責任共有モデルとは？考え方やサービスごとの責任範囲などを解説

責任共有モデルとは、サービスの提供者と利用者が担当する範囲を明確に区分けし、それぞれの範囲のセキュリティに責任を持つ仕組みです。クラウドサービスのセキュリティにおいて前提となる考え方であり、利用にあたって必ず押さえておく必要があります。クラウドサービスは利用できる内容に応じて3種に分類されます。クラウド上のネットワークやサーバなどのリソースを利用する「IaaS」、クラウド上のプラットフォームが利用できる「PaaS」、クラウド上のソフトウェアを利用できる「SaaS」の3種です。これらのサービスごとに責任の範囲が定義されています。

AWS（Amazon Web Service）やGCP（Google Cloud Platform）、Microsoft Azureなどをはじめ、クラウドサービスの提供者が責任範囲を明示しているので、導入するサービスが決まったら確認しましょう。

オンプレミスからクラウドに移行した場合、「セキュリティについても、クラウドサービスの提供者に一任できる」と考えている人も少なくありません。クラウドサービスを利用する際は、自分たちにも責任を持つ範囲があることを自覚し、セキュリティ製品を導入する必要があります。

ここからは、IaaS、SaaS、PaaS、それぞれについてサービス提供者と利用者双方の責任範囲について見ていきましょう。責任範囲は、大きく以下の領域で構成されています。

■責任範囲を構成する領域
・データ
・アプリケーション
・ミドルウェア
・OS
・仮想化ソフトウェア
・ハードウェア

オンプレミスの場合、これらのすべてにおいて利用者がセキュリティの責任を負いますが、クラウドサービスではIaaS、SaaS、PaaSの順にクラウドサービス提供者の責任範囲が増えていきます。

IaaS

IaaSでは、OSが稼働するまでのハードウェア、仮想化ソフトウェアまでは提供者が責任を持ち、データ、アプリケーション、ミドルウェアといった範囲については利用者が導入・管理します。インフラ部分以外は利用者が自由に設計できてカスタマイズしやすい反面、運用者の負担は大きくなります。

PaaS

PaaSの場合は、提供者の責任範囲がさらに拡大します。提供者はハードウェア、仮想化ソフトウェアに加えてOS、ミドルウェアについても責任を持ちます。利用者はアプリケーションとそのデータが責任範囲です。提供を受けたプラットフォームを利用して手間をかけずにアプリケーションを開発できる分、開発環境の自由度は低いことが一般的です。

SaaS

SaaSでは、ハードウェアから仮想化ソフトウェア、OS、ミドルウェア、アプリケーションまで提供者が責任を持ちます。カスタマイズ性は低下しますが、利用者はデータのみを管理すればよく、運用負荷が軽くなります。

ここからは、クラウドベンダーとしての歴史が長く、GCPやMicrosoft Azureを抑えてトップシェアを維持しているAWSの責任共有モデルと責任範囲について詳しく解説します。

ホストOSへのセキュリティレベル保障

AWSでは、物理サーバ内で仮想環境の土台となるホストOSについて、複数のレベルのセキュリティを設定しています。管理レベルにアクセスする必要がある場合、多要素認証にもとづく個別のログインが必要となり、データの漏洩傍受につながる悪意ある第三者の不正アクセスは困難だといえるでしょう。もちろん、すべてのアクセスは記録され、作業完了後はアクセス権が取り消されます。

利用者側の責任範囲は、前述したAWSの責任範囲以外のすべてです。具体的な範囲は利用するサービスによって異なりますが、AWS上に仮想サーバを構築して利用できるAmazon EC2などのIaaSでは利用者の責任範囲が広くなります。利用者の責任範囲とセキュリティ対策が必要な要素について見ていきましょう。

ゲストOS・ネットワーク設定

IaaSの場合は、ホスティングサービスのためゲストOSも利用者が管理します。AWSの責任共有モデルにおいてはネットワーク設定を含め、セキュリティ構成・管理を利用者側が行います。

アプリケーション

IaaSでは、利用者がセキュアプログラミングでアプリケーションを作成し、脆弱性を回避します。また、利用者が処理・実行できる状態にしたアプリケーションについては、利用者が責任を持って管理・運用しなくてはなりません。

データの暗号化

AWSの責任共有モデルでは、データの暗号化は利用者の責任範囲です。IaaS、SaaS、PaaSのいずれにおいても、サービス内のデータは利用者が暗号化などの処理をし、管理方法を決定します。

アクセス権限の管理

データへのアクセス権限を管理するのも、AWSの責任共有モデルにおいては利用者の責任です。利用者のIDやパスワードシステムへのアクセス権などを確実に管理しなくてはなりません。利用者側は、AWS利用時に責任範囲を把握して対処するだけでなく、常にセキュリティをアップデートし、安心・安全な環境を維持していく必要があります。

AWSの責任共有モデルは利用者の負担を軽減するものの、提供者側へすべてを任せることはできない仕組みです。責任範囲の要素については利用者側で対応する必要があり、社内のみでの対策は担当者の負荷が大きいでしょう。また、利用者の責任範囲において、「AWSサービスでは実現できないセキュリティ機能はあるのか」など疑問に思うことはありませんか？トレンドマイクロは、AWS環境のセキュリティ対策としてTrend Cloud Oneを提供しております。AWSサービスとAWS環境のセキュリティを提供するTrend Cloud Oneは競合製品ではありません。AWSサービスとTrend Colud Oneの製品の特性を知り、AWSセキュリティで対策ができる範囲と、新たにセキュリティを強化すべき範囲を明確にしませんか？