近年、各企業においてクラウドサービスの利用が急速に普及してきています。一方で、「クラウド導入にあたってセキュリティは何をすれば良いのか？」、「うちのクラウドのセキュリティは大丈夫なのか？」といった声も多く聞かれます。
また、かつてはクラウドサービス、特にIaaSの代名詞と言えばAmazon Web Services（以下、AWS）でしたが、ここ最近Microsoft AzureやGoogle Cloud Platformなど他のサービスも広く知られるようになりました。
本コラムでは、セキュリティバイデザインの観点から、セキュリティ設定のベストプラクティスとして知られるCIS Benchmarksの記述からクラウドセキュリティの最も基本となるアイデンティティ＆アクセス管理（以下、IAM）を対象にセキュリティ要件の本質を明らかにしてみたいと思います。

4大クラウドとCIS Benchmarks

4大クラウドとは？

一般的にクラウドサービスといえば、AWS、Azure、GCPが三大クラウドとして挙げられます。また、2022年6月の米国の調査会社Gartner社の発表によると、ワールドワイドにおける2021年のIaaSの市場シェアは、AWS、Azure、Alibaba Cloud、GCPの順となっています（Alibaba Cloudは中国をはじめとするアジア太平洋地域において高い市場シェアを占めています）。
しかし、2022年10月に日本のデジタル庁が発表したガバメントクラウド対象クラウドサービス一覧では、以下4つのクラウドサービスが明示されました。

これによりOCIは、今後日本政府が利用を検討するクラウド基盤の一つと位置付けられ、日本国内でのさらなる普及・発展が予想されます。そのため、本コラムではAWS、Azure、GCPにOCIをあわせて4大クラウドと呼称します。

CIS Benchmarksとは？

CISとは、”Center for Internet Security”の略称で、米国のセキュリティ関係の非営利団体です。CISといえば最も有名なのがCIS Controlsでしょう。CIS Controlsとは、優先すべきシステムのセキュリティ要件を示した文書で、2022年11月現在、バージョン8が公開されています。
その同じCISから技術的なセキュリティ設定の推奨策（Recommendations）として公開されているのがCIS Benchmarksです。CIS Benchmarksは、実装レベルのセキュリティ対策のベストプラクティスを示した文書であり、さまざまなOSやミドルウェア、クラウドサービス、ネットワークデバイス、ソフトウェアを対象としています。
CIS Benchmarksの推奨策とはどのようなものでしょうか？　以下で簡単に見ていきましょう。

・推奨策（Recommendations）

CIS Benchmarksでは、推奨策は、例えば以下のように書かれています。

これら推奨策には、それぞれに対して実機における確認方法（Audit）や修正方法（Remediation）なども記載されています。また、推奨策にはその属性としてプロファイルや評価ステータスがあります。

◦プロファイル（Profile）

プロファイルとは、各推奨策が目指すセキュリティレベルです。レベル１およびレベル２があり、レベル1が基本的対策で、レベル2がそれを拡張した強化策です。CIS Benchmarksでは以下の説明が記載されています（文章は著者意訳）。

◦評価ステータス（Assessment Status）

評価ステータスとは、推奨策の評価方法または実装方法です。推奨策の評価または実装が、自動化できるか手動のひと手間が必要かを示します。 CIS Benchmarksでは以下の説明が記載されています。

本コラムでは4大クラウドのCIS Benchmarksとして以下の文書を対象とします。

これらCIS Benchmarks やCIS Controlsは、NISC（内閣サイバーセキュリティセンター）「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル　別冊」や、総務省「クラウドサービス利用・提供における適切な設定のためのガイドライン」などでも言及されており、日本国内でも年々知名度が向上しています。

4大クラウドのアイデンティティ＆アクセス管理（IAM）とは？

CIS Benchmarksのカテゴリーとアイデンティティ＆アクセス管理（IAM）

CIS Benchmarksでは、AWS、Azure、GCP、OCIのそれぞれの推奨策は、ほぼ同じようなカテゴリーで構成されています。中でもアイデンティティ＆アクセス管理（Identity and Access Management。以下、IAM）は、どのクラウドサービスにも存在する最もベースとなるクラウドセキュリティのカテゴリーです。IAMとは、簡単にいうとアカウント管理およびアクセス管理のことです（よくアイアムと呼称されます）。

4大クラウドのCIS Benchmarksにおけるカテゴリー

CIS BenchmarksでAWS、Azure、GCP、OCIについてどのようなIAM推奨策があるのかを概要レベルで見ていきましょう。IAMの数と特徴を見ると、各クラウドサービスの仕組みや機能がそのままIAM推奨策の数や内容に反映されていることがわかります。また、これはCIS Benchmarks執筆チームの考え方の違いや執筆・公開時期の違いも関係していると思われます。
最もIAM推奨策が多いクラウドサービスはAzureですが、機能の違いがあるのでCIS Benchmarksにおける推奨策が多ければセキュアなクラウドだとは単純に判断できません。ただし、多くの推奨策を見ることは多くのセキュリティ観点に触れられるということになります。

4大クラウドのIAM推奨策の数および特徴

4大クラウドのIAM推奨策

4大クラウドのIAMに関する用語の概要

AWS、Azure、GCP、OCIは、それぞれクラウドサービスとしての仕組みが似ていますが、その名称や内容に少しずつ違いがあります。4大クラウドのIAMの各要素における名称は以下の通りです。

4大クラウドの主なIAMの要素

4大クラウドのIAM要件トップ10

それでは、AWS、Azure、GCP、OCIのIAM推奨策は何を要件として求めているのでしょうか？4大クラウドに求められているCIS BenchmarksのIAM推奨策から、共通的なものをグルーピングし、数が多い上位10の要件を抽象化しました。
その結果、以下の要件がIAM要件のトップ10でした。

4大クラウドのIAM要件トップ10

これらは具体的にはどのような推奨策に基づくものなのか、サブ要件もあわせて見ていきましょう。今回は長くなってしまうため、No.1について詳しく見ていきたいと思います（No.2～10については次回解説します）。

No.1　多要素認証の導入

最も多かったのは多要素認証に関する推奨策でした。4大クラウドのすべてで多要素認証がIAM推奨策に書かれています。また、管理者だけではなくすべてのクラウドユーザーに多要素認証を推奨しています。

細かくは以下のサブ要件に分類されます。

CIS Benchmarksにおける推奨策は以下の通りです（末尾にプロファイル・評価ステータスも記載）。

まとめ

今回はIAMトップ10のうち、No.1を解説しました。一見、抽象化した要件だけを見るとそれほど特殊なことが書かれているようには見えません。しかし、それを実装における推奨策と合わせて見てみると、どう具体的にセキュリティ設計を行えばよいのか、より理解が深まります。
次回は残りのNo.2～10について解説します。

参考資料