、包括的な戦略がないまま、新たなニーズに対応するために導入したセキュリ ティ環境の寄せ集めを生むことになります。

そして、顕著な進捗がない場合、企業はクラウド関連の取り組みに対する追加投資の必要性を正当化 することが難しくなります。その結果、適切に実行された安全なクラウド移行によって企業にもたら されるはずの成長と利点が妨げられることになります。

他方、クラウド移行の価値を理解した多くの企業は、急いでクラウド技術を導入し、その過程でオン プレミスのソリューションをクラウドに統合してしまい、効果的に機能しなくなることがあります。

同様に、可能な限り迅速に移行しようとする企業は、プロセスよりも成果を重視する第三者ベンダー を利用することも多いです。この場合、第三者ベンダーは移行を完了させますが、企業は自社のソフ トウェア開発ライフサイクルに沿った完全なフローを手に入れることができません。

例えば、次のような事例があります。チェック・ポイントのクラウドセキュリティ専門家は、（クラ ウドに限らず）計画の不備が運用面でもセキュリティ面でも常に混乱とリスクを引き起こすと指摘し ています。顧客がリスク管理を十分に行っていないことが多く、予期しない問題に備えて時間的余裕 を確保していない場合が多いと、彼らは指摘しています。ある大手の医療サービス提供会社は、アー キテクチャを計画したものの、急いで移行を進めた結果、選択したアーキテクチャが特定の要件に適 合しないことに気づき、最初に計画したアーキテクチャを除去して再構築することになりました。

8安全なクラウド移行を阻む要因とは

対立する戦略 クラウド移行において、企業は多くの対立する戦略を考慮し、それらのトレードオフを検討しなけれ ばならない場合があります。例えば、開発者がスピードを最優先する一方で、セキュリティチームは 安全性を最重視するため、対立が生じることがあります。

もう1つの例として、移行戦略に関するものがあります。迅速な「リフトアンドシフト」方式はサービ スの中断が少ない反面、クラウドに適したセキュリティが適切に実装されない可能性があります。一 方、徹底的なリファクタリング方式は時間がかかりますが、より包括的で、セキュリティ対策を新し い環境に合わせて調整することができます。

例えば、次のような事例があります。ある市の自治体では、すべてのアプリケーションを2つのグルー プに分け、既存のオンプレミスアプリケーションは「リフトアンドシフト」方式で移行し、新規のア プリケーションはリファクタリングして移行するという方針を採用しました。セキュリティチームが 「リフトアンドシフト」を担当し、開発者がリファクタリングを担当して移行を進めますが、このプ ロセスではセキュリティが不十分なまま進んでしまうことがあります。そのため、2つの戦略は本来対 立するものではないにもかかわらず、交わることなく進んでしまいます。

9安全なクラウド移行を阻む要因とは

課題3：技術に関する課題 技術に関する課題が安全なクラウド移行の妨げとなることがあります。企業は、互換性の問題や適切 なセキュリティ対策の選定といった障害に直面しており、それが移行プロセスを遅らせ、潜在的なセ キュリティリスクを生み出しています。さらに、新たな技術の導入と現行業務の継続を両立させると いう課題が、状況を一層複雑にしています。

また、市場には多くのベンダーがひしめいており、それぞれが最良のソリューションを掲げているた め、選定に迷いが生じやすくなっています。

複数のポイントソリューション クラウド移行中および移行後に複数のポイントソリューションに依存することは大きな課題をもたら し、複雑な組織環境を生み出すことになります。異なるソリューションを導入・管理するには、高い 習熟度と複数の慎重な統合作業が求められます。この結果、管理の負荷と複雑性が高まり、結果とし て効率の低下やセキュリティリスクの増大を招く可能性があります。

また、複数のポイントソリューションが存在すると、異なる通知が頻発して過剰なアラートが生じ、 管理をさらに複雑にするだけでなく、セキュリティチームの対応効率を下げる原因にもなります。

こうした断片的なソリューションでは、統合プラットフォームのように複数のセキュリティ層や機能の 間でのシームレスな情報共有ができず、結果として企業は「1+1=3」のシナジー効果を見逃してしまい ます。こうした状況では、これらのソリューションは扱いが難しく、逆効果となることが多くなります。

例えば、次のような事例があります。あるホスピタリティ企業は、AWSでクラウドの移行をスタート させ、AWSが提供するセキュリティソリューションのみを導入することを決定しました。同社がAzure を使用していた別の企業を買収した後、同社のセキュリティチームは、買収した企業が使用していた Azureのセキュリティと自社の既存ソリューションとの統合が不可能であることに気づきました。セ キュリティ対策の不一致により、複雑さとリスクの増大が懸念されたためです。

セキュリティに関する誤解 よくある誤解は、すべてのクラウドセキュリティソリューションが同じレベルの保護を提供するとい うものです。実際には、ツールの効果や機能性は大きく異なるため、すべてのソリューションが同じ レベルの保護を提供するわけではありません。

ガートナーによると、クラウドベンダーのファイアウォールは基本的な保護を提供していますが、エ ントリーレベルの「特定市場指向型」とみなされており、高度なソリューションと比べると劣ります。 優れたサイバーセキュリティベンダーの製品は、強化された脅威インテリジェンス、シームレスな統 合、高度な攻撃に対する堅牢な防御を提供します。これらはすべて、今日における複雑なセキュリ ティ環境において不可欠です。

https://pages.checkpoint.com/gartner-magic-quadrant-for-network-firewall-2022.html

10安全なクラウド移行を阻む要因とは

製品の違いを見極められず、高度なソリューションを選択しない企業は、不利な立場に立たされるこ とになります。

例えば、次のような事例があります。チェック・ポイントの専門家は、「チェックボックスを確認す るだけ」のセキュリティは、書類上では適切であっても、実際には悲惨な結果を招く可能性があると 警告しています。多くの場合、こうしたソリューションは監査に通過するには十分ですが、高度な脅 威に対しては機能せず、企業に大きなリスクをもたらすことになります。また、先ほど紹介した事例 と同様に、各クラウド環境に特化したソリューションを選択すると、運用コストの増加とリスクの増 大を招きます。

レガシーアプリケーション クラウドへの全面的な移行が進む中、レガシー技術の存在がこのプロセスを著しく複雑にし、さらな るセキュリティリスクを招いています。

多くの企業は、レガシーアプリケーションの設計に内在する脆弱性から、レガシーアプリケーション をクラウドに移行することに対して消極的になることが多いです。これらのアプリケーションは通常、 セキュリティ対策、パッチ適用、更新が難しいためです。レガシーチームは知識豊富ではありますが、 新技術の導入に関する議論では脇に追いやられてしまうことが多いです。

企業は、セキュリティの強化、コスト削減、信頼性の向上、管理の改善といった、明確で説得力のあ る理由を持って移行を行う必要があります。目標が明確でないと、レガシーアプリケーションの移行 はただ複雑さを増すだけで、期待される効果を実現できません。

例えば、次のような事例があります。ある大手保険会社がレガシーアプリケーションをクラウドに移 行しましたが、クラウドのロードバランサーが予期せずアプリケーションのフェイルオーバー処理に 干渉しました。これは、企業がアプリケーションの限界を理解していない状態で、新しいクラウド環 境で動作させる必要に迫られた事例になります。多くの場合、クラウドサービスの機能はクラウド プロバイダーによって設定されており、企業のニーズに合わせて変更することはできません。チェッ ク・ポイントのクラウドセキュリティアーキテクトは、レガシーアプリケーションをクラウドに移行 する際にこれを「予期せぬ結果の法則」と表現しました。

クラウドに移行した「リフトアンドシフト」型のアプリケーションが動作しない場合は、基本的な前 提に誤りがあることを示していることが多いです。この問題を解決するには、入念な修正計画を立て る必要があります。しかし、クラウド上で動作するアプリケーションでも、内部に欠陥が隠れている 場合があり、その結果、予想外の高額な月額料金が発生することがありますが、それが数か月以上気 づかれないこともあります。

11安全なクラウド移行を阻む要因とは

クラウド移行におけるセキュリティ上の課題 を克服するためのベストプラクティス 安全な移行を進める過程は、確かに簡単ではないと感じることもあります。しかし、ベストプラク ティスを活用することで、どの課題も効果的に対処して、克服することができます。

これには、技術的な調整と重要な運用変更の両方が求められ、企業は非公式なアプローチではなく、 情報に基づいた意思決定と体系的な計画の実行に取り組む必要があります。

安全なクラウド移行 クラウド移行は複雑だと考えられがちですが、企業は弾力性のある基盤から着手することで、安全な移 行を実現することができます。この基盤に不可欠なのが、最良のセキュリティを実現する3つのCです。

これらの原則に基づいてアプローチを固めることで、企業はセキュリティ体制を大幅に強化し、確実 かつ効率的な移行プロセスを実現することができます。

脅威対策の統合 企業がクラウド移行の課題に取り組むには、オンプレミスと多様なクラウド環境にわたる高度な脅威 対策と多層的なセキュリティアプローチの必要性を認識する必要があります。脅威対策戦略と技術ス タックソリューションの統一がその答えです。こうすることで、単に個別のセキュリティ要素に焦点 を当てるだけでなく、複数の分散環境におけるすべての資産とワークロードに対して一貫したセキュ リティを提供できます。

こうした包括的なアプローチは、レガシーアプリケーションからの移行をサポートし、クラウド環境 全体でより強力で最新のセキュリティ機能を提供する最先端のテクノロジーソリューションの導入を 促進します。クラウドを一気に導入して、予期せぬ急成長を遂げた企業であっても、ハイブリットイ ンフラ全体に対するセキュリティ対策は一貫性、適応性、回復力を保っています。

Comprehensive （包括的） 広範囲にわたる保護戦略を 重視

Consolidated （統合的） 統合セキュリティプラッ トフォームを推奨

Collaborative （協調的） チームとツールの連携をサポートし、 先を見越した脅威対策と脅威管理を 実現

https://blog.checkpoint.com/security/the-three-cs-of-best-security-comprehensive-consolidated-and-collaborative/

12安全なクラウド移行を阻む要因とは

顧客の事例：Emaar社は、アラブ首長国連邦ドバイに拠点を置く多国籍不動産開発会社で、オン プレミスのデータセンターと、Microsoft Azure、Google Cloud Platform（GCP）、Oracle Cloud Infrastructure（OCI）、およびVMware NSX-Tプライベートクラウドにわたる資産とワークロードを 組み合わせて使用しています。

運用の効率性と一貫性の追求 運用の一貫性とは、管理の方向性を明確にすることです。企業は明確な道筋を定め、成長の優先事項 を設定し、具体的なスケジュールと責任の所在を明確にする必要があります。この明確な戦略は、ク ラウド移行を優先事項として位置付け、潜在的な混乱を最小限に抑え、すべてのチームが目標と方法 において足並みを揃える協調的な環境を確保し、責任の所在をめぐって生じる可能性がある社内の対 立を解決します。

オンプレミスからパブリッククラウド、プライベートクラウドに至るまで、ドメイン全体で一貫した ツールを使用することで、クラウド移行のプロセスが効率化されます。また、新規および既存の従業 員が習得すべき学習範囲が限定されるため、知識のギャップを埋めやすくなり、クラウド移行がより スムーズに進むと同時に、一貫性の欠如によるリスクも軽減されます。

顧客の事例：Clarks社は1825年に2人の兄弟によって創業され、世界で初めて足の形をした靴を発明し、 これまでに4,600万足以上を販売しています。同社は、CloudGuard Networkセキュリティとチェッ ク・ポイントのQuantumオンプレミスセキュリティゲートウェイを併用することで、オンプレミスと クラウドネットワーク間で一貫したセキュリティ保護、ポリシー適用、完全な可視性を実現しました。

統合プラットフォームの導入 統合プラットフォームは、断片的なポイントソリューションに比べて多くの利点を備えています。統一 されたアプローチは、複数の連携しないソリューションに起因する脆弱性、特に成熟度の低いクラウド ベンダー提供のソリューションに依存することで生じる問題を回避し、より強固なセキュリティを実現 します。

単一のインターフーイス、統一されたレポート機能、複数のクラウドプロバイダーにわたる包括的な可 視性により、企業は自社のセキュリティ環境を把握し、より簡単に、そして確実にクラウドセキュリ ティ体制を強化できます。こうしたアプローチにより、とりわけオンプレミスから複数のパブリック/プ ライベートクラウド環境に至るまで、複数のドメインで運用する企業にとっても、管理プロセスが容易 になります。また、新入社員にとっても、入社手続きが迅速に進み、チームへの早期な戦力化が促され ます。経験豊富なエンジニアは、新しいクラウドのデプロイメントにセキュリティをシームレスに拡張 できます。

https://www.checkpoint.com/customer-stories/emaar/ https://www.checkpoint.com/customer-stories/clarks

13安全なクラウド移行を阻む要因とは

顧客の事例：デンバー・ブロンコス（Denver Broncos）は、コロラド州デンバーを本拠地とするプロ のアメリカンフットボールチームです。同チームのITチームは、チェック・ポイントのオンプレミス ネットワークセキュリティ、エンドポイントセキュリティ、およびCloudGuard Networkセキュリティ を活用して、組織全体の攻撃対象領域に対する脅威を防止しています。情報技術担当上級副社長の ラッス・トレイナー（Russ Trainor）氏は次のように述べています。「チェック・ポイントを導入した ことで、全体のセキュリティ状況を一元的に把握できるようになったので、アラートが発生した際に 異なるシステムを行き来する必要がなくなりました。」

セキュリティの自動化 開発者が新機能を加速度的に展開し、企業がクラウドへの移行を進め、その長期的なメリットを活用 する中で、セキュリティに関連した手作業でのプロセスやタスクは現実的でなくなり、ビジネスリス クを高める要因となっています。セキュリティの自動化は、プロトコル、セキュリティのベストプラ クティス、および規制の一貫した適用を保証することで、この問題に対処します。自動化されたツー ルは、すべてのシステムに対して一律にセキュリティポリシーを適用し、自動化されたガバナンスシ ステムを活用して、設定ミスを特定、防止、修正することで潜在的な見落としを排除します。これに より、企業は運用に合わせてセキュリティを拡張し、煩雑なプロセスを自動化することで、限られて いるチームの可用性を補うことができます。

顧客の事例：Inventec社は台湾に拠点を置く企業で、多種多様な電子機器製品の製造と、世界各国の 電子機器メーカー向けの委託製造サービスの提供を行っています。統合セキュリティ管理により、同 社のセキュリティチームは時間とリソースの節約を実現しています。セキュリティゲートウェイは最 新の保護機能で自動的に更新され、統合セキュリティ管理はポリシーの動的な更新、ユーザーとクラ ウド資産の変化に応じたマッピングを行います。

https://www.checkpoint.com/customer-stories/denver-broncos/ https://www.checkpoint.com/customer-stories/inventec/

14安全なクラウド移行を阻む要因とは

サイロ化された責任の削減 運用の一貫性を維持するには、対立する領域を発見して、解決することも求められます。例えば、開 発チームはセキュリティチームが自分たちの俊敏性を低下させていると感じ、セキュリティチームは 開発チームが無責任で適切なプロセスを欠いていると感じる場合です。

効果的で統合されたクラウドセキュリティソリューションは、こうしたチーム間のコミュニケーショ ンを改善し、対立する優先事項をバランスよく調整することで、安全でスムーズ、かつ効果的なクラ ウド移行を実現します。

顧客の事例：Xero社は、ニュージーランドのウェリントンに本社を構え、中小企業とそのアドバイ ザー向けにグローバルなオンラインプラットフォームを提供しています。同社のセキュリティエンジ ニアリングアーキテクチャ責任者は次のように述べています。「開発者が作業を中断してセキュリ ティの支援や助言を求める必要のあるセキュリティの「ゲート」を設けるのではなく、開発者の進捗 を妨げることなく進むべき道から逸脱しないようにサポートする「ガードレール」を導入できます。 これで、ブランドを守りながらも、開発を加速させ、制限なく成長できる自由を手に入れました。」

インターナショナル本社 5 Shlomo Kaplan Street, Tel Aviv 6789159, Israel | Tel：972-3-753-4599 チェック・ポイント・ソフトウェア・テクノロジーズ株式会社 〒105-0001 東京都港区虎ノ門1-2-8 虎の門琴平タワー25F | Tel：03（6205）8340 www.checkpoint.com/jp

© 2024 Check Point Software Technologies Ltd. All rights reserved.

イノベーションを推進し、企業を守り、ビジネスを成功へと導く。

https://www.checkpoint.com/customer-stories/xero/