ハイブリッド クラウドの一貫したセキュリティを実現するには、クラウドに目を向ける
2009 年初頭、クラウドがあらゆるものに混乱をもたらす可能性が最も高いテクノロジーとして台頭し始めたころ、私たちの多くはインフラストラクチャ レベルでの一貫性の問題に着目し始めました。 私たちは「インフラストラクチャ 2.0」という名称で、API、テンプレート、構成モデルなどのプログラマビリティの役割と、当時「インタークラウド」の世界と呼んでいたものにおける一貫したポリシーのプロビジョニングと施行を実現するという問題を検討しました。
現在、これをハイブリッド クラウドまたはマルチ クラウドと呼んでいますが、従来のインフラストラクチャ モデルとクラウド コンピューティングを統合した環境で、ポリシーの一貫性をどのように実現するかという問題は依然として残っています。
そしてそれはまだ問題です。 マネージド クラウド セキュリティ プロバイダーの CloudPassage が委託した調査では、クラウドとセキュリティに関する 1,000 件を超える回答が寄せられ、クラウド インフラストラクチャを保護するための最も重要な要素は「IT インフラストラクチャ全体の一貫性」と「継続的な保護」であり、回答者のそれぞれ 60% と 58% が同意していることがわかりました。 組織を悩ませ続けているクラウド セキュリティのギャップを埋める方法について尋ねたところ、最も多く挙げられた方法は「一貫性のある継続的なセキュリティ ポリシーを実施する能力」でした。
クラウドとオンプレミス間のポリシーの同等性を求めるこの要望は、今年、We (企業としての We) が毎年恒例のapplication配信の現状調査を実施したときに再び明らかになりました。この調査では、3,000 人を超える回答者の 48% が、クラウド導入における上位 3 つのセキュリティ要件の 1 つとして「オンプレミスとのセキュリティと監査の同等性」を挙げています。
2009 年に私たちが解決しようとした問題は、依然として残っています。それは、セキュリティを最低限にまで削減することなく、オンプレミスとクラウドのインフラストラクチャ全体でポリシーの一貫性を実現し、可能な限り幅広いオプションをサポートするにはどうすればよいかということです。 結局のところ、ベンダー間での構成モデルはすでに大きく異なります。 クラウド コンピューティングを追加すると、セキュリティの管理と制御に使用されるモデルと方法の種類が増えるだけです。 たとえば、オンプレミスで Webapplicationファイアウォール (WAF) ポリシーを実装するために使用される標準のアプリ セキュリティ ポリシーは、クラウド プロバイダによって単純に再利用することはできません。 明確なポリシーを作成し、それを維持、管理、監査する必要があります。 このような状況で同等性を実現するには、両方のポリシーが両方の環境で同じセキュリティを適用していることを注意深く確認する必要があります。
これは持続不可能だ。 運用上困難であり、管理コストが高く、エラーが発生する可能性も高くなります。 コストのかかるエラー。
望ましい一貫性を実現する方法の 1 つは、クラウド自体、つまりクラウド内でサービスとして提供できるセキュリティ サービスに目を向けることです。 このようなサービスは、通常、applicationの上流にあり、application要求がapplicationに到達する前に検査とスクラブを行う役割を担うものとして識別されます。 DDoS 防止、WAF サービス、SPAM 軽減、マルウェア検知はすべて、クラウドベースのapplicationに効果的にオフロードして、クラウド内かオンプレミスかに関係なく、すべてのapplications間でポリシーの一貫性を確保できるアップストリーム アプリケーション サービスのカテゴリに属します。 CDN がキャッシュ サービスをオフロードするのと同じように、これらのセキュリティ アズ ア サービス オプションは、複数のapplicationsと環境で同じポリシーまたは基本ポリシーを使用できるため、マルチクラウド環境に一貫性を提供します。
モノのインターネットが普及し、組織がクラウドだけでなく多くのクラウドで存在感を拡大し続けるにつれて、一貫したポリシーの施行、特にセキュリティに関連するポリシーの必要性は高まるばかりです。 変化は人生のスパイスかもしれないが、安全のためには、料理人が多すぎるとスープが台無しになる。 そして、もし私の比喩に混ぜる慣用句をもう一つ見つけることができたなら、そうするでしょう。なぜなら、それは対処する必要のある課題を実存的に示しているからです。
セキュリティはすでに十分困難です。 さらに多くの環境、より多くのシステム、より多くの異なるポリシーを追加すると、状況はさらに困難になるだけです。 セキュリティ人材が不足している世界では、あらゆるものが多様化する世界において、セキュリティ ポリシーの導入と管理だけでなく適用も容易にするソリューションを探し出して活用することは理にかなっています。