過剰な権限を検出–テナブル、クラウドやAI活用のリスクに対応する新機能

今回は「過剰な権限を検出–テナブル、クラウドやAI活用のリスクに対応する新機能」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 Tenable Network Security Japanは、クラウドセキュリティソリューション「Tenable Cloud Security」に「データセキュリティ態勢管理」(Data Security Posture Management:DSPM)と「AIセキュリティ態勢管理」(AI Security Posture Management:AI-SPM)を追加したことを発表した。

 Tenable Cloud Securityは、Cloud Native Application Protection Platform(CNAPP)と呼ばれるソリューションで、クラウドのセキュリティを包括的に保護することを目指すもの。CNAPPに含まれる主要機能の一つが、Cloud Security Posture Management(CSPM)で、本来はクラウドのセキュリティ設定などをチェックして不備がないかを確認する機能だったが、同社はこのコンセプトの対象を拡大し、データやAIといった新たな対象をカバーしている。

 概要を説明した米Tenableで製品担当のシニアバイスプレジデントを務めるJason Merrick(ジェイソン・メリック)氏は、同社のリサーチ部門が公表した「2024年 Tenableクラウドリスクレポート」について紹介した。

 同レポートは、2024年1~6月にTenableのテレメトリーで収集されたデータを分析したもの。ここでは「23%のクラウドアイデンティティーが深刻度『緊急』または『高』の過剰な権限を持っている」「78%の組織が外部公開されたKubernetes APIサーバーを所有している」「38%の組織が高リスクのワークロードを使用している」「84%の組織がリスクのあるアクセスキーを所有している」「74%の組織が外部公開されたストレージを所有している」といった結果が紹介され、多くの企業がセキュリティ上の課題を抱えたままクラウドの運用を続けていることを自覚していないという問題が指摘された。

 こうした課題に対して同社は、CNAPPをクラウド基盤全体の保護のために活用するという解決策を提示している。同氏は「なぜCNAPPをデータセキュリティに使うのか」という疑問に対する回答として「現行のソリューションではコンテキスト(関連性)が把握できない」と指摘。さらに「データセキュリティ用のソリューションはクラウドを想定して作られていない」「クラウドセキュリティ用のソリューションはデータを十分に考慮していない」という2つの事情から、同社がCNAPPをベースとしてさまざまなデータ保護を実現できるよう拡張に取り組んでいるとした。

 Merrick氏はデータのセキュリティを維持することの難しさを踏まえ、「データは水のようなもので、あらゆる場所に流れていってしまう」と語った。データセキュリティに関しては、「データはどこにあるのか/全てを見ることができるか」「データの区分けはどのような仕組みになっているのか/機密性は確保されているか」「データにアクセスできて使用できるのは誰か/リスク増大の要因になるのか」「リスクを削減するにはどう行動したらよいか/データは現在および将来的に安全か」という4つの懸念に対応する必要があるそうだ。

 今回新たに提供されるDSPMでは「データ検出」「データ区分」「データアクセスと使用状況」「リスク分析」「コンテキストと優先順位付け」といった機能を搭載する。データ資産を検出して機密データを特定し、データに対してアクセス権を持つユーザーを調べ上げ、そのアクセスパターンを踏まえて過剰な権限を与えられているユーザーが存在するかなどをチェックし、優先順位を付けて対策を提示するという。

 クラウドのセキュリティ設定とは異なり、データセキュリティには正解やベストプラクティスが明確になっているわけではなく、データの重要度や機密性についてもデータだけを見て確実に判断できるとも限らないため、ある程度のユーザーの関与は不可欠だろう。実態としては、ユーザーが全部手作業で適切なセキュリティ設定を実装するのに比べると大幅な省力化が可能、というところを狙った製品だと考えてよさそうだ。

 AI-SPMは、AIのための学習データにフォーカスした製品だ。AIの学習データに関しては、直接的なデータの漏えいに加え、不適切なデータを学習させてしまったことでAIを通じて機密データが漏えいするといった状況も考えられるため、こうした可能性まで考慮に入れた対策となる。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
Dockerのビルドが最大40倍高速になる「Docker Build Cloud」提供開始。Appleシリコン/AWS Graviton用のビルドにも対応
ARM
2024-01-25 15:29
ヴァージン・オービットが初の商業ペイロード輸送の打ち上げに成功
宇宙
2021-07-02 09:22
無料で読めるITまんが 2024年版
おもしろ
2024-08-08 09:09
企業が責任を持って活用できる生成AIで経営のAI Innovationを加速–グーグル・クラウド・平手氏
IT関連
2024-01-11 00:11
福井信用金庫、文字起こし支援アプリを導入–議事録作成時間を半減
IT関連
2021-04-07 03:51
ボストン・グローブ紙が記事内の実名や顔写真の削除を求める人々の要望を検討する委員会設置
パブリック / ダイバーシティ
2021-01-26 11:18
群衆カウント技術のセキュアが既存監視カメラで人数計測可能な混雑状況配信サービスをALSOKと共同開発
セキュリティ
2021-06-17 08:37
LINE上でGoogle Play ギフトコードの購入が可能に LINEポイントで支払い可
ネットトピック
2021-06-26 15:18
Googleが「Stadia」のオリジナルゲーム製作をあきらめた理由 :Googleさん(1/2 ページ)
イラスト・デザイン
2021-02-15 00:15
JA共済、セールスフォースの金融機関向けクラウドを導入
IT関連
2021-05-12 13:56
「AI学習機」と「自習室」に活路を見いだす中国のエデュテック企業
IT関連
2023-11-09 00:39
テスラやライバルのリビアらが団結しEVの直接販売法制定を目指す
モビリティ
2021-03-06 23:03
イベントのデジタル化で潜在需要発掘 ライブ配信企業最高執行責任者に聞くアフターコロナ
IT関連
2021-03-24 22:01
マイクロソフト、「Edge」の機能開発ロードマップをまとめたページを公開
IT関連
2021-02-01 00:42