では、「クラウドセキュリティ」とは何か。これを知る前に、「クラウド」の意味を明確にしておこう。

「クラウド」とは、「クラウドコンピューティング」の略称で、ユーザーがソフトウェアやストレージなどのITインフラを手元に用意せずとも、インターネット上にあるリソースを必要な時に必要な分だけ利用する手法ないし考え方のことだ。

この「クラウド」は、「プライベートクラウド」と「パブリッククラウド」の2つに大別できる。

プライベートクラウドとは、企業が自社専用のクラウド環境を用意し、自社の事業活動にのみ活用するもの。一方の「パブリッククラウド」とは、膨大なサーバー群を有する企業が、法人や個人の誰に対してもそのコンピューティングリソースを提供するものを指す。例えば、Amazon Web Services（以下、AWS）、Google Cloud、Microsoft Azure（以下、Azure）などが代表的なパブリッククラウドのサービスだ。（SaaSに分類されるクラウドサービスは本部類であるパブリッククラウドとは異なる）

後者のパブリッククラウドが登場する以前は「オンプレミス」という形式が主流となっており、外部のサーバーを借りることなく、すべてのITインフラ環境を自社内で構築・運用するというものであった。このオンプレミスの導入においては自前でハードウェアも用意する必要があるため、構築コストや稼働後の管理コストが負担となっていた。

一方、外部のクラウドを利用すれば、わざわざ自前でハードウェアを用意して管理運用する必要がなくなる。素早く、低コストでITインフラ環境を整備することができるという点から、近年多くの企業がパブリッククラウドの導入に舵を切っていったのだ。

ではここから「クラウドセキュリティ」に話を移していきたいが、読者の中には「似たような言葉に“サイバーセキュリティ”もあるが…」と思う者もいるかもしれない。そのため、そことの比較も交えて解説していこう。

ちなみにこの後に登場するCloudbase代表岩佐氏はこの2024年4月、著書『先読み！サイバーセキュリティ 生成AI時代の新たなビジネスリスク』を上梓。この分野の専門家として今回、概念全体の話から昨今の情勢まで知見をお借りしている。

参照：『先読み！サイバーセキュリティ 生成AI時代の新たなビジネスリスク』（インプレス ブックス）

簡単に言うと、クラウドセキュリティの上位概念としてサイバーセキュリティがある。サイバーセキュリティはクラウド or オンプレミスの違いを問わず、コンピュータやインターネット上にある情報の外部漏洩や、コンピューターウイルスによるデータ破壊を防ぐための営み全般を意味する。

クラウドセキュリティとはこのサイバーセキュリティに内包される概念であるが、なぜわざわざカテゴリを別途設けるのか？その理由は、従来のサイバーセキュリティが対象とするセキュリティリスクとは別で、パブリッククラウドにしか存在しないリスクが存在するためだ。

例えば、オンプレミス環境の場合だと、ネットワークを通じて外部からの侵入攻撃を受けた際、極端に言えば外部とのネットワークを物理的に遮断してしまえば、データ自体は守ることができる。しかし、クラウドの場合はそうはいかない。クラウドはデータの保管場所がインターネット上にあるため、外部からの侵入を防ぐために自ら様々な設定を施さなければならない。

*マネージドサービス とは、運用管理の改善と経費削減のため、プロセスや機能の維持と需要予測の責任をアウトソーシングする手法

この「設定」のたった1つの間違いで、保護すべきデータに対し外部から誰でもアクセス可能な状態になってしまうこともあり、無視できない危険性をはらんでいる。

このような、「クラウド特有のリスク」に対応するのが、クラウドセキュリティだ。

クラウドサービスを提供する事業者は、先ほどのマネージドサービスにみられる通り、ユーザーにも様々な権限や責任を付与している。こうしたサービス提供の形は「責任共有モデル」と称される。

ここで問題になるのが、それら1つ1つの設定項目の意味を理解し、適切に設定できる人材が、日本には極めて少ないということだ。

クラウドを適切に扱えるエンジニアですら少ない上に、そこからさらにクラウドセキュリティの知見も持つ人材となると、非常に稀有な存在となる（参考：経済産業省「ＩＴ人材育成の状況等について」）。企業がインターネットを介してサービスを提供するようになると、その分だけ攻撃される対象も増えるため、課題は大きくなるばかりだ。

しかし、そうしたクラウドやセキュリティ領域における人材不足の問題は日本特有のもの。海外とは事情が大きく異なるそうだ。

その違いは、市場に出てきているセキュリティ製品の性質の違いにも表れている。

こうした製品を日本市場に持ってきても使いこなせる国内企業はほとんど存在せず、そもそも具体的なリスクをベースに対処を施すレベルに至っていないのが日本の現状だという。代わりに、「ベースラインアプローチ」という、リスクに対する最低限の防御力を押し上げていこうという動きが、今の日本企業の実態だ。

では海外ではどのようなプレイヤーが台頭しているのか。代表的なクラウドセキュリティ企業としては、アメリカのパロアルトネットワークスが挙げられる。同社の『PrismaCloud』という製品は早い段階から日本にも展開されており、今もって世界での高いシェアを誇る。

また、岩佐氏はクラウドセキュリティ関連の注目すべきスタートアップとして、アメリカで2020年に創業したWiz、イスラエルで2019年に創業した企業OrcaSecurityの2社を挙げる。

日本発の企業としてはビジョナルグループのアシュアード、2024年2月にGMOインターネットグループに参画したFlatt Securityなどが当領域では知られている。もちろんCloudbaseもその一角を占める企業だが、同社が提供するプロダクトは具体的な脅威に対処するというよりは、企業の人・組織体制を含めてセキュリティに強い体質をつくるようなプロダクトという意味で一線を画している。

パブリッククラウドの利用率はCAGR 約18%で成長しており、今後もその成長率は続くといわれている。特に、AWSでは日本でのクラウドサービス需要の拡大に対応するため、2027 年までに2 兆 2,600 億円をクラウドインフラへ継続投資する予定であることを今年2024年の1月に発表している。

日本においても、今後はクラウドの利用規模が拡大していくのと並行して、利用の仕方、つまり「質」も高まっていくだろうというのが岩佐氏の見立てだ。

また、クラウドネイティブな使い方を拡大していくと、企業の中では情報システム部門やセキュリティ部門などの専門部署の人材のみならず、多くの関係者がクラウドに触れるようになる。つまり、非エンジニア人材、非セキュリティ人材でも難なく使えるプロダクトが求められてくるということだ。

最後に、今回コメントをいただいた御三方に、クラウドセキュリティの動向を把握するためにチェックしている情報源や情報収集の仕方をお聞きした。日本語で発信されている最新の動向が分かるメディアが少ない領域ではあるが、クラウドセキュリティに興味を持った方にはぜひ参考にされたい。