SaaSセキュリティーのベスト・プラクティス：クラウドのリ …...要があります。データ暗号化、トークン化、データ損失防止などの手法を活用して、デー

概要インテルの各事業部門では、Software as a Service（SaaS）アプリケーションへの需要が高まっています。そうした要望に応えるため、インテル IT部門では、SaaSのセキュリティー強化とインテルの知的財産保護に役立つ、いくつかのベスト・プラクティスを策定しました。

SaaSアプリケーションは、効率性と俊敏性をもたらし、コスト削減を実現し、サプライヤーや顧客とのコラボレーションを可能にします。その一方で、SaaSアプリケーションはサードパーティーのインフラストラクチャー上で運用され、サードパーティーのアプリケーション・コードを実行するため、セキュリティー上の課題ももたらします。

クラウドがもたらすリスクを最小化するため、インテル IT部門では次のようなベスト・プラクティスを確立しています。

• SaaSセキュリティー戦略を策定し、その戦略を反映したSaaSセキュリティー・リファレンス・アーキテクチャーを構築する。

• リスクと生産性のバランスを図る。

• SaaSセキュリティー制御を実装する。

• テクノロジーの発展に合わせて進歩を続ける。

インテル IT部門の経験上、SaaSのセキュリティー制御は次のような種類に分類されます。

• IDおよびアクセス管理の制御：SaaSアプリケーションが、適切なユーザーによって、適切なデバイスからのみアクセスされるように制御します。

• アプリケーションとデータの制御：データへのインターフェイスであるアプリケーションは、あらかじめ登録され、セキュリティー要件を満たしているかどうかを評価される必要があります。データ暗号化、トークン化、データ損失防止などの手法を活用して、データを保護し、保管または転送される機密情報の検出を行います。データ制御は、クラウド・トラフィックにリアルタイムで適用することも、クラウド内にすでに保管されているコンテンツに適用することも可能です。

• ログ記録と監視の制御：情報セキュリティー違反の検出を行い、適切な ITスタッフに警告を送信し、適切な対応と是正措置が取られるように支援します。

こうしたSaaSセキュリティーのベスト・プラクティスは、インテルのセキュリティー、プライバシー保護、コンプライアンスを強化すると同時に、各事業部門による新しいSaaSソリューションの迅速な導入を可能にします。

新しいSaaSソリューションの迅速な導入を、安全性を確保しつつ実現します。

IT@Intel

SaaSセキュリティーのベスト・プラクティス：クラウドのリスクを最小化

ホワイトペーパー2015年8月

Shachaf Levi インテル IT部門クラウドおよびモバイル・セキュリティー・エンジニア

Eran Birk インテル IT部門プリンシパル・エンジニア、モバイルおよびクラウド・セキュリティー・アーキテクト

Esteban Gutierrez インテル IT部門情報セキュリティー・リスク・スペシャリスト

Kenneth J. Logan インテル IT部門データ保護エンジニア

Jac Noel インテル IT部門セキュリティー・システム・エンジニア

Nooshin Zand インテル IT部門セキュリティー・システム・エンジニア

Carlton Ashley インテル IT部門エンタープライズ・セキュリティー・アーキテクト

Thai Bui インテル IT部門 IDおよびアクセスエンジニア

Paul Matthews インテル IT部門データ保護エンジニア

ビジネス課題パブリック・クラウド・ベースのSaaSは、オフィス向けアプリケーションや営業マーケティング・ソフトウェアなど、インテルが使用する多くのビジネス・アプリケーションにとっても標準的な提供モデルとなっています。1 このため、インテルの各事業部門も、外部のパートナーや顧客と同様に、クラウドで運用されるSaaSアプリケーションへのインテル IT部門によるサポートを必要としています。

SaaSは、次のような要件が求められる状況で効果を発揮します。2

• 効率性、スピード、俊敏性：事業部門が、新しいアプリケーションを迅速に導入できること、別のサービス・プロバイダーへの切り替えが簡単にできることを望んでいる。

• コスト効率：短期間のライセンス利用により、コストを削減できる可能性がある。

• より良い協力体制：事業部門が、外部の顧客、サプライヤー、OEM、子会社、関連会社とのコラボレーションを望んでいる。

SaaSの導入は、インテルのSMACI（ソーシャル /モバイル /分析 /クラウド/モノのインターネット）戦略の一環です。この戦略は、以下の4つの柱で構成されます。

• 多様な情報を、より多くの場所に届ける。

• デバイスの多様化や、インターネット上のタッチポイントの多様化に対応し、さまざまなアクセス方法を可能にする。

• より多くのモバイル・アプリケーションおよびサービスを社内でサポートする。

• パブリック・クラウドでのSaaSに合わせた標準アプリケーションを導入する。

目次

1 概要

2 ビジネス課題

3 ソリューション - SaaSセキュリティー戦略を策定し、

それを反映したリファレンス・アーキテクチャーを構築する

- リスクと生産性のバランスを図る - SaaSセキュリティー制御を実装する - テクノロジーの発展に合わせて

進歩を続ける

11 今後調査する分野

11 まとめ

協力者

Jerzy Rub インテル IT部門情報セキュリティー・リスク管理マネージャー

Deanne Smith インテル IT部門 SaaSセキュリティー・プロジェクト・マネージャー

Tarun Viswanathan インテル IT部門エンタープライズ・セキュリティー・アーキテクト

略語

DLP データ損失防止

OTP ワンタイムパスワード

SaaS Software as a Ser vice

SBI セキュリティー・ビジネス・インテリジェンス

SCIM クロスドメイン ID管理システム

SMACI ソーシャル /モバイル /分析 / クラウド /モノのインターネット

¹ SaaSアプリケーションはプライベート・クラウドで運用されることもありますが、このホワイトペーパーでは、「SaaS」という言葉はパブリック・クラウド・ベースのSaaSを指すものとします。

² SaaSの使用が適さない場合もあります。例えば、最高レベルの機密文書の取り扱いなどは適しません。

2 of 12

www.intel.co.jp/itatintel

IT@Intel ホワイトペーパー： SaaSセキュリティーのベスト・プラクティス：クラウドのリスクを最小化

http://www.intel.co.jp/itatintel

http://www.intel.co.jp/

ソリューションインテル IT部門では、SaaSソリューションへの需要が高まっていること、そしてそのビジネス価値が向上していることを認識しています。しかし、SaaSソリューションは、メリットだけでなく、情報セキュリティーに関する課題ももたらします。これは、SaaSソリューションが、サードパーティーのインフラストラクチャー上で運用され、サードパーティーのアプリケーション・コードを実行するためです（いずれもインテル IT部門の制御対象外になります）。

インテル IT部門では、現在、250のSaaSユースケースを139,000人のユーザーに提供しています。こうしたユースケースによって培われた経験を基に、企業内でSaaSアプリケーションを使用することによるリスクを最小化するためのベスト・プラクティスを確立してきました。

まずは、SaaS導入の基本戦略を策定し、その戦略を反映したリファレンス・アーキテクチャーを構築しました。さらに、SaaSソリューションのセキュリティーを強化して、インテルの知的財産を保護するために、リスクを評価し、制御を実装する方法を決定しました。また、リファレンス・アーキテクチャーが常に業界最高レベルのSaaSセキュリティーを反映し続けられるようにするため、最新のテクノロジー開発についての継続的な情報収集にも取り組んでいます。こうしたベスト・プラクティスにより、各事業部門はセキュリティー・ポリシーやプライバシー保護、コンプライアンスの要件を満たしながら、迅速な導入を実現できるようになりました。

ベスト・プラクティス＃1： SaaSセキュリティー戦略を策定し、それを反映したリファレンス・アーキテクチャーを構築するクラウドベースのSaaSアプリケーションを企業内に問題なく安全に導入するため、まずは、SaaSに関するその後の活動の指針となるSaaSセキュリティー戦略を策定しました。インテルの戦略は以下の5つのステップで実行に移されます。

• ITセキュリティー・チームが、SaaSについての理解を深め、そのユースケースや機能を学ぶ。

• プロバイダー、テナント、社内それぞれのセキュリティー制御を特定した上で、残存するリスクを明確にし、事業部門の了承を得る。

• リスクに対する見積もり方法および緩和方法を理解する。「ベスト・プラクティス＃2：リスクと生産性のバランスを図る」を参照してください。

• SaaSセキュリティー制御の責任者を決定してから、制御を実装する。「ベスト・プラクティス＃3：SaaSセキュリティー制御を実装する」を参照してください。

• SaaSのライフサイクルの中でセキュリティー・レビューを行う。「ベスト・プラクティス＃4：テクノロジーの発展に合わせて進歩を続ける」を参照してください。

インテル IT部門では、SaaSソリューションに対する需要の高まりを認識しています。このため、表1に示すように、SaaSの実装に関する基準を設けました。この基準は、俊敏性、柔軟性、安全性、有用性の4つの特性に基づいています。

エンタープライズ・ビジネス・アプリケーションの提供モデルとしての SaaS導入において、リスクを最小化するための 4つのベスト・プラクティス1. SaaSセキュリティー戦略を策定し、それを反映したリファレンス・アーキテクチャーを構築する。

2. リスクと生産性のバランスを図る。

3. SaaSセキュリティー制御を実装する。

4. テクノロジーの発展に合わせて進歩を続ける。

表1. インテル IT部門のSaaS情報セキュリティー・サポート戦略が基準とする特性

特性詳細

俊敏性

• 複数のSaaSソリューションをサポートします。これにより、次のSaaSソリューションの導入にかかる労力を最小限に抑えます。

柔軟性

• 大規模なSaaS展開をサポートします。

• インテルの従業員と外部関係者を含むケース、管理対象のデバイスと管理対象外のデバイスを含むケースなど、さまざまなユースケースをサポートします。

安全性 • 制御とリスク受容のバランスを図ります。

有用性

• 重要な機能要件へのマイナスの影響を回避します。

• 場所やデバイスを問わず、簡単で統一された体験を提供します。

• 汎用的で、再利用しやすく、構成しやすいことを目指します。

3 of 12





インテルのSaaSセキュリティー・リファレンス・アーキテクチャー図1に示すように、SaaSセキュリティー・リファレンス・アーキテクチャーの構成要素は以下の分野に分類されます。

• アプリケーションとデータのセキュリティー：さまざまな技法とツールによって、会社のデータおよび従業員のデータの保護を支援します。

• IDとアクセス：ID管理、シングルサインオン、多要素認証など、さまざまな方法を使って、適切なユーザーが適切なSaaSアプリケーションにアクセスできるようにします。

• コンプライアンスとガバナンス：従業員を対象としたクラウドの安全性についての教育活動を含め、コンプライアンスの要件を満たすための対策を実施します。さらに、全社的なガバナンスの制御によって、SaaS展開がセキュリティー・ポリシーとプライバシー保護の要件を満たすようにします。また、SaaSクラウド・サービス・プロバイダーをセキュリティー保証の観点から評価して、プロバイダーが業界の標準に準拠できているかどうかを確認します。

• デバイスのセキュリティー：インテルでは、デバイス管理のためのセキュリティー・フレームワークを確立しています。このフレームワークにはデバイスの登録やセキュリティー制御などが含まれます。こうしたデバイス・セキュリティーの制御は、デバイスの特性やセキュリティーのコンプライアンス方針に基づき、「デバイスへの姿勢」と表現されることもあります。

• セキュリティー・ビジネス・インテリジェンス（SBI）プラットフォームとセキュリティー運用：このプラットフォームは、情報セキュリティー活動の基盤であり、ログ記録、監視、事故対応、高度な分析の実施を支えます。

アプリケーションのセキュリティー

データ管理

データ損失防止

鍵管理

ポリシーベースのトークン化

転送時の暗号化

保管時の暗号化

コンテンツの識別と区分

アプリケーションとデータのセキュリティー

安全なAPI

IDフェデレーション

Saasへのシングルサインオン

SaaS認証

ユーザー認証

SaaSアクセスのガバナンス

IDライフサイクル管理

IDとアクセスの管理

自動化フレームワーク

ユーザーの行動

電子情報開示

管理上の制御

コンプライアンスとガバナンス

デバイスへの姿勢

デバイスの登録

デバイスの制御と保護

デバイスのセキュリティー

セキュリティー・ビジネス・インテリジェンス（SBI）プラットフォームとセキュリティー運用

SaaSセキュリティー・リファレンス・アーキテクチャー

図1. SaaSセキュリティー・リファレンス・アーキテクチャーは、アプリケーションとデータのセキュリティー、IDとアクセスの管理、コンプライアンスとガバナンス、デバイスのセキュリティー、セキュリティー・ビジネス・インテリジェンス・プラットフォームとセキュリティー運用という各分野の要素で構成されます。

4 of 12





SaaSセキュリティー・リファレンス・アーキテクチャーの利点インテルのSaaSセキュリティー・リファレンス・アーキテクチャーでは、大規模企業であるインテルにとって必要なレベルのセキュリティー、プライバシー保護、コンプライアンスが実現されています。

• セキュリティー：いくつかの制御を実装することによって、SaaSを企業としてより安全に使用する方法を実現しました。インテルは、SaaSソリューションを迅速に導入すると同時に、未承認のSaaSソリューションの使用によるリスク、データ損失、不正アクセスを減らすことができるようになります（サイドバーの「シャドウ ITのリスク評価」を参照）。

• プライバシー保護：いくつかの制御により、従業員の個人識別情報を保護し、SaaSプロバイダーや攻撃者がそうした情報にアクセスする可能性を減らします。

• コンプライアンス：ガバナンス、リスク管理、コンプライアンスへの対策によって、インテルは法規制の要件を継続的に満たすことが可能になります。

リファレンス・アーキテクチャーの俊敏性を維持SaaSセキュリティー・リファレンス・アーキテクチャーを構築する時点で学んだ大きな教訓の1つは、SaaSテクノロジーは変化し続けているということでした。安全なSaaSセキュリティー・リファレンス・アーキテクチャーには、頻繁な調整が必要であり、最新のソリューションを継続的に送りだす市場も必要です。セキュリティー機能はサプライヤーによって異なり、各サプライヤーは、ファイルの暗号化、認証、ログ記録、修復のワークフローなどにそれぞれ異なる手法を採用している場合があります。重要なことは、俊敏な実装方法を用いて、必要に応じてアーキテクチャーに変更を加えられることです。

ベスト・プラクティス＃2：リスクと生産性のバランスを図るインテル IT部門では、インテルの知的財産および従業員の個人識別情報の保護に積極的に取り組んでいます。例えば、既知のマルウェア、フィッシング目的のサイトやソフトウェア、知的財産の損失などへの対策となる制御の導入を検討しています。一方で、サービスやデータ移動をむやみに禁止するようなことはしたくないとも考えています。従業員には、啓発活動を通じて、リスクが存在すること、そしてクラウド上でも安全な行動を心掛ければそうしたリスクを軽減できることを理解してもらい、一人ひとりが責任を持って行動することを奨励しています。つまり、ユーザーがリスクを理解した上で、その革新性や生産性を失わないようにすることが大切であると考えています。

リスクと生産性のバランスを図り、一定のリスクを許容するために、インテル IT部門では1つの手法を確立しました。リスクを定量化することは簡単ではありませんが、業界標準に基づき、特定のリスクシナリオの状況における「脅威」、「脆弱性」、「影響」の相関関係として情報セキュリティーのリスクを計算する方法を開発しました。リスクシナリオは、各事業分野の専門家と情報セキュリティーの専門家が協力して作成します。こうしたリスクシナリオを作ることによって、ある脅威をもたらすグループが脆弱性を悪用する可能性や、ビジネスに悪影響を及ぼす可能性を測定できるようになります。

シャドウITのリスク評価シャドウ ITとは、組織の一元化されたIT部門によるサポートを受けることなく企業内で使われているハードウェアまたはソフトウェアのことを意味します。SaaS分野のシャドウ ITには、従業員が職場で個人的に使用しているテクノロジーや、一部の事業部門の特殊なニーズを満たすために、社内の IT部門ではなくサードパーティーのサービス・プロバイダーがサポートするニッチなテクノロジーなどがあります。

「クラウドのスプロール」（無秩序な広がり）とも呼ばれるシャドウ ITは、非効率や重複を発生させ、ビジネスの意思決定が組織の正式なガバナンスプロセスの外で行われる状態を招きます。これが組織のコンプライアンスやガバナンスの体制に空白領域を生じさせ、知的財産やデータの漏えいを引き起こすこともあります。

インテル IT部門は、シャドウ ITとして使われているSaaSサービスを発見し、適切な対応を取ることに努めています。その優先度は、データを確認して環境を認識すること、データを制御下に置くこと、ガバナンスとコンプライアンスを徹底することにあります。そして、こうした目的を果たすために、シャドウ IT検出ツールを開発しました。このツールは、クラウドプロキシーとオフライン・リポジトリーのスキャンログを分析して、社内全体でクラウド・アプリケーションの使用を検出し、検出されたすべてのクラウド・アプリケーションについてリスク評価と使用状況の分析を行います。

シャドウIT SaaSの使用を減らすことは、サプライヤーを統合してコストを削減する可能性を生むとともに、インテルの知的財産をより強固に保護することにつながります。

5 of 12





リスクシナリオの一例としては、高レベルの脅威（活発な既知のマルウェアがネットワークに蔓延するなど）が、機密の個人情報を扱う、高レベルの脆弱性を持つアプリケーションおよびシステム（パッチが適用されていないトランスポート・レイヤー・セキュリティー（TLS）など）をターゲットとする状況が挙げられます。この種の情報は、非常に大きな影響をもたらす可能性があるため、このようなシナリオは、高リスクと評価されます。一方、脅威が脆弱性の悪用につながる可能性が低いシナリオ（パッチの事前適用や厳格なアクセス制御によって、攻撃にさらされる箇所が少なくなっているなど）は、リスクが低いと評価されます。3

リスクが高いと評価された脅威については、サービス全体を禁止としたり、リスクを軽減する制御を組み合わせることがあります。

ベスト・プラクティス＃3： SaaSセキュリティー制御を実装する企業環境でSaaSを安全にサポートするには、セキュリティー制御が必要です。これまでの経験から言って、ほとんどのSaaSセキュリティー制御は、図2に示すように、以下の3つのリスク領域のいずれかに関係しています。

• IDおよびアクセス管理の制御：いくつかの制御を併用することにより、SaaSアプリケーションが、適切なユーザーによって、適切なコンピューティング環境からのみアクセスされるようにします。

• アプリケーションとデータの制御：データの暗号化とトークン化はデータ保護に役立ちます。一方、データ損失防止（DLP）の技法は、機密情報がインテルから漏えいするのを防ぎます。一部のユースケースでは、暗号化とDLPを併用することで、比較的高レベルの保護が実現されます。アプリケーション制御は、アプリケーションの登録に加えて、自社でのサプライヤー評価または第三者機関による検証を通じて、コード監査と同様の効果の実現を目指します。SaaS APIをコード内で使用するインテル事業部門のアプリケーションもレビュー対象とします。

• ログ記録と監視の制御：インテルでは、情報セキュリティー違反（異常やイベントと呼ばれるもの）の発生を検出したなら、適切な ITスタッフに警告を送信し、適切な対応と是正措置が取られるようにする制御を確立しています。

図2. インテルでは、IDおよびアクセス管理、データ、ログ記録と監視という3つの分野のSaaSセキュリティー制御に重点を置きます。

³ インテルにおける情報セキュリティーとリスク評価の詳細については、ホワイトペーパー「Aligning Business and Information Security Risk Assessments」（英語）、「Prioritizing Information Security Risks with Threat Agent Risk Assessment」（英語）、「Understanding Cyberthreat Motivations to Improve Defense」（英語）を参照してください。

クライアント・デバイス IDおよびアクセス管理の制御

データとアプリケーションの制御

セキュリティー・ビジネス・インテリジェンス・プラットフォーム

ログ記録と監視

IDプロバイダー

USERPWD

クラウドサービス

クラウド検査

アクセスログ

データとアクセスのイベント

デバイスのトラフィックデバイスのトラフィック

デバイスのトラフィック

クラウドプロキシー

6 of 12





これ以降の3つのセクションでは、これらのSaaSセキュリティー制御の各分野について詳しく説明します。また、最終的に、ベスト・プラクティス＃3の制御機能を、リスク評価に合わせて適切に運用する方法についても説明します。

IDおよびアクセス管理の制御制御の最初のレベルは IDの管理です。ユーザーがより快適に操作できるようにするために、シングルサインオンを使用します。ユーザーがサインオンした後は、いくつかのサービス・プロバイダー・ツールを使用してアクセス制御と多要素認証制御を適用し、アクセスを管理します。これらの制御は、インテルの「最終出社日」と「最小限の権限」の制御に準拠することにより、信頼できるコンピューティング環境の維持に役立ちます。全体的な目標は、インテルの従業員とその協業パートナーが、簡単かつ安全にSaaSアプリケーションにアクセスできるようにすることです。

ID：ID管理はSaaSセキュリティー制御の最前線に位置します。インテルの従業員がSaaSアプリケーションにアクセスする場合、従業員は各自のデバイスでブラウザーのウィンドウを開き、社内の IDを使ってサインインします。インテルの従業員は単一の ID（ユーザー名とパスワードの組み合わせ）を持っており、この IDを使用するシングルサインオンで複数のアプリケーションにアクセスできます。シングルサインオンはセキュリティーの強化とユーザーにとっての操作性の向上につながります。シングルサインオンにより、従業員は複数のパスワードを管理する必要がなくなり、それらを覚えておくためにどこかに書き留めるといった行為が不要になります。

IDは IDプロバイダーによって管理されます。IDプロバイダーは、内部（インテル従業員向け）、外部（同じSaaSアプリケーションにアクセスするインテル従業員以外のユーザー向け）のどちらでもかまいません。インテルでは、IDアカウントをインテルのオンプレミスで管理し、それを外部の IDプロバイダーと同期するハイブリッド・モデルを開発しています。

インテル IT部門は、SaaSアプリケーションのユーザー・アカウント・ライフサイクルの管理を、社内ネットワーク上で運用している企業アプリケーションの管理と同じ方法で行っています。インテルは、SaaSアプリケーションのアカウントを作成、更新、無効化するための統合アカウント提供フレームワークを実装しています。また、SaaSアプリケーション・プロバイダーがアカウント提供の標準であるSCIM（クロスドメイン ID管理システム）をサポートしている場合は、常にこのSCIMを活用します。

アクセス制御と多要素認証：ID管理は重要ですが、SaaSのセキュリティーを強化するにはアクセス制御も必要です。アクセス制御は、登録と権限付与のワークフローを通じて管理します。役割ベースおよび属性ベースの申請と承認のプロセスを使って、SaaSアプリケーションへのアクセスを管理します。コンテキスト認識型のアクセス制御フレームワークであれば、ユーザーのグループ・メンバーシップ以外の要素も考慮してSaaSアプリケーションへのアクセス権を付与できます。

例えば、ネットワークの場所を使用することで、アクセス権をコントロールすることができます。ユーザーが企業内ネットワークに接続している場合に限ってアクセス権を付与できることが、状況によって極めて重要になるケースもあります。ユーザーがネットワーク外にいることが検出された場合は、多要素認証を要求することで、IDの確実性をより厳密に確保できます。認証にはSaaSアプリケーションに応じてさまざまなツールを使用します。また、使用されるデバイスによっても認証プロセスは変わります。

一部のSaaSアプリケーションでは、ノートブックPCを使用している従業員は統合Microsoft® Windows®認証を利用できますが、小型のデバイスを使用している従業員にはワンタイムのフォーム認証が求められます。オンラインのオフィス、ストレージ、コラボレーション環境の場合、ノートブックPCのユーザーはそのノートブックPCがイントラネットにアクセスできる場合のみ統合Windows®認証を利用できます。小型デバイスのユーザーは初回の認証にVPNを使用する必要があります。

7 of 12





対応

検出

現在のところ、多要素認証の併用は検討中です。多要素認証を効果的に導入するには、その使いやすさが重要であると考えています。このため、コンピューターに対するユーザーの好みと接続性のレベルを考慮して、さまざまな選択肢を検討しています（ただし、ハードウェア・トークンの使用は考えていません）。次のような選択肢があります。

• スマートフォンへのプッシュメッセージによるワンタイムパスワード（OTP）

• スマートフォンおよびデスクトップPCでのOTP生成

• ショート・メッセージ・サービス（SMS）を使ったOTP生成

• 音声コールバックによるユーザー検証

多要素認証フレームワークの調整は、機能の進化に合わせて、使いやすさとセキュリティー・ニーズの両立を図りながら継続的に行っていく予定です。

アプリケーションとデータの制御IDとアクセスの制御によって一定のセキュリティーは確保できますが、アプリケーション制御とデータ制御も必要です。アプリケーションのセキュリティー制御では、SaaS APIを使用するコードや、SaaSアプリケーションとエンタープライズの統合をサポートするコードが、ベスト・プラクティスに従って安全に開発されているかを検証できるようにします。

ユーザーのSaaSアプリケーションへのログイン後に使用するデータ保護の手法は、アプリケーションがどのように実装されているかによって異なりますが、いずれのケースにおいても、ポリシーを適用するクラウドプロキシーをデータ・トラフィックが通過するようにします。ポリシーは、特定の種類のデータを保護したり、未承認のデータを検出するために使用されます。

データの暗号化とトークン化：データ制御の一種として、データの暗号化とトークン化があります。データの暗号化は暗号化キーを使って行います。暗号化キーはインテルのオンプレミスに保管されます。構造化データ（データベース内の特定のフィールドなど）と非構造化データ（各種ファイル全体など）のいずれも暗号化できます。インテルの暗号化モデルはハイブリッド型で、一部の暗号化をオンプレミスで行い、そのほかの暗号化を外部で行います。暗号化キーは、指定の時間間隔でクラウドプロキシーにプッシュ送信されます。キーはプロキシー環境のメモリー内にのみ保存されます。キーは署名されており、適切なテナントによってのみ使用が可能です。

一部のフィールドやデータ要素にデータを常駐させるためにトークン化が必要となる場合、実際のデータの代わりに、トークン化したデータがSaaSアプリケーションに送信されます。トークン化を使用するには、暗号化されていないインデックスが作成されるので、オンプレミスのデータベースが必要になります。インテル IT部門は、将来的なユースケースの1つとしてトークン化の調査も進めています。

データ損失防止（DLP）：もう1つのデータ制御機能であるDLPは、特定の種類の情報を含むドキュメントの転送を回避したいときに役立ちます。DLPには検出と対応の2つの側面があります。検出は、「最高機密」のような特定のキーワードまたは文言（ポリシーによる）を見つけ出すことを意味します。禁止された単語または文言が検出された場合は、適切な対応が取られます。例えば、ユーザーに通知して、ドキュメントの暗号化、隔離、削除、共有解除などを行います。

多要素認証検証コードを携帯電話に送信することで、SaaSのセキュリティーを強化できます。

データ損失防止の 2つの側面

携帯電話で検証コードを

確認してください。CODE

あなたのコード：55555

8 of 12





以下の2種類のDLP制御を使用します。

• プロキシーベースのリアルタイム検出：インテルのネットワークからクラウドプロキシーを介してクラウドに情報が渡されるときに、検出と対応が行われます。

• オフライン・リポジトリー検査：このツールはSaaS APIを使用して、すでにクラウド内に存在しているデータにアクセスします。SaaSプロバイダーから提供されるAPIによって、誰がファイルを開いたか、ファイルの内容を変更したかなど、さまざまな処理を検出することができます。オフライン・スキャン・エンジンは、キーワード、個人識別情報（社会保障番号と生年月日など）、コンテンツタグ（プロジェクト名とデータ区分を特定するメタデータなど）を検索することもできます。

ユースケースに応じて、2種類のDLP制御のどちらか一方、または両方を使用できます。すべてのDLPイベントはSBIプラットフォームにログ記録されます（詳細は、「ログ記録と監視の制御」を参照してください）。どちらの種類の制御でも、キーワードが検出された場合は、SBIプラットフォームが警告を受け取り、SaaS管理チーム宛てにサービスチケットを発行します。その後、適切な対応が決定されます。例えば、必要な場合には、ユーザーに代わってファイルを削除、暗号化、隔離、共有解除できます。SaaSアプリケーションに不適切なコンテンツが送信された場合、DLP制御は、SBIプラットフォームに警告を送信すると同時に、ユーザーにも警告メッセージを送信します。例えば、図3のようなメッセージが送られます。

リスクレベルに合わせた制御の適用SaaSセキュリティー制御は、すべてのSaaSアプリケーションまたはすべてのユースケースを対象にすべての制御を適用するのではなく、セキュリティー評価とセキュリティー・レベルに基づいて適用します。図4はこの概念を示したものです。この図では、従業員はクライアント・デバイス（スマートフォン、タブレット、2 in 1デバイス、ノートブックPC）を使用して2つのSaaSアプリケーション（オンラインのオフィス /ストレージ /コラボレーション環境と、営業部門のCRMツール）にアクセスします。ユーザーのトラフィックは、クラウドプロキシーを使って、適切な制御で、適切なSaaSアプリケーションにルーティングされます。

図4. SaaSアプリケーションのリスクレベルはそれぞれ異なります。あるアプリケーションには、IDとアクセスの制御、およびオフラインのデータ損失防止制御を単純に使用します。別のアプリケーションには、IDとアクセスの制御に加えて、暗号化とデータ損失防止などのデータ制御を併用します。

図3. オフライン・スキャン・エンジンは、SaaSアプリケーションに不適切なデータが送信されたことを検出すると、ユーザーに警告を送信します。

From: DLP SaaS AlertsSent: Friday, August 7, 2015 21:38To: Subject: Immediate action required: Remove sensitive content

<system generated>

早急な対応が必要です：あなたの<SaaS アプリケーション・アカウント>から機密コンテンツを削除してください。インテルへの影響を防ぐため、ファイルを直ちに削除してください。

INFORMATION TECHNOLOGY

IdentityProvider

USERPWD

IdentityProvider

USERPWD

IDとアクセスの制御

オフラインのデータ損失防止検査

暗号化キーセキュリティー BIプラットフォーム

オンラインのオフィス /ストレージ /コラボレーション環境

クライアント

多要素認証とシングルサインオン

IDとアクセスの制御多要素認証と

シングルサインオン

データとアプリケーションの制御

暗号化とデータ損失防止

SaaSアプリケーション 1

営業部門の CRMツールSaaSアプリケーション 2

セキュリティー制御機能アプリケーションへのアクセス非武装地帯（DMZ）

クラウドプロキシー

9 of 12





例えば、オンラインのオフィス /ストレージ /コラボレーション環境の場合は、フロントエンドでは IDとアクセスの制御のみを使用し、バックエンドではオフラインDLP検査を使用します。一方、CRMツールの場合は、暗号化とリアルタイムDLP制御を追加で使用してデータを保護します。

ログ記録と監視の制御

SaaSセキュリティー制御の3つ目の領域はログ記録と監視です。情報セキュリティー違反のログ記録、監視、警告、対応、高度な分析の中心基盤としてSBIプラットフォームを活用して、情報セキュリティー環境を強化します。セキュリティーのログおよび警告はクラウドから収集され、このプラットフォームに蓄積されます。事故対応と是正措置の目的では、具体的な警告がインテルの ITセキュリティー情報 /イベント管理システムに即時に送信されます。また、セキュリティー・データは異常検出のために照合、監視されます。

以下のようなさまざまな異常について、検出の制御機能を使用してクラウドのトラフィックを監視します。

• ユーザーが、その個人の通常の使用量と異なる量のデータをアップロードまたはダウンロードした。

• ユーザーが、地理的に離れた2つの場所から、非現実的な時間差でログインした。

• ユーザーが、付与されたユーザー権限で許可されていないタスクを実行しようとした。

SBIプラットフォーム・ポータルからは、レポート機能、ワークフロー自動化、セキュリティー /イベント管理システムに簡単にアクセスできます。

ベスト・プラクティス＃4：テクノロジーの発展に合わせて進歩を続けるインテルでは、エンタープライズ・アプリケーションやデータがSaaSに移行しているだけでなく、SaaSのセキュリティー制御もまたSaaSモデルに移行しているということを学びました。現在、多くのセキュリティー・サービス・プロバイダーが、そのサービスをクラウドによってホスティングしています。このため、SaaSとして提供されるエンタープライズ・セキュリティー機能が大きく広がることが予想されます。こうした中、インテルでは、どのSaaSセキュリティー制御を内部での運用管理のまま残し、どの制御を外部での運用管理に移行するかを判断する必要があります。各プロバイダーの制御機能の成熟度に基づいて正しい判断を下すためには、SaaSプロバイダーを慎重に評価することが重要です。

また、そうした評価は、1回行えば十分というわけではありません。パブリック・クラウド、特にSaaSエコシステムは、常に変化と進化を続けているので、ユーザーはプロバイダーとその制御機能を継続的に評価する必要があります。インテルでは、このようなテクノロジーの発展は相当な長期にわたるものと考えています。このため、アクセス制御、データ保護、暗号化、デバイスへの姿勢を強化するために、SaaS業界のセキュリティー・ソリューションを短いサイクルで継続的にレビューしていく予定です。

SBIの機能

レポート

セキュリティー情報とイベントの管理

ワークフローの自動化

10 of 12





今後調査する分野インテル IT部門では、社内でのSaaSアプリケーションの利用をサポートするため、ベスト・プラクティスの確立とセキュリティー制御の実装を行ってきました。今後は、より拡大し、より複雑化している以下のリスク管理の課題についても調査する予定です。

• 統合（SaaSとSaaSの統合、SaaSとエンタープライズ・アプリケーションの統合の両方を含みます）。

• プライバシーに関する懸念（特に、SaaSシステムにおける個人情報の共有は、法的にも複雑な課題になっています）。

• 高レベルの機密データ（インテルの「極秘」または「部外秘」）と、それほど高レベルではない機密データ（インテルの「社外秘」または「公開」）のSaaSシステムでの混在。

• アプリケーションがどこでホストされているかにかかわらず実現される、セキュリティー制御とユーザー体験の一貫性。

SaaSエコシステムの成熟に合わせて、このような懸念のある領域に対応する制御や新たなベスト・プラクティスを開発していく予定です。

まとめエンタープライズ・アプリケーションのSaaS提供モデルは、社内のさまざまなユースケースに対して、効率性、スピード、俊敏性、コスト効率、コラボレーションなどの利点を提供します。インテルにおけるSaaSソリューションへの要望に応えるため、インテル IT部門ではクラウドのリスクを最小化する、以下のようなベスト・プラクティスを確立してきました。

• SaaSセキュリティー戦略を策定し、その戦略を反映したSaaSセキュリティー・リファレンス・アーキテクチャーを構築する。

• リスクと生産性のバランスを図る。

• SaaSセキュリティー制御を実装する。

• テクノロジーの発展に合わせて進歩を続ける。

インテルのSaaSセキュリティー制御によって、セキュリティー、プライバシー保護、コンプライアンスが強化されます。インテルの IT部門は、事業部門による新しいSaaSソリューションの迅速な導入を、安全性を確保しつつ実現します。

インテル IT部門のベスト・プラクティスの詳細については、 http://www.intel.co.jp/itatintel/ を参照してください。

お客様の具体的な案件に対し、専門家による公平かつ客観的なアドバイスをお求めの場合は、http://advisors.intel.com/（英語）をご利用ください。簡単なフォームにご記入いただければ、5営業日以内にインテルの経験豊富なエキスパートからご連絡いたします。

11 of 12



http://www.intel.co.jp/itatintel/

http://advisors.intel.com/



インテル® テクノロジーの機能と利点はシステム構成によって異なり、対応するハードウェアやソフトウェア、またはサービスの有効化が必要となる場合があります。実際の性能はシステム構成によって異なります。絶対的なセキュリティーを提供できるコンピューター・システムはありません。詳細については、各システムメーカーまたは販売店にお問い合わせいただくか、http://www.intel.co.jp/ を参照してください。

本書に記載されている情報は一般的なものであり、具体的なガイダンスではありません。推奨事項（潜在的なコスト削減など）はインテルの経験に基づいており、概算にすぎません。インテルは、他社でも同様の結果が得られることを一切保証いたしません。

本資料に掲載されている情報は、インテルの製品およびサービスの概要説明を目的としたものです。本資料は、明示されているか否かにかかわらず、また禁反言によるとよらずにかかわらず、いかなる知的財産権のライセンスも許諾するものではありません。製品に付属の売買契約書『Intel's Terms and Conditions of Sale』に規定されている場合を除き、インテルはいかなる責任を負うものではなく、またインテルの製品およびサービスの販売や使用に関する明示または黙示の保証（特定目的への適合性、商品適格性、あらゆる特許権、著作権、その他知的財産権の非侵害性への保証を含む）に関してもいかなる責任も負いません。

Intel、インテル、Intelロゴは、アメリカ合衆国および /またはその他の国における Intel Corporationの商標です。

Microsoft、およびWindowsは、米国Microsoft Corporationの、米国およびその他の国における登録商標または商標です。

* その他の社名、製品名などは、一般に各社の表示、商標または登録商標です。

インテル株式会社〒100-0005 東京都千代田区丸の内3-1-1 http://www.intel.co.jp/

©2016 Intel Corporation. 　無断での引用、転載を禁じます。 2016年3月

IT@Intel

IT@Intelは ITプロフェッショナル、マネージャー、エグゼクティブが、インテル IT部門のスタッフや数多くの業界 ITリーダーを通じ、今日の困難な IT課題に対して成果を発揮してきたツール、手法、戦略、ベスト・プラクティスについて詳しく知るための情報源です。詳細については、http://www.intel.co.jp/itatintel/ を参照してください。あるいはインテルまでお問い合わせください。

関連情報

関連トピックの情報については、http://www.intel.co.jp/itatintel/ を参照してください。

セキュリティー• ホワイトペーパー「Fast Threat

Detection with Big Data Security Business Intelligence」（英語）

• SlideShare「SaaS Security Playbook」（英語）

クラウド・コンピューティング• ホワイトペーパー「クラウド・コンピューティングのコスト：ハイブリッド・モデルによる削減」

• ホワイトペーパー「Developing a Highly Available, Dynamic Hybrid Cloud Environment」（英語）

• ホワイトペーパー「Enhancing Cloud Security Using Data Anonymization」（英語）

• ホワイトペーパー「ハイブリッド・クラウドへの移行の前段階におけるプライベート・クラウド/パブリック・クラウドの選択判断」

• ホワイトペーパー「Planning for eDiscovery in the Cloud」（英語）

333564-001JAJPN/1603/PDF/SE/IT/TC







Documents

SaaSセキュリティーのベスト・プラクティス： クラウドのリ …...要があります。データ暗号化、トークン化、データ損失防止などの手法を活用して、デー

SaaSセキュリティーのベスト・プラクティス：クラウドのリ …...要があります。データ暗号化、トークン化、データ損失防止などの手法を活用して、デー