責任共有モデルとは？責任範囲やAWSのセキュリティ対策を解説

責任共有モデルとは、クラウドサービス利用時にサービス提供企業とユーザの責任範囲を明確にする考え方のことです。責任範囲を明確にすることでユーザの負担を具体的に把握でき、運用コストや保守負担を軽減できます。クラウドサービス利用時には、ユーザも責任範囲を認識し、適切なセキュリティ対策を実施することが必要です。
クラウドサービスは利用内容に応じて3つの種類に分類されます。クラウド上のネットワークやサーバなどのリソースを利用する「IaaS」、クラウド上のプラットフォームが利用できる「PaaS」、クラウド上のソフトウェアが利用できる「SaaS」があります。なお、サービスごとに責任の範囲が異なるため注意しましょう。各クラウドサービスでは、責任範囲を明示しているため、サービス導入時にはしっかり確認することが大切です。

責任範囲は、利用するクラウドサービスによって違いがあります。IaaS・PaaS・SaaSの各クラウドサービスにおける責任範囲は下記のとおりです。

IaaSにおける責任範囲の違い

IaaS（Infrastructure as a Service）とは、ネットワークやストレージ、サーバといったインフラ機能をインターネット経由で利用できるサービスのことです。IaaSの場合、サービス提供企業はネットワークやストレージ、サーバ、仮想化環境といったインフラストラクチャの運用管理、セキュリティ対策に関する責任を負います。一方、OSやミドルウェア、アプリケーションに関する管理責任を負うのはユーザです。

PaaSにおける責任範囲の違い

PaaS（Platform as a Service）とは、仮想化されたアプリケーションサーバ、データベースといったアプリケーション実行用のプラットフォーム機能をインターネット経由で利用できるサービスのことです。PaaSの場合、サービス提供企業はインフラストラクチャだけでなく、OSやミドルウェアについての責任も負います。一方、アプリケーションとデータに関する管理責任を負うのはユーザです。

SaaSにおける責任範囲の違い

SaaS（Software as a Service）とは、グループウェアや顧客管理、財務会計といった機能を備えたソフトウェアをインターネット経由で利用できるサービスのことです。SaaSの場合、サービス提供企業はアプリケーションを含むほぼすべての管理責任を負います。一方、アプリケーションで取り扱うデータに関する管理責任を負うのはユーザです。

世界的なシェアを誇るAWSでは、責任範囲をどのように設定しているのでしょうか。ここでは、AWSの責任共有モデルにおけるAWSの責任範囲について詳しく見ていきましょう。

データセンターなどの物理的な保護

AWSが保有するデータセンターなどの施設を物理的に保護する責任は、AWSにあります。
自然災害や環境リスクの影響を受けにくい場所にデータセンターを設置するとともに、防御壁や監視カメラといった保安設備・保安のための要員確保なども、AWSが担っている責任範囲です。

ホストOSの管理

物理サーバにインストールされているOSの管理に関しても、AWSが責任を負っています。
多要素認証による外部からの侵入防止や、ホストOSの操作ログの管理、アクセス権の付与・削除などは、いずれもAWSで管理している事柄です。

インフラストラクチャの管理

AWSは、サービス提供に必要なインフラストラクチャの管理も責任範囲として担っています。
インフラ設備があるデータセンターにおいて、24時間体制の監視やバックアップ電源の確保など、インフラの正常稼働の維持はAWSが管理しています。

次に、AWSの共有モデルにおけるユーザの責任範囲について解説します。ユーザが負うべき責任範囲は、主に下記の5つです。

ゲストOS

IaaSとして提供されているサービスに関しては、ユーザが責任を負う必要があります。具体的には、OSの更新やファイアウォールの構成、セキュリティパッチの適用、アプリケーション管理などです。

ネットワーク設定

Amazon EC2のネットワーク構成などに関しては、ユーザが責任を持ってネットワークの設定などを行う必要があります。ネットワーク構成をはじめ、情報漏洩などのリスクを低減できるよう、セキュリティ設定などをユーザが管理します。

アプリケーション

ユーザが処理・実行できる状態にしたアプリケーションに関しては、責任を持って管理・運用を行わなければなりません。アプリケーションに不具合が生じた場合はユーザの責任となるため、事前に適切なテストを実施した上でリリースすることが重要です。

データの暗号化

サービスの中で扱われるデータについては、ユーザによって管理する必要があります。データはあくまでもユーザの財産であり、AWSが保有・提供しているものではないからです。データを安全に利用する上で欠かせない暗号化の処理に関しても、ユーザが実施しなくてはなりません。

アクセス権限の管理

システムやアプリケーションのアクセス権限、データのアクセス権に関しても、ユーザが責任をもって設定・管理する必要があります。権限の設定ミスや管理の不徹底は、セキュリティ事故の直接的な要因となりかねません。AWSを安全に利用するには、アクセス権限の管理を徹底することが重要です。

AWSでは、高度なセキュリティレベルを実現するためのさまざまな機能とサービスを提供しています。AWSの主なセキュリティ対策とサービスについて詳しく見ていきましょう。

AWS WAF

AWS WAFは、AWSが提供するクラウド型のWAF（Web Application Firewall）です。脆弱性を狙うサイバー攻撃やボットから、アプリケーションやAPIを保護するためのファイアウォールとして提供されています。アプリケーションレベルで通信内容を解析し、特定の条件に一致する通信を検知・遮断することにより、アプリケーションを保護するのが基本的な仕組みです。

AWS Shield

AWS Shieldは、DDoS（分散型サービス拒否）攻撃からアプリケーションを保護することを目的としたサービスです。DDoS攻撃では、大量のトラフィックを送信することでサーバに過剰な負担をかけることにより、サービスの正常な利用を妨げるサイバー攻撃が行われます。同一のIPアドレスによる短期間・高頻度のアクセスをブロックすることにより、DDoS攻撃のリスクを回避する仕組みです。

AWS IAM

AWS IAM（Identity and Access Management）とは、アクセス制御を通じてリソースや権限を管理するためのサービスです。ユーザアカウントの発行・削除を行うとともに、ユーザやグループごとにアクセス権限を詳細にわたって管理することにより、サービスの安全な利用を実現します。

AWS KMS

AWS KMS（Key Management Service）は、暗号鍵の作成・管理・保護を行うための機能です。AWS KMSを利用することで、ユーザがAWSのサービスやアプリケーションで使用する暗号化・復号化のための暗号鍵を作成できます。なお、作成した暗号鍵はAWS KMSで管理されるだけでなく、マスターキーはユーザのローカル環境にはダウンロードできない仕様のため、安全に管理・保護ができます。また、暗号鍵の使用状況などは記録され、不正な利用があった場合のリスク管理に役立てることも可能です。ほかに、暗号鍵の作成だけでなく、作成された暗号鍵の一元管理もできます。

責任共有モデルは、クラウドサービス利用時にサービス提供企業とユーザが共同で責任を持つ考え方で、運用コストの削減や適切な保守管理を可能にします。AWS環境のセキュリティを強化するには、トレンドマイクロが提供する「Trend Vision One™」の活用がおすすめです。例えば、「Trend Vision One - Endpoint Security™」は、デスクトップやサーバ、クラウドワークロードなどを保護するエンドポイントセキュリティを提供することで、IaaS環境で実行される処理・タスクの保護が可能になります。また、コンテナ環境向けのセキュリティソリューション「Trend Vision One - Container Security」の活用もセキュリティ強化に有効です。Trend Vision One - Container Securityは、開発の早い段階でコンテナイメージをスキャンし、脆弱性や不正プログラム、APIキー、パスワードといった機密情報を検出することで、PaaS利用しているコンテナサービスのセキュリティ強化を支援します。AWSによる安全なサービスの構築を目指している場合は、ぜひ「Trend Vision One」の導入をご検討ください。