クラウドは狙われる自社サーバーは狙われない

質問

会社の業務にクラウドを導入しようと部下から提案がありました。

部下曰く
「クラウドのセキュリティは世界一流のＩＴ企業が行っており、自社で管理するサーバーより安全性が高い」
とのこと。

それは分かるのですが、世界的に有名なクラウドサービスは常に狙われていると思います。
反面、我が社のようなマイナー企業は存在すら知られていません。

そういう意味で、クラウドの方がハイリスクだと思うのですが、ＰＣに疎くよくわかりません。

上記のような点を加味してもクラウドの方がローリスクなのでしょうか？

回答No.8

QCD2001

最近は中小企業に対するランサムウエアーによる攻撃が増えてきています。
ランサムウエアーというのは、コンピュータに入り込んだウイルスがデータを暗号化して読めなくしてしまうものです。

取引先からの注文書や仕様書、契約書、自社の会計データ、自社製品の設計図、従業員の給与や雇用保険、年金データ、などすべてのデータが読めなくなってしまい、

データを元に戻してほしかったらお金を払え。
という脅迫文のみが読めるデータになっています。

シマンテックなどの専門の業者に復旧を依頼すると、数百万円程度以上の費用と、状況によっては数週間から数か月の期間が必要になります。企業の規模によっては、とても許容できない金額と期間になります。それを見越して３００万円とか５００万円とかいった金額を要求する事例が増えています。

犯人が標的となる中小企業を探す方法はホームページです。ホームページで手ごろな規模の中小企業を見つけ、その企業に払えそうな金額を要求します。有名かどうかは関係ありません。むしろ、泣き寝入りしてお金を払いそうな無名企業を狙う傾向にあるようです。

質問者さんの会社にＩＴ専門の部署があり、複数の専門家が常駐スタッフとしてセキュリティーの監視をしているのなら、大丈夫でしょう。でもそういう企業ではありませんよね。
このような専門部署と専属スタッフがいるような企業の場合は、クラウド云々はその専門部署が決定をしますから、質問者さんのところへそんな話がまわってくるはずはありません。
他の回答者も書いていらっしゃいますが、リスクに関しては、どれだけの費用をかけてリスク回避をしているか、によります。
専門の業者の説明をよくお聞きになり、御社のコストと天秤にかけて最終的には社長が決済をすべきだと思います。

回答No.7

USS-Enterprise

申し訳ないですが、質問を読んでいろいろな意味で思わず笑ってしまいました。

その部下の方はセキュリティ云々を垂れる程その筋の権威なのでしょうか？その方の判断や提案内容は、セキュリティ分野から見ても優れたものなのですか？
あなたも疑問を持ちながらも判断できないのでしょうが、誰も何の責任も持たぬこのような場に問うこと自体論外なことだと思います。

自社サーバとクラウドではどちらがセキュリティ上優れているか？などというレベルの質問への答えなど出せるものではありません。

普通の企業なら、
・現状の社内システムでどのような問題やリスクがあり、それに起因している損失や影響の度合いはどの程度のものか？
・想定されるリスクが現実になったとき、どれ程の影響が見込まれるか？
・それぞれの問題を解決するには幾らのコストを掛けて何を導入すれば良いか？
・そもそもそのようなコストを掛ける必要があるシステムなのかどうか？
等を最初に社内で分析して検討するのでは？おそらくこのようなことを検討すること自体、社内稟議に値する案件ではないかと思います。
自社だけではできないのであればコンサルティングを受ける企業だってあります。

質問の背景は判りませんが、その部下の方が提案を持ってくる際に、上記のような具体例が何もない状態だとするとその方の能力もたかが知れている と私は思います。何かをどこかで聞きかじった人と大差なく、説得力も何もないですね？

回答No.6

bunjii

>会社の業務にクラウドを導入しようと部下から提案がありました。
あなたは経営者ですか？、それとも中間管理職ですか？
会社の危機管理を何処の馬の骨か分からない私たちに質問するのは如何なものでしょう？

>それは分かるのですが、世界的に有名なクラウドサービスは常に狙われていると思います。
具体的に何処のクラウドサービスかを提示されたら如何でしょう？

>反面、我が社のようなマイナー企業は存在すら知られていません。
本当ですか？
マイナー企業と言っても特別な技術を持っていることもありますので特定の分野では有名なこともあります。

>上記のような点を加味してもクラウドの方がローリスクなのでしょうか？
提案されたクラウドサービスの会社へ直接問い合わせた方が確実です。
「ＰＣに疎くよくわかりません。」と仰いますがサーバーの場合はＰＣ（クライアント端末）とは異なりますので専門家にプランの立案を頼まれた方が良いでしょう。

このサイトの回答には誤りの情報も含まれていますので業務上のアドバイスを求めるには不向きかと思います。

回答No.5

noname#224719

逆に考えてください。

もし何かあった場合、
機種、キャリアかIEか？
分からないことですよね。

来客は人を見て部屋に入れるでしょう？
誰でも入れたら危険率が高くなるのと一緒です。

セキュリティとして
モニターつけて、鍵をかけたからと言って
安心はできません。
使い方と細心の注意が必要です。

いま一般人のブログなどを
勝手に取り上げて炎上することも
あるので発信内容に気をつけてください。

回答No.4

dragon-man

ネット大国、アメリカの政府機関でさえ侵入されるのですから、たとえセキュリティが完備していても、大手企業のクラウドなどハッカーにとっては何でもありません。入る気になれば入るし、入る気にならなければ入りません。中小企業のサーバなんてまず入る気にはならないでしょう。入る入らないより、そもそもその会社やサーバのことを知らない。知らなければ入りようがない。それに引き替え、大手クラウドは宝の山です。ハッカーにとって狙う価値が大いにあります。だから自社管理サーバの方が断然リスクが少ないです。

回答No.3

t_ohta

「クラウドサービス」と言っても、単純にサーバを借りて自分達でOSのインストールから行うようなインフラ貸しのサービスから、グループウェアなど用意されているアプリケーションを借りるサービスまで多種多様です。

単純にサーバを借りるだけのサービスなら、そのサーバの安全性を確保するのは自分たちの役目になるので、セキュリティーリスクは自前のモノと大して変わらず、自分たちの努力で解決しなければいけません。

一方、アプリケーションを借りるサービスであれば、プロが運用するサービスを利用するのでセキュリティー対策を自分達で行わずに済み、低コストで安全なサービスが利用可能になります。
当然、有名なサービスは攻撃対象になりやすいんじゃないかと言う懸念は正しい考えですが、その攻撃をかわせる技術を持っていなければ有名になるほど利用者が増えませんので、運用実績のあるサービスなら信頼できると考えてもいいでしょう。

どんなサービスを利用するのか、そのサービスの規約でどのような品質保証をしているのかを見て、最終的な判断をするといいでしょう。

回答No.2

tracer

どちらとも言えない。
あなたの会社サーバーのセキュリティが一定のクオリティで常に最新に保たれているのであれば、あなたが言うように、汎用クラウドサーバーより安全になるケースも考えられると思います。つまり、「クラウドのセキュリティは世界一流のＩＴ企業が行っており、自社で管理するサーバーより安全性が高い」とは言い切れないという意味では、あなたが正しいです。

ただし、逆に、「あなたの会社サーバーのセキュリティが一定のクオリティで常に最新に保たれていない」場合は、その評価は覆ります。問題として、サーバーに対して素人であるあなた、もしくは会社の人間がセキュリティクオリティを判断できるはずがないという点が挙げられます。
つまり、あなたが悩むべき問題ではありません。専門家に相談しましょう。

もう少し詰めよった言い方をするならば、「コスト次第」です。どちらが安全とかそういう話ではありません。同じセキュリティクオリティを目指した場合、どちらがコスト的に有利かという話に落とし込むべきです。

回答No.1

OKWavex

リスクは何とも言えないでしょう
・知名度が高いと最初から標的にされやすいが、知名度が低くても無差別攻撃でヒットする可能性はある
・ガードが強ければ危険性が低いし、ガードが弱ければ危険性が高い
これらのトレードオフなのでどちらとも言えませんし契約時の補償内容にも依存します
あとはセキュリティだけでなく費用・システム内容・運用性等を総合的に検討・判断するしかありません