Googleが提供するクラウドサービス群のGCPは、コストパフォーマンスと利便性の高さから大企業をはじめ多くの企業で利用されています。しかし重要なデータをインターネット上に保存することに対して抵抗を持つ方も少なくありません。そこで今回は気になるGCPの安全性や、自分でできるセキュリティ対策について紹介します。
GCPとは
Google Cloud Platform（GCP）とは、Googleが提供しているクラウドサービスをまとめた名称です。GCPを契約することで、PaaSとしてプラットフォームを提供するGoogle App Engineを軸に、機械学習のCloud Machine Learning、ストレージのCloud Storage、データ分析のBigQueryといった機能を従量課金制で利用できます。Twitterやテレビ東京、京セラ、浜松市などの、大企業や自治体でも利用されていることや、フリーミアムモデルで無料枠があり、テスト運用などの用途であれば費用をかけずに利用できることが特徴です。
GCPは、Amazonが提供しているクラウドサービスのAWS（Amazon Web Services）やMicrosoftが提供しているMicrosoft Azureなどと類似のサービスです。GCPのサイトには各サービスの比較表が掲載されており、他社サービスとの対比ができるようになっています。
Googleのセキュリティ基準「Googleのセキュリティのホワイトペーパー」とは
自社でサーバー環境を構築する必要がなく、必要な期間、必要な機能をすぐに利用できるクラウドサービスは非常に便利なサービスです。企業がデータを管理する手段として急速に広がっており、いまや当たり前の選択肢として多くの企業が利用しています。特にAIの活用が広がってからはクラウドサービスの利用がより活発になっています。機械学習環境を自社で一から構築しようとすると大きな負担になるため、Cloud Machine Learningのようなクラウドサービスの存在は欠かせません。
その一方で、クラウドサービスを利用するときに多くの方が不安を感じるのが、データの安全性です。自社で管理するオンプレミス環境であれば問題ありませんが、インターネットにある第三者のサーバーにデータを保存するクラウドサービスでは、データを安全に管理してくれるのか、災害時に復旧できるのか、広告などに利用されないかなど、セキュリティ面の対応が気になる方は多いでしょう。データ分析のために自社の販売データや顧客情報などの重要なデータを預けようとする企業であればなおさらです。
しかし、よほどの大企業でない限りは、少ない人手で管理運用するオンプレミスよりも万全の態勢で最新のセキュリティ対策をしてくれる大手クラウドサービスのほうが安全性において優れていると言えます。
さらに、Googleではユーザーが抱える不安を解消するために「Google security whitepaper（Google のセキュリティに関するホワイトペーパー）」を公開しています。これはGoogleが取り組んでいるセキュリティ対策として社内の運用・教育体制やセキュリティ技術、データ管理体制などについて説明しているものです。
例えば2019年末には神奈川県庁で廃棄したパソコンのハードディスクがネットオークションにかけられたことが問題になりました。納税証明書などの個人情報が含まれている可能性があり、悪用されると大きな被害につながります。このような問題が起きないように、Googleでは処分に対する厳格な規定を定めているほか機器を廃棄するときにはバーコードやデバイスが識別できるアセットタグを使用して追跡できるようにしています。
ほかにも非常にたくさんのセキュリティ対策を行っていることがこのホワイトペーパーからわかります。この文書を読むとGCPのセキュリティに信頼が持てるでしょう。
安心してGCPを使うために、私たちができることとは
安全にサービスを利用してもらうためにGoogleでは適切なセキュリティ対策を行っていますが、GCPを安心して使うためには利用者側である私たちも正しいセキュリティ対策を行う必要があります。ここではその対策について解説します。
Googleアカウントの2段階認証を設定する
最も基本的な対策がアカウントの管理です。Googleアカウントの情報が漏洩してしまうと不正利用やデータ盗難の恐れがあります。そのための対策として有効なのが2段階認証（2 要素認証）です。
これはセキュリティ強度を上げるために、通常のIDとパスワードの組み合わせのほかもう1つ認証手段を追加することです。Googleではもう1つの認証手段としてSNSなど別の要素で認証する2要素認証の仕組みを用意しています。2段階認証を設定することで、万が一IDやパスワードが盗まれてしまっても、それだけではログインできないので、安全性が高まります。
またGCPでは「Google 認証システム」を提供しています。このアプリを使うことでインターネットに接続できない環境でもセキュリティコードを受け取れるのでおすすめです。
さらにセキュリティを強化したい場合は、別途セキュリティキーを購入する方法があります。セキュリティキーとはカギまたはUSBメモリのような形状の小さなデバイスで、Googleストアで5000円程度で購入できます。公開鍵暗号方式を利用してユーザーのIDとログインURLを確認するため不正なログインを防げます。
すべてのソフトウェアを最新に保つ
GoogleではGCPを安全に利用できるよう、常に最新のソフトウェアパッチを提供しています。利用者側のソフトウェアが最新の状態になっていなければ、新しいウイルスや脆弱性に対応できない場合があります。そのため、ソフトウェアが最新の状態にアップデートされていることを確認しましょう。
別途でセキュリティサービスを使う
GCPは安全性が高いサービスですが、ビジネス用途で利用する場合はより強固なセキュリティ対策を行うことをおすすめします。自社ネットワークやテレワーク環境からクラウドサービスへログインする前に認証を行うような、専用のセキュリティ認証サービスの選択肢があります。
例えばクラウドセキュリティ市場で首位のSaaS認証基盤サービス「HENNGE ONE」は、ユーザーアカウント管理、パスワードポリシー設定、アクセス状況監視を1つの管理コンソール画面で提供するサービスです。IPアドレスの制限やデバイス証明書、セキュアブラウザなど認証された環境からのみログインできるようにする設定が可能なので、万が一IDとパスワードが漏洩したとしても不正ログインを防ぐことができます。
さらにXMLベースのユーザー認証規格であるSAML（Security Assertion Markup Language）2.0認証を利用して、ひとつのアカウントで複数のクラウドサービスにログイン可能な、シングルサインオンも可能になります。このようなサービスを導入することで、より安全にGCPなどのクラウドサービス を利用できるようになります。
まとめ
Googleが提供するGCPでは、安全に利用するためのセキュリティ対策がしっかり取られていますが、利用者側でもきちんと対策を行うとさらに効果的です。それに加えて別途認証基盤サービスなどを組み合わせて利用するとセキュリティが強化できるので、より安全性を高めたい場合にはこのような製品の導入を検討しましょう。
