すべての CISO はクラウド ネットワーク セキュリティについて知っておくべきです

May 30, 2023

クラウド ネットワーク セキュリティというと、従来のネットワーク セキュリティとそれほど変わらないように聞こえるかもしれませんが、少なくともいくつかの点では違いはありません。 クラウド ネットワークは、オンプレミス ネットワークと同じ基本的なパラダイムとプロトコルを使用するため、クラウド ネットワーク セキュリティと従来のネットワーク セキュリティの間には重複する部分があります。 業界アナリストによると、ファイアウォールはオンプレミスと同様にクラウドでも基盤であり、たとえば、Gartner が「ネットワーク ファイアウォールは依然として重要なネットワーク セキュリティ制御である」と述べています。

しかし、導入している従来のネットワーク セキュリティ ソリューションとプロセスでクラウド ネットワークを保護できると考えている場合は、もう一度考えてください。 クラウド ネットワークとオンプレミス ネットワークにはいくつかの類似点がありますが、決定的な違いもあります。 たとえば、クラウド ネイティブ アプリを展開する場合、ほとんどのオンプレミス環境では発生しない、複雑な内部ネットワークや追加のネットワーク管理コンポーネント (サービス メッシュやイングレス コントローラーなど) が発生する可能性があります。

これは、従来のネットワーク セキュリティ戦略を単純に「リフト アンド シフト」してクラウド ネットワークを保護することはできないことを意味します。 このブログで説明されているように、クラウド ネットワーク セキュリティには追加の機能、ツール、戦略が必要ですが、従来のワークロードがオンプレミスで実行されていた場合にはこれらの機能が導入されていない可能性があります。

クラウド ネットワーク セキュリティを理解するには、まずクラウド セキュリティ一般を理解する必要があります。

現在、クラウド セキュリティの意味を考えるための一般的なモデルは、Gartner のクラウド ネイティブ アプリケーション保護プラットフォーム (CNAPP) の概念です。 CNAPP は、クラウド ネイティブ アプリケーション、つまりクラウドベースの環境で実行されるアプリケーションを保護し、ホスティング スタックのすべての層とソフトウェア配信ライフサイクルのすべての段階を保護するように設計されています。

クラウド ネイティブ アプリには複雑なネットワーク アーキテクチャが含まれることが多いため、CNAPP は、次世代のファイアウォールやロード バランサーから Web アプリや API に至るまで、ネットワーク機能のさまざまな側面を保護する必要があります。 また、きめ細かいセグメンテーションを提供し、南北および東西の両方のトラフィックを保護する必要があります。

すべてのクラウド展開がクラウド外部のネットワークに接続し、ネットワークを使用してクラウド内のさまざまな資産間でデータを転送することを考えると、安全なネットワークは残りのクラウド セキュリティ戦略の基盤となります。

ちなみに、これは、使用するクラウド アーキテクチャの種類に関係なく当てはまります。 単一のクラウドを使用している場合もあれば、複数のクラウドを使用している組織の 90% に属している場合もあります。 プライベート クラウドまたはオンプレミスのリソースとパブリック クラウド ベースのサービスを組み合わせたハイブリッド クラウド環境を運用することもできます。

クラウド アーキテクチャに関係なく、シングルクラウド、マルチクラウド、ハイブリッド クラウドなど、あらゆるタイプのクラウド環境は、インフラストラクチャとワークロードを結び付けるネットワークに依存しているため、クラウド ネットワークのセキュリティが侵害されると、すべての環境が深刻なリスクにさらされます。 このため、ホストされているクラウドの種類に関係なく、すべてのクラウド リソースを一貫した効率的な方法でサポートできるネットワーク セキュリティ ソリューションを展開することが重要になります。

また、責任共有モデルによって企業がクラウド ネットワークを保護する必要性がなくなるわけではないことにも注意してください。 責任共有モデルは、クラウド プロバイダーが顧客と結ぶ契約であり、クラウド プロバイダーはクラウド環境の一部のコンポーネントをセキュリティで保護する責任を負い、その顧客はその他のコンポーネントについて責任を負います。

ネットワーク セキュリティの観点から見ると、責任共有モデルでは、クラウド プロバイダーは、クラウド インフラストラクチャへの接続を提供するスイッチやルーターなどの物理ネットワーク インフラストラクチャを保護する必要があります。 ただし、顧客が構成する仮想ネットワークと、それらの仮想ネットワークを通過することによってクラウド環境に出入りするトラフィックを保護するタスクは顧客の負担となります。

率直に言って、脆弱なクラウドベースの VM にパッチを当てずに誤って放置した場合、クラウド プロバイダーはあなたを救ってくれません。しかし、優れた侵入防御システムがあればこのリスクは軽減されます。 クラウド ベンダー独自のセキュリティ ツール、自社構築の DIY ソリューション、サイバーセキュリティ ベンダーの製品など、適切なツールとソリューションのセットを採用してクラウドを保護することにより、このようなクラウド ネットワーク セキュリティ リスクを管理するのはお客様の責任です。