Wasabiの責任共有モデル：クラウドにおけるデータの保護

クラウド上のデータのセキュリティ確保において、責任は共有されなければなりません。Wasabiでは安全で信頼性の高いクラウドストレージプラットフォームを提供していますが、お客様も、そこに保存するデータを保護するうえで重要な役割を担っています。当社の責任共有モデルは、その境界を明確にしています。 すなわち、Wasabiが保護する範囲と、お客様ご自身の環境において設定・管理していただく必要がある範囲を明確に示しています。

この明確さがあるからこそ、チームは社内で責任の所在を明確にし、監査に耐えうる管理措置を設計し、問題が起きた際に迅速に対応することができます。どの層が自身の責任範囲であるかを正確に把握していれば、実際のリスクを低減するための設定や運用に、時間と注意を集中させられます。

なぜ責任共有モデルが存在するのか

従来のデータセンターでは、通常、1つの組織が物理設備、サーバー、ネットワーク、ストレージシステム、そしてそれらに付随するすべてのセキュリティ管理措置を、エンドツーエンドで所有・管理していました。クラウドはそのモデルを変えます。クラウドストレージプロバイダーがインフラとプラットフォームを運用し、お客様は、そのサービス内でデータへのアクセス、ガバナンス、保護の方法を管理します。

この役割分担こそが、責任共有モデルが重要である理由です。誰が何を管理するのかという曖昧さが解消されます。Wasabiはクラウドインフラ層のセキュリティ確保に集中でき、お客様は自社環境におけるアクセス、ポリシー、データの振る舞いのセキュリティ確保に集中できます。さらに、仮定ではなく明確なモデルに基づいて管理措置と責任の所在を割り当てることができるため、コンプライアンス対応やインシデント対応の負担も軽くなります。

モデルの全体像

大まかに言えば、責任共有はシンプルです。

Wasabiはクラウド自体を守る。お客様はクラウドに格納するデータを守る。

この2つの側面を、もう少し詳しく見ていきましょう。

• クラウド「内」のセキュリティ：データの保護および管理方法を決定する、ID、アクセス、データポリシー、不変性（イミュータビリティ）、運用実務といった、お客様が管理する統制

• クラウド「自体」のセキュリティ：サービスを稼働させる基盤となるプラットフォーム、インフラ、設備、および運用

技術部門のリーダーにとって、これが

責任範囲のマップとなります。あとは、それを実際に適用・監査可能な管理措置へと落とし込んでいくだけです。

Figure 1: Wasabi Shared Responsibility Model

お客様が管理する範囲：クラウド「内」のセキュリティ

Wasabiのお客様は、プラットフォーム内で自社データがどのように保護され、アクセスされ、管理されるかを自ら決定します。こうした責任は、実務上おおむね3つの領域に集約されます。IDとアクセス、データ保護の振る舞い、そして暗号化と運用衛生（オペレーショナル・ハイジーン）です。

1）アクセス制御とID：IAM、MFA、SSO、MUA

クラウドストレージのリスクの多くは、アクセスから始まります。これはプラットフォームが安全でないという意味ではありません。通常、最大のリスク要因は、権限の範囲設定の誤り、認証情報の漏えい、あるいは過度に広範な管理者アクセス権にあるということです。

IAM（Identity and Access Management：IDとアクセスの管理）とは、自社のストレージ環境に誰がアクセスでき、どのような操作が許可されるかを決定する一連の制御措置のことです。実際には、IAMを通じて「最小権限の原則」を適用します。つまり、役割やワークロードに必要な権限のみを付与するということです。

お客様が担うIAM上の責任には、次のようなものがあります。

• アクセスを決定するユーザー、ロール、ポリシーを定義すること

• 広範な認証情報に依存するのではなく、IAMポリシーによってきめ細かく制御すること

• 最小権限の原則を一貫して適用すること

• 日常業務でrootの認証情報を使わず、代わりにIAMロールを利用すること

認可（権限付与）に加えて、認証の強度もお客様が管理します。

• MFA（多要素認証）は、パスワードに加えてもう一段階の確認を追加します。認証情報の窃取による影響を軽減する最もシンプルな方法の1つです。

• SSO（シングルサインオン）は、社内のIDプロバイダーが認証とアクセスのライフサイクルを管理できるようにするものです。これにより、入退社に伴う処理やポリシーの適用を、標準の業務プロセスに沿って行えます。

最後に、通常のログイン制御を超えた追加の保護が望ましい操作もあります。

• MUA（マルチユーザー認証）は、機微な操作（たとえばオブジェクトロック設定の変更）に対して複数人の承認を必要とします。1つのアカウントが侵害されただけで、最も重要な保護を無効化できてしまうべきではありません。

このID層は、その他すべての門番だと考えてください。IAMを正しく設計できれば、ストレージセキュリティ体制の残りの部分の適用と監査も格段にしやすくなります。

2）データ保護の振る舞い：保持、不変性、バージョニング、ライフサイクル管理

次の層は、データが時間の経過とともにどう振る舞うかです。何を保持するのか、何を削除できるのか、復旧はどのように行われるのか、そして改ざんに対してどのような保護措置があるのか。

ガバナンスのレベルでは、お客様が次の事項を担います。

• データ分類（これはどのような種類のデータで、どの程度機微なのか）

• 保持スケジュール（どのくらいの期間保持するか、その理由は何か）

• 社内ポリシーおよび規制に沿った、安全なデータ削除の実務

これらは単なる事務作業ではありません。ストレージ環境で実際に適用する設定を形づくるものであり、監査やインシデント対応においても重要な役割を果たします。

オブジェクトロックと不変性（WORM）

ランサムウェア対策やコンプライアンス上のデータ保持において、不変性（イミュータビリティ）はしばしば最も価値の高い制御手段となります。Wasabiのオブジェクトロック（Object Lock）は、改ざんに強い形でデータを保存し、定められた期間、不正な削除や変更を防ぎます。

これは一般に、WORM（Write Once, Read Many：一度だけ書き込み、何度でも読み取り）保護と呼ばれます。オブジェクトがいったん書き込まれてロックされると、必要に応じて読み取ることはできますが、保持期間が満了するまで変更も削除もできません。

オブジェクトロックが重要なのは、これが一般的な失敗モードに対する実用的な解決策だからです。具体的には、 攻撃者（あるいは事故）によるバックアップの削除、復旧ポイントの消去、データを保護するルールの改変 といった事態への対策となります。また、一定期間データを損なわずに保持しなければならないコンプライアンス対応やリーガルホールドのシナリオにも対応しています。

責任共有モデルにおいて、Wasabiはオブジェクトロックの機能を提供します。お客様が決めるのは次の点です。

• どこでオブジェクトロックを有効にするか

• どのデータセットに不変性が必要か

• 保持期間をどのくらいにするか

• それらの設定を誰が変更できるか（およびMUAを必須とするか）

Covert Copy（ランサムウェアからの復旧）

Wasabiの革新的な新しいセキュリティ機能であるCovert Copy（コバート コピー）は、ランサムウェアからの復旧をさらに一歩進めます。重要データの隔離された復旧用コピーを作成することで、認証情報が侵害された場合でも、データは攻撃者の手の届かない場所に保たれます。

Covert Copyには次の要素が含まれます。

• ランサムウェアのシナリオを想定して設計された、論理的にエアギャップされた復旧用コピー

• 通常のバケット一覧取得の操作では見えない、隠しバケット

• アクセスおよび復旧操作に対して必須となるマルチユーザー認証（MUA）

• 保持期限のない、恒久的な不変性

• 攻撃者がアクセス用の認証情報を入手した場合でも、上書き・削除・改ざんからデータを保護

言い換えれば、Wasabiのオブジェクトロックはデータそのものの改ざんを防止するのに役立ちますが、Covert Copyは、主データが暗号化されたり、破損したり、その他の理由で利用できなくなった場合でも、クリーンな復旧経路を確保することを目的としています。

バケットポリシー、バージョニング、ライフサイクル管理

バケットは、オブジェクトストレージ内でデータを整理する「入れ物」であり、ここでセキュリティ上の意図が強制力のある振る舞いとして実現されます。お客様が設定するのは次の項目です。

• アクセスのパターンや制限を定義するバケットポリシー

• 以前のオブジェクトバージョンを保持することで、上書きや削除からの保護に役立つバージョニングのルール

• 時間の経過に伴う保持とクリーンアップを自動化する、ライフサイクル管理のルール

これらの制御機能は連携して機能します。

たとえば、バージョニングとライフサイクルのポリシーは復旧とガバナンスをサポートし、オブジェクトロックはデータが改ざん耐性を必要とする場合に不変性を強制します。すべての機能をどこでも有効にする必要はありませんが、どのワークロードをどの制御機能で保護し、その理由は何かという点を慎重に検討したアプローチが求められます。

3) 暗号化の選択と運用衛生：鍵、エンドポイント、データ転送

Wasabiは、保存データ（データ・アット・レスト）を既定で暗号化します。お客様側では、社内ポリシーが顧客管理の鍵やアップロード前の事前暗号化が求められる場合、追加の暗号化方式を選択できます。

• クライアントサイド暗号化（任意）：お客様自身の鍵を用いて、アップロード前にデータを暗号化します

• SSE-C（顧客提供キーによるサーバーサイド暗号化）：暗号化はWasabi側のサーバーで行われますが、暗号鍵はお客様が提供し、その所有権もお客様が保持します

暗号化の戦略において重要なのは、「暗号化を強化する」ことよりも、むしろ整合性を図ることです。すなわち、鍵の所有に関する要件、運用上の実現可能性、そして監査・コンプライアンス体制の要件に合致しているかどうかが重要です。

また、ストレージへのアクセスに関する運用およびネットワーク層も、お客様の責任範囲です。

• 安全なデータ転送を確保すること（たとえばHTTPSの利用）

• アプリケーションや連携で使用するAPIキーとエンドポイントを保護すること

• 広範な環境におけるファイアウォールやVPNの設定を管理すること

現実の事故は、まさにこうしたところで起こります。鍵が置いてはいけない場所に保存されている、エンドポイントの許可が緩すぎる、通常のID管理基準を迂回する連携がある、といったものです。良好な運用衛生は、小さなミスが重大なインシデントに発展するリスクを低減します。

Wasabiが管理する範囲：クラウド「自体」のセキュリティ 

お客様が自社内のセキュリティを確保する

一方で、Wasabiはサービスの基盤 ― インフラ、ハードウェア、データセンター ― のセキュリティを確保します。これは、お客様自身が構築・運用したり、物理的に保護したりする必要のない層です。

保存データの暗号化（基本機能）

すべてのデータは、AES-256により保存時に自動で暗号化されます。お客様は、保存時の暗号化の基準を満たすためだけに、暗号化基盤を構築したり管理したりする必要はありません。

ストレージ層におけるデータ耐久性とレジリエンス

Wasabiは、冗長化、完全性の検証、自動修復の仕組みによって高い耐久性を実現するよう設計されています。実務的にいえば、これはハードウェア障害からデータを守り、安定したストレージの信頼性を支える、プラットフォームレベルのエンジニアリングです。

プラットフォームの中核インフラ

Wasabiは、サービスを支える基盤システムを保護・維持しています。これには次のものが含まれます。

• プラットフォームの稼働に用いるコンピュートリソース

• オブジェクトストレージのシステム

• メタデータおよびコントロールプレーンのデータベース（ストレージの操作と管理機能を統括するシステム）

• ネットワークファブリック（プラットフォームの各構成要素をつなぐ内部ネットワーク）

これは、お客様が依存しているものの、直接管理することのない運用層です。

データセンター、ハードウェア、物理セキュリティ、コンプライアンスへの適合

Wasabiは、冗長化された電源・空調や継続的な監視を備え、レジリエンスと可用性を重視して設計された安全なデータセンターを運用しています。また、Wasabiは、一貫性と運用制御を支えるハードウェアスタック（サーバー、ストレージ機器、ネットワーク機器）を所有・保守しています。

ガバナンスの観点では、Wasabiは主要なフレームワーク（たとえばISO 27001、HIPAA、GDPR／英国GDPR、SECの要件）に対するコンプライアンスへの適合と監査対応を維持しています。その目的は、プラットフォームの基盤に対してお客様に信頼感を持っていただけると同時に、お客様側の設定やデータガバナンスを、お客様ご自身で管理できるようにすることです。

運用上のベストプラクティス

責任共有モデルは、再現可能な管理措置として具体化されて初めて実効性を持ちます。実務的な基準をお探しの場合、以下の点が最も大きな効果をもたらす着手点となります。

• 管理者アクセスに対してMFAと強固なパスワードポリシーを必須とする

• IAMのポリシーとロールに最小権限の原則を適用する（必要最小限の権限を付与し、その後慎重に範囲を拡大する）

• 日常業務ではrootの認証情報ではなくIAMロールを使用する

• 定められた頻度でアクセスキーをローテーションし、使用していない認証情報を削除する

• インシデント時だけでなく定期的にアクセスログを確認し、異常を早期に発見しやすくする

これらの実務は華やかではありませんが、防げるはずの露出を確実に防ぐための管理措置です。

共に取り組むことで、より強くなる

クラウドセキュリティは、パートナーシップとして機能するときに最大の効果を発揮します。お客様は、日々のリスクを左右する統制 ― IDとアクセス、不変性、暗号化の方針、バケットの設定、保持の振る舞い、運用衛生 ― を適用します。Wasabiは、お客様が管理する必要のないインフラ、プラットフォーム運用、設備レベルの統制によって、安全でレジリエントな基盤を提供します。

この役割分担が両者がそろうことで、明確さが生まれ、リスクが低減され、組織が頼りにするコンプライアンスとレジリエンスの成果が支えられます。