ゼロトラスト時代の必須知識！支援士試験のSaaS, EDR, コンテナセキュリティ

これまでの記事で解説してきたネットワーク境界を守る考え方は、今なお重要です。しかし、SaaSの利用拡大、テレワークの常態化、IoT機器の普及により、守るべき「境界」そのものが曖昧になりつつあります。もはや、社内だから安全、社外だから危険、という単純なモデルは通用しません。

このような現代のIT環境を理解する上で欠かせないのが、SaaS、EDR、VDI、コンテナ、IoTといった「先進技術」の知識です。情報処理安全確保支援士試験においても、これらの新しい技術領域におけるセキュリティのリスクと対策を問う問題が増加しています。

本記事では、この連載の締めくくりとして、ゼロトラスト時代に必須となる先進技術のセキュリティに焦点を当てます。クラウドサービスの「責任共有モデル」から、エンドポイントの振る舞いを監視する「EDR」、そして「コンテナ」「IoT」といった新しい技術領域特有の課題まで、その要点を解説します。

この記事を通じて、従来の境界防御モデルを超えた、多角的で新しいセキュリティの考え方を身につけていきましょう。

クラウド利用の基本原則│SaaSにおける責任共有モデルとCASBの役割

SaaS（Software as a Service）の利用は、もはやビジネスに不可欠です。しかし、自社で管理しないクラウドサービスを利用する際には、セキュリティの責任範囲を明確に理解しておく必要があります。その基本となる考え方が責任共有モデルです。

責任共有モデルとは？

責任共有モデルとは、クラウドサービスのセキュリティを、クラウド事業者と利用者（企業）が分担して担うという考え方です。サービス形態（SaaS/PaaS/IaaS）によって分担範囲は異なりますが、SaaSにおいては以下のように分かれます。

• クラウド事業者の責任: サービスを構成するインフラ（データセンタ、サーバ、アプリケーション）のセキュリティ対策。
• 利用者の責任: サービスに保管するデータそのもの、ユーザアカウントの管理、アクセス権などの設定。

身近な例え 🏢
これは、セキュリティ完備の高級マンションを借りることに似ています。

• 事業者（大家）の責任: 建物の頑丈なドア、監視カメラ、警備員といった「建物全体のセキュリティ」。
• 利用者（あなた）の責任: あなた自身の「部屋の鍵の管理」や、「誰を部屋に招き入れるか」、「部屋の中に何を置くか」。

もしあなたが部屋の鍵をかけ忘れて泥棒に入られても、それは大家の責任ではありません。同様に、SaaSの設定ミスで情報漏洩が起きても、それは利用者の責任となります。

クラウド利用を統制する「CASB」

従業員が会社の許可なく様々なSaaSを利用する「シャドーIT」は、セキュリティ上の大きなリスクです。企業が利用する多数のクラウドサービスを横断的に監視し、一貫したポリシーを適用するためのソリューションがCASB（Cloud Access Security Broker）です。

CASBは、利用者とクラウドサービスの間に位置し、主に以下の4つの機能を提供します。

午後試験では、「SaaSの設定不備による情報漏洩」は頻出のシナリオです。その責任が利用者側にあること、そしてCASBのようなソリューションで組織的な統制を図る必要があることを理解しておきましょう。

進化したエンドポイント対策│アンチウイルス(EPP)とEDRの違い

PCやサーバといった「エンドポイント」は、攻撃者にとって組織内部への侵入口です。従来のエンドポイント対策はアンチウイルスソフトが主流でしたが、攻撃の高度化に伴い、それだけでは不十分になってきました。そこで登場したのがEDR（Endpoint Detection and Response）です。

従来型対策：EPP（アンチウイルス）

従来型のアンチウイルスソフトは、現在EPP（Endpoint Protection Platform）と呼ばれます。EPPの主な役割は、マルウェアがPC上で実行される前に検知・ブロックする「予防（Prevention）」です。

• 検知方法: 主に、既知のマルウェアの特徴を記録した定義ファイル（シグネチャ）とのパターンマッチング。
• 弱点: シグネチャにない未知のマルウェアや、ファイルレスマルウェア（ファイルとして実体を持たない攻撃）には対応が困難。

身近な例え 🛂
EPPは、空港の「指名手配犯リストを持った警備員」です。リストにある顔（シグネチャ）の人物は水際で捕まえられますが、リストにない新人や、巧みに変装した犯人（未知のマルウェア）はすり抜けてしまいます。

新世代対策：EDR

EDRは、「侵入は防ぎきれない」という前提に立ち、侵入された後の不審な挙動を検知し、迅速な対応を支援する「検知（Detection）」と「対応（Response）」に特化したソリューションです。

• 検知方法: エンドポイント上の全プロセスや通信を常時監視し、その挙動（振る舞い）から悪意のある活動を分析・検知する。
• 対応支援: 侵入経路や被害範囲の特定、遠隔からの端末隔離といった機能で、インシデント対応を支援する。

身近な例え 🎥
EDRは、空港内の「無数の監視カメラと、それを見る監視チーム」です。指名手配犯リストになくても、「乗客でもないのに、ずっと制限エリアのドアを調べている」といった怪しい振る舞いを検知します。そして、異常を発見したら、即座にドアをロックし（対応）、録画映像（ログ）を分析して何が起きたかを調査します。

午後試験では、EPPをすり抜けたマルウェアがEDRによって検知される、というシナリオが頻出します。EPPとEDRは対立するものではなく、両者を組み合わせることでエンドポイントの防御を多層的に強化する、という関係性を理解しておくことが重要です。

デスクトップ仮想化(VDI)のセキュリティメリットとリスク

テレワークの普及に伴い、エンドポイントの管理はますます複雑化しています。この課題に対する一つの解がVDI（Virtual Desktop Infrastructure：デスクトップ仮想化）です。VDIは、サーバ上に仮想的なデスクトップ環境を集約し、利用者は手元の端末からネットワーク経由でそのデスクトップを呼び出して利用する仕組みです。

VDIの最大のセキュリティメリット：データレス化

VDIを導入する最大のセキュリティメリットは、エンドポイント端末にデータを一切残さない「データレス化」を実現できる点です。

身近な例え 🎮
これは、ゲーム機本体にソフトを保存するのではなく、クラウドゲーミングサービスを利用するのに似ています。

• 従来PC: ゲーム機本体（PC）に、ゲームソフト（業務アプリ）とセーブデータ（業務データ）が保存されている。もしゲーム機を紛失すれば、セーブデータも失われる。
• VDI: ゲームの処理やセーブデータは全てクラウド上のサーバで行われる。あなたは手元のコントローラと画面（シンクライアント端末）で操作するだけ。コントローラを無くしても、セーブデータは安全で、別のコントローラで続きからプレイできる。

この仕組みにより、社員がPCを紛失・盗難されたとしても、端末内にはデータが一切ないため、情報漏洩のリスクを劇的に低減できます。また、USBメモリの使用禁止や、データのコピー＆ペーストを禁止するといった制御も、サーバ側で一元的に行えます。

VDIのセキュリティリスク

一方で、VDIには特有のリスクも存在します。

支援士試験では、テレワーク環境のセキュリティ対策としてVDIが提示されることがあります。その際は、情報漏洩対策という大きなメリットと、サーバ基盤の脆弱性というリスクの両面を理解しておくことが重要です。

軽量な仮想化技術「コンテナ」の利便性とセキュリティ上の注意点

VDIがOS全体を仮想化するのに対し、コンテナはOSの中のアプリケーション実行環境だけを分離・仮想化する技術です。OSを丸ごと起動する必要がないため、非常に軽量で高速に動作するのが特徴で、近年のアプリケーション開発で広く利用されています。

コンテナと仮想マシン（VM）の違い

• 仮想マシン（VM）: ハイパーバイザの上で、OS（ゲストOS）ごと仮想化する。
• コンテナ: OSカーネルはホストOSと共有し、アプリケーションとライブラリだけを隔離する。

身近な例え 🏡🏢
この違いは、一戸建てとマンションに似ています。

• 仮想マシン: それぞれが独立した基礎や水道・電気を持つ「一戸建て」。隔離性は高いが、建てるのにコストと時間がかかる。
• コンテナ: 基礎やインフラを共有する「マンションの各部屋」。効率的で素早く作れるが、基礎部分（ホストOSカーネル）に問題が起きると、全戸に影響が及ぶ可能性がある。

コンテナのセキュリティリスク

コンテナはその軽量さと引き換えに、VMとは異なるセキュリティ上の注意点があります。

仕事での利用例 🏢
アプリケーション開発の現場（DevOps）では、コンテナイメージをCI/CDパイプラインに組み込む前に、必ず脆弱性スキャナにかけるのが常識です。また、コンテナの実行環境では、コンテナ間の通信を厳しく制限したり、不正な挙動を監視するセキュリティツールを導入したりします。

支援士試験では、コンテナの基本的な仕組みと、OSカーネルを共有することから生じる「コンテナブレイクアウト」のリスクを理解しているかが問われます。

「モノのインターネット」IoT機器に潜む特有の脆弱性と対策

IoT（Internet of Things）とは、従来インターネットに接続されていなかった様々な「モノ」（家電、自動車、工場の機械など）が、センサや通信機能を持ってネットワークに繋がることです。私たちの生活を便利にする一方で、IoT機器はPCやサーバとは異なる、特有のセキュリティリスクを抱えています。

IoT機器のセキュリティリスク

安価なIoT機器の多くは、十分なセキュリティを考慮せずに設計・製造されているケースが少なくありません。

身近な例え 📸
ネットワークカメラやスマート家電を思い出してください。これらの機器は、常にインターネットに接続されていますが、PCのように頻繁にセキュリティソフトを更新したり、OSのパッチを当てたりすることは稀です。そのため、一度脆弱性が発見されると、長期間放置され、攻撃者の格好の標的となります。

IoT機器への対策

IoT機器を安全に利用するためには、利用者、製造者、ネットワーク管理者のそれぞれが対策を講じる必要があります。

• 利用者: 初期パスワードを必ず変更する。不要な機能は無効化する。
• 製造者: セキュリティを考慮した設計（セキュアバイデザイン）を行う。アップデート機能を提供する。
• 管理者: IoT機器を、社内LANなど重要なネットワークからは物理的・論理的に分離（セグメンテーション）する。

午後試験では、工場の生産管理システムやスマートビルといったシナリオでIoTセキュリティが問われます。特に、重要なシステムを守るためのネットワークセグメンテーションは、非常に重要な対策として覚えておきましょう。

まとめ：ゼロトラストを前提とした多角的な防御アプローチ

最終回となる本記事では、SaaS、EDR、VDI、コンテナ、IoTといった、現代のIT環境を構成する先進技術のセキュリティについて解説してきました。

これらの技術に共通するのは、従来の「境界防御モデル」の限界を示している点です。社内ネットワークの内側は安全、外側は危険という単純な二元論は、クラウドやテレワークが普及した現代ではもはや成り立ちません。

新たな設計思想「ゼロトラスト」

そこで重要になるのが、「ゼロトラスト」というセキュリティの考え方です。
ゼロトラストとは、その名の通り「何も信頼しない（Zero Trust）」を前提とし、社内外の全ての通信を検証することで、情報資産へのアクセスを安全に保つというアプローチです。

身近な例え ✈️
これは、国際空港のセキュリティチェックに似ています。

• 境界防御モデル: 空港の敷地に入るための、入口での一度きりの身分証チェック。一度入れば、中の施設は比較的自由に行き来できる。
• ゼロトラストモデル: 空港の入口だけでなく、搭乗ゲート、免税店、ラウンジに入るたびに、毎回パスポートと搭乗券の提示を求められる。どこにいても、常に「あなたは誰ですか？」「ここに入る権限はありますか？」と検証され続ける。

先進技術とゼロトラスト

本記事で解説した技術は、まさにゼロトラストの実現に不可欠な要素です。

情報処理安全確保支援士試験の午後問題では、単一の技術だけでなく、これらの先進技術を組み合わせた、ゼロトラストの概念に基づくシステム構成の妥当性が問われるケースが増えています。

全6回の連載を通じて、ネットワークからアプリケーション、そしてクラウドやエンドポイントに至るまで、多層的・多角的な視点でセキュリティを捉える能力を養い、試験の突破を目指してください。