クラウドのセキュリティは誰の責任？「責任共有モデル」をわかりやすく解説
「クラウドを使えば、セキュリティは事業者にお任せで安心」と思っていないでしょうか。実はこれは誤解です。クラウドのセキュリティは、事業者と利用者の双方が責任を分担する「責任共有モデル」という考え方に基づいており、利用者側にも果たすべき責任があります。この記事では、非エンジニアの方にも分かるように、この考え方を整理します。
クラウドの基礎については、別記事「中小企業にクラウド移行はなぜ必要か？」もあわせてご覧ください。
「責任共有モデル」とは何か
AWS公式サイトでは、セキュリティとコンプライアンスを「AWSとお客様の間で共有される責任」と説明しています。AWSは「クラウドのセキュリティ（Security of the Cloud）」、つまりデータセンターの物理的な設備やハードウェア、ネットワークといったインフラ部分の保護を担当します。一方でお客様（利用者）は「クラウド内のセキュリティ（Security in the Cloud）」、つまり利用するサービスに応じたセキュリティ設定や管理を担当する、という切り分けです。
Microsoft Azureもこれと同様の考え方を「クラウドでの共同責任」と呼んで採用しており、Google Cloudは「shared responsibility（責任共有）」に加えて「shared fate（運命共有）」という、事業者と利用者が継続的に協力してセキュリティを高めていくという発展的な考え方も示しています。呼び方に多少の違いはあっても、「クラウド事業者だけが全責任を負うわけではない」という基本的な考え方は3社とも共通しています。
利用形態によって責任の範囲が変わる
別記事で紹介したIaaS・PaaS・SaaSという分類に応じて、事業者と利用者の責任範囲は変化します。
- IaaS（AWSのEC2など）：事業者はハードウェアやネットワークなど基盤部分のみを担当し、OS・ミドルウェアのパッチ適用、アプリケーションの管理、データの保護、アクセス権限の設定まで、幅広い範囲を利用者側が担当します
- PaaS：OS以下の管理は事業者側が担うため利用者の負担は減りますが、アプリケーションとデータの管理は引き続き利用者側の責任です
- SaaS（freeeやKING OF TIMEなど）：事業者側の責任範囲が最も広く、利用者はアカウント管理や、入力するデータの取り扱いが責任の中心になります
どの形態を使う場合でも、「データそのもの」と「アカウント・ID」の管理は、どのクラウド事業者の説明を見ても一貫して利用者側の責任とされています。
実際に何が起きた？設定不備による大規模情報漏えい
責任共有モデルへの理解不足がもたらすリスクを示す事例として、2019年に発覚した米大手金融会社Capital Oneの情報漏えい事件があります。同社のAWS環境において、WAF（Webアプリケーションファイアウォール）の設定に不備があったことを突かれ、攻撃者はSSRF（サーバーサイドリクエストフォージェリ）という手法でIAMロールの一時認証情報を窃取しました。この結果、S3バケット700以上から約1億600万件もの個人情報が流出し、同社は制裁金・和解金として合計で日本円にして数百億円規模の負担を強いられました。
この事件で重要なのは、原因がAWS側のインフラの欠陥ではなく、利用者側（Capital One側）の設定不備にあったとされている点です。責任共有モデルの考え方に照らせば、これはまさに「利用者側の責任範囲」で発生した問題だったといえます。
中小企業が特に注意すべき「利用者側の責任」
中小企業がクラウドを利用する際、特に意識しておきたい利用者側の責任範囲は次のとおりです。
- アカウント・ID管理：不正ログインを防ぐため、パスワードの使い回しを避け、多要素認証を設定する
- アクセス権限の設定：本来非公開であるべきデータやファイルが、誤って外部に公開される設定になっていないか確認する
- データの取り扱い：機密情報や個人情報をどのように保存・暗号化するか、社内でルールを決めておく
- OS・ミドルウェアの更新（IaaSを利用する場合）：自社で管理するサーバー部分について、セキュリティ更新を定期的に適用する
アカウント・ID管理の具体的な方法については、別記事「多要素認証（MFA）とは？ITが苦手でもわかる仕組みと導入方法」で詳しく解説しています。
身近なSaaSでも起こりうる「設定ミス」
責任共有モデルは、AWSのような専門的なクラウド基盤に限った話ではありません。日常的に使うSaaSでも、同じ構造のリスクがあります。例えば、Googleスプレッドシートやオンラインストレージの共有設定を「リンクを知っている全員が閲覧可能」にしたまま、社外秘の情報を含むファイルを共有してしまうケースです。これはクラウド事業者側の欠陥ではなく、設定を行った利用者側の責任範囲に当たります。
「クラウドサービスだから安全なはず」という思い込みではなく、「自分たちが設定した内容に問題がないか」を定期的に見直す習慣が、規模の大小を問わず重要になります。
公的機関のガイダンス
IPA（情報処理推進機構）は2024年7月に「中小企業のためのクラウドサービス安全利用の手引き」を公開し、責任共有モデルの考え方を図解しながら注意喚起しています。総務省も「クラウドサービス提供における情報セキュリティ対策ガイドライン」を発行しており、事業者・利用者双方が取り組むべき対策を整理しています。クラウドの導入を検討する際は、こうした公的資料にも目を通しておくと安心です。
中小企業がまず確認すべき3つのポイント
- 自社が使っているサービスの形態を把握する：IaaS・PaaS・SaaSのどれに当たるかによって、自社が負うべき責任範囲が変わることを理解する
- 利用者側の責任範囲を明確にする：特にアカウント管理とアクセス権限の設定について、誰が責任を持つのかを社内で決めておく
- 基本的な対策を徹底する：多要素認証の設定、不要な公開設定の見直しなど、基本的だが効果の大きい対策から着手する
よくある質問
Q. 高額な料金を払えば、責任範囲をすべてクラウド事業者に任せられますか？
いいえ、料金プランを変えても「データとID」の管理責任が利用者側からなくなることはありません。ただし、事業者が提供する高度なセキュリティ機能（監視サービスなど）を追加で契約することで、リスクを下げることは可能です。
Q. SaaSを使っていれば、責任共有モデルはあまり気にしなくてよいですか？
SaaSは他の形態と比べて事業者側の責任範囲が広いのは事実ですが、アカウント管理やデータの取り扱いという利用者側の責任がなくなるわけではありません。SaaSであっても、パスワード管理や多要素認証といった基本的な対策は引き続き重要です。
Q. 責任共有モデルを理解していないと、どんなリスクがありますか？
「事業者が全部やってくれるはず」という思い込みから、本来自社で設定すべきアクセス権限やパスワード管理がおろそかになり、Capital Oneの事例のような設定不備による情報漏えいにつながるリスクがあります。
Q. 社内にIT担当者がいない場合、利用者側の責任はどう果たせばよいですか？
専門知識がなくても、まずは「共有設定を公開のままにしない」「パスワードを使い回さない」「多要素認証を設定する」といった基本的な対策から始めれば、大きなリスクの多くはカバーできます。より踏み込んだ設定が必要な場合は、契約しているクラウド事業者のサポート窓口や、IT導入支援事業者に相談することをおすすめします。
参考にした主な調査・資料
- AWS公式「責任共有モデル」
- Microsoft Azure公式「クラウドでの共同責任」
- Google Cloud公式「Shared Fate」
- IPA「中小企業のためのクラウドサービス安全利用の手引き」
- 総務省「クラウドサービス提供における情報セキュリティ対策ガイドライン」
まとめ
クラウドサービスのセキュリティは、事業者と利用者が責任を分担する「責任共有モデル」という考え方の上に成り立っています。特にアカウント管理やアクセス権限の設定といった利用者側の責任を正しく理解し、基本的な対策を徹底することが、クラウドを安全に活用するための第一歩です。
