クラウド利用のサイバーセキュリティ Microsoft 365とGoogle Workspace に違いはあるか？

あらゆるところで利用されるクラウドコンピューティング

企業の大小を問わず、クラウドコンピューティング（クラウド）を活用する割合が急増しています。企業にとってクラウド利用時の最重要リスクは、今日、明日起こるかもしれないサイバー攻撃です。被害は自社内で設計、運用するオンプレミスより拡大する可能性があります。

365とWorkspaceへのサイバー攻撃

大企業の情報システム管理職でも、真顔で「クラウドはサイバー攻撃を受けない」と話す人が現実に存在します。また「会社のPCはダメでも、会社貸与のスマートデバイス（iPhoneなど）は、利用可能だ」と話す人もいます。利用可能ではあることは確かですが、仕事で使っていいかは別問題です。

まずは、代表的な組織向けのクラウド型グループウェアであるMicrosoft 365とGoogle Workspaceを取り上げます。これらのクラウドシステムは、サイバー攻撃を受けることはないのでしょうか。

結論から言えば、完全に「No！」です。しかも最悪のシナリオでは、事業継続事故ともいえる状況にまで陥ります。365であっても、Workspaceであっても、クラウドシステムの管理者IDとPW、つまり管理者権限を剥奪されれば、以下のような被害が発生します。

①メールシステム被害による影響
「全社員と役員のメール情報の全てを掌握された結果」
・極秘情報や個人情報の漏えい
・メール内の情報を利用した脅迫
・社長や経営陣を装い、財務系幹部への振込を依頼する特殊詐欺
・メールの転送設定を利用した永続的な情報流出
・取引先や顧客とのメールの悪用による信頼失墜

②ドライブストレージ被害の影響
「全社のデータファイルへアクセスが可能になった結果」
・契約書や設計図、新製品企画書、取引先情報などの極秘情報や個人情報の漏えい
・データの暗号化や改ざん、削除
・社外共有リンクを作成し、痕跡を残さずデータを持ち出す
・取引先や顧客関連のデータ漏洩や悪用によるトラブルと信頼失墜

③全体の権限奪取による影響
「システムの運用や維持に関わるあらゆる権限を奪取された結果」
・攻撃者が新たな管理者を追加
・正当な管理者権限を削除
・監査ログの削除、多要素認証の無効化

ではどのようにして管理者のID/PWが盗まれるのでしょうか。

最大のケースは、やはりフィッシングメールです。巧みにMicrosoftやGoogleからの正規メールを装い、誘導画面にID/PWを入力させる手口です。

次に多いのは、パスワードの使い回しです。他のシステムから得たパスワードが利用され、365もしくはWorkspaceの管理権限の奪取に利用されることがあります。管理者が、プライベートのパスワードをそのまま流用しているケースもいまだに存在します。

大企業での多く利用されているというMicrosoft 365（gguy ／Adobe Stock）

365 vs. Workspace

ただここ数年、MicrosoftやGoogleのメールシステムを採用せざるを得ない状況が広まっています。それはユーザー企業による独自メールシステムでは、SPAM制御などのサイバーセキュリティの懸念が大きく、特にAIに対応できないことが主たる要因です。では、広く普及している365とWorkspaceでサイバーセキュリティ的な違いはあるのでしょうか。

以下に整理したように、共通するリスクは同じだと考えられます。

（* OAuth：「Googleでログイン」のような信頼できるサイトの認証情報を利用し、ID/パスワードの入力が必要ない認証プロトコル）

しかし情報システム部門の担当者からは、365のほうがリスクが大きく、Work spaceが小さいという声も聞こえてきます。その理由には以下が考えられます。

・付属アプリケーションのOutlookやTeams 、Exchangeが広く普及し、他の業務で中心的に利用されるため、アプリ経由の攻撃が発生する。また、クラウド内のデータを社外と活発に共有するためにリスクが高まる。
・過去の製品やバージョンに対応するための後方互換性の維持が、弱点の保持につながる。
・Windowsの付属ツールであるPower Shell は広範囲にシステムを操作できるため、権限を奪取されると複数のシステムやアカウントへ被害を拡大しやすい。
・全般的に管理者が操作できる範囲が広く、自由度が高いことは利用上のメリットだが、権限を奪取された場合のマイナス影響が大きい。

一方、Workspaceが安全だと考えられている主な理由は以下になります。

・初期状態から多要素認証の導入率が高い
・POPやIMAPのような旧来の認証方式の採用が少ない
・Gmailの迷惑メール対策が強力
・管理用のユーザインタフェースが、管理者権限の抑制を勧める作りになっている。

先に挙げた共通リスクがサイバー攻撃に関連する重大ポイントであり、上記のような比較をしても、ほとんど意味はありません。

中小企業で多く利用されているというGoogle Workspace （Rafael Henrique／Adobe Stock）

クラウドへのサイバー攻撃BCP

クラウドへのサイバー攻撃に対するBCPのポイントは、組織間に橋を架けることです。情報システム部門は相手の「攻撃」だけを見ている。BCP部門は「事業継続」だけを見ている。その組織間に橋を架けられないと、どこのクラウドを使っても同じ事故が起きます。

繰り返しになりますが管理者権限喪失は、いっさいのデータ類が失われるだけでなく、ユーザ管理、監査設定、外部連携などの権限が剥奪されることです。さらに影響は情報システム部門だけでなく、社内外の各方面に多大な影響を及ぼします。クラウドへのサイバー攻撃に対応するためのBCPポイントは、以下になります。

①BCP事故として管理者ID侵害を定義
明文化すべき最低条件：「管理者権限が不正に行使された疑いが生じた時点で
当社のBCPは“自動的に発動対象状態”に入る」

②BCP発動の基準を整理
最低限必要の要件は以下になります。
・判断主体（役職・部署）
・判断トリガー（技術条件）
・即時措置（権限凍結・遮断）

③管理者権限に関するBCPの構築
最低限の設計要件は以下になります。
・管理者の最小人数化
・日常利用アカウントと管理者アカウントとの分離
・強制 MFA（フィッシング耐性）
・非常用アクセス手段をBCP管理下で保管

④ログが「BCPで読める形」になっているか
多くの失敗例はログはあるのに読めるのは情報システム部門だけという状態で、BCP部門は理解できないことに起因します。BCPで必要なのは詳細ログではなく「事業判断に使える事実要約」。ログについては、生成AI活用で他の部門も理解が高まる可能性があります。

⑤“復旧”ではなく“説明”まで含めたBCP
管理者IDを利用された侵害時のBCPに、必ず含むべき項目
・社外説明の想定（顧客・取引先）
・情報漏えい評価の基準
・公表・非公表の判断フロー

クラウドのサイバーセキュリティBCPで重要なのは、情報システム部門単独の問題にせず、常に「自社のガバナンス」として制度設計することです。先ずは、Break Glassの設定からはじめましょう！