クラウドサービスはインターネット経由でストレージやインフラ機能の提供を行うサービスのため、特に初めて導入する際にはセキュリティ面の不安を感じる方も多いのではないでしょうか。
GCPではさまざまな視点から厳重にセキュリティ対策されていますので、具体的にどんなセキュリティ対策が施されているか見ていきましょう。
Googleではユーザーが抱えるセキュリティ不安を解消するため、セキュリティ対策について「Google security whitepaper」としてインターネット上に公開しています。
なおこのドキュメントでは、データを保護するために実行している物理的・管理的・技術的なセキュリティ対策に焦点を当てているとのことです。
ホワイトペーパーの内容から、GCPで行われている3つのセキュリティ対策について紹介します。
まずは、データや通信経路の暗号化です。GCPでは、データ保存の際にデフォルトで暗号化されるようになっています。
また、通信経路についても全てSSL/TLSで暗号化することで第三者の解読を阻み、通信の傍受や悪用の防止に努めています。
データセンターの保護などの物理的なセキュリティ対策も行われています。
データセンターではカスタム設計された電子アクセスカードや警報、車両セキュリティゲート、外周フェンス、金属探知機、生体認証などの安全対策を実施。
また侵入者の検知・追跡のため、レーザー光線侵入検知や高解像度の内外監視カメラによって24時間365日モニタリングが行われています。
事件・事故などが発生する可能性が起こる状況に備えた対策も行われています。
GCPにおいて何らかのインシデントが発生した場合には、クラウドインシデント管理やプロダクトエンジニアリング、サイト信頼性エンジニアリングなどのチームのエキスパートから構成された担当者のチームが優先順位に応じて対応。インシデント宣言から終結までを管理します。
コンプライアンスの徹底にも取り組んでおり、独立した第三者機関による複数の監査を定期的に受けています。
認証や証明書、監査レポートなどを取得することで、セキュリティ・プライバシー・コンプライアンス統制を順守していることを示します。
受けている監査には、「SSAE16 / ISAE 3402」や「SOC 2/SOC 3」、「ISO 27001」、「ISO 27017」、「ISO 27018」、「PCI DSS v3.0」などがあります。
GCPは不正アクセス防止のため、複数のシステムゲートを実装するなど多層防御を行うことでネットワークを外部攻撃から保護しています。
Googleのセキュリティ要件を満たし承認されたサービスやプロトコルのみ通過が可能で、それ以外は自動的に排除されます。
一般的なセキュリティ対策ツールと社内の専用ツールを使いながら、自動・手動両方で常にセキュリティの脆弱性がないかの探索も行っています。
脆弱性追跡・対処のための専用チームが用意されていて、問題が発見された場合は速やかに対応します。
Googleアカウントの情報が漏洩すれば、不正利用やデータ盗難のリスクが高まります。その対策には、Googleアカウントの2段階認証の設定が有効です。通常のIDとパスワードの組み合わせによる認証方法の他に、もうひとつ認証手段を追加します。もうひとつの認証手段には、SMSなどが利用可能です。2段階認証を設定すると、万が一IDやパスワードが盗まれてもそれだけではログインできなくなります。
他にもGCPでは「Google 認証システム」というアプリが提供されています。インターネットに接続できない環境でもセキュリティコードを受け取れるシステムです。
よりセキュリティを強化したいなら、別途セキュリティキーを購入することもできます。セキュリティキーは、カギあるいはUSBメモリのような形状のデバイスです。Googleストアで購入できます。価格は5,000円程度です。公開鍵暗号方式によって、ユーザーのIDとログインURLを確認する仕組みになっており、不正ログインを防ぐことができます。
GCPのセキュリティ対策において、基本的でありながら非常に重要なことは、ソフトウェアを最新に保つことです。Googleは、常に最新のソフトウェアパッチを提供し、GCPを安全に利用できるようにしています。ソフトウェアが最新の状態になっていない場合、新しいウイルスや脆弱性に対応できないリスクが高まってしまいます。定期的なアップデートを行うことで、既知の脆弱性に対処し、セキュリティリスクを軽減できます。
ソフトウェアのアップデートはいつ行われるか分かりません。通知などで気づいたときは、迅速にアップデートをおこないましょう。また、定期的にソフトウェアが最新の状態にアップデートされているか確認することも大切です。
ビジネス用途で使用する場合は、より強固なセキュリティ対策を検討しましょう。別途セキュリティサービスを利用することも、有効なセキュリティ対策のひとつです。GCP自体は高度なセキュリティ機能を備えていますが、追加のセキュリティサービスを導入することで、より包括的な保護が可能となります。
例えば、ファイアウォールや侵入検知システム(IDS)を追加することで、外部からの攻撃に対する防御を強化できます。自社ネットワークやテレワーク環境からクラウドサービスへログインする前に認証を行うような専用の認証サービスもあります。セキュリティ情報およびイベント管理(SIEM)ツールを利用することで、リアルタイムでの脅威検知と対応が可能です。さらに、データ暗号化やアクセス管理の強化を行うことで、機密情報の保護をより確実にすることができます。
こうしたサービスは、GCPのネイティブ機能と連携し、脅威に対して多層的な防御をおこないます。特に、クラウド環境は常に変化するため、外部のセキュリティサービスを利用することで、最新の脅威に迅速に対応できる体制を整えることが重要です。
クラウドサービスのデメリットとして、メンテナンスによる計画停止・再起動で業務が中断されてしまうことが挙げられます。
しかし、GCPではメンテナンス時にサーバーを停止する必要はありません。
GCPには、ライブマイグレーションという技術があります。それは、物理サーバで稼働中のVMを他の物理サーバ上に無停止で移動させるというもの。この技術を活用することで、仮想マシンはダウンすることなく、メンテナンス作業がユーザーに気付かれないうちに完了します。ダウンタイムに悩まされることなく業務を維持できるので、インフラ都合でエンドユーザーに不利益を与えることがありません。
GCPではさまざまな方法で厳重なセキュリティ対策が行われているため、安心して利用することができます。
Google社内でもセキュリティに関するルール遵守が徹底されていて、全従業員が高いセキュリティ意識を持つ体制が整っています。第三者による監査も定期的に行われていて、不正が起きない仕組みになっているのです。
IT技術の発達により、DXやクラウド化による業務の見直しが叫ばれる昨今。Googleが提供する安定したインフラを利用できるGCP(GoogleCloud)の導入で、社員の負担軽減&生産性アップを図りましょう。
しかし自社に適した環境構築には、専門的な技術やノウハウを持つエンジニアのサポートが欠かせません。
当サイトでは、基礎知識から導入支援パートナーの紹介まで、GCPに関する様々な情報を分かりやすくまとめていますので、是非お役立てください。
GCPの構築・導入を強力に支援する
システム開発会社3選をチェック!
Google Cloud Platformによるクラウド環境の構築・導入には高度な知識が必要です。 クラウド化の波に乗り切れない悩める担当者のために、よくある課題から、それぞれおすすめの会社と特徴をご紹介します。
Google認定パートナー:
スぺシャライゼーション
Google認定パートナー:
スぺシャライゼーション
Google認定パートナー:
エキスパティーズ