クラウドストレージ上に保存していたファイルが実はインターネット上の誰からでもアクセス出来る状態で保存されていた。このような報道が目につくようになってきました。

　企業内の業務アプリがクラウドに移行しているため、クラウドに情報が集約される傾向にあります。特に公開権限の設定ミスは大きな事故に発展するリスクもあるので注意が必要です。

　では、どのようにしてクラウドストレージ上に保存されているファイルの公開設定を確認すれば良いでしょうか?

■クラウド上に公開されているファイルの状態を可視化する

　Netskope等のSSE、またはSSPM製品を利用することでクラウド上に公開されているファイルの状態を可視化することが可能です。

　以下にNetskopeのGoogle Drive API保護を利用しているケースにおいての可視化状態を示します。

　NetskopeとGoogle DriveをAPI連携している状態で、API-enabled Protection > CASB API (Classic) > googleを選択すると以下のような画面が出力されます。

　円グラフがGoogle Drive上に存在しているファイルの総数を示しています。この例では1.26K個のファイルが存在していることがわかります。

　このうち、以下の三つの凡例は外部に露出している可能性があることを示しています。

　・External:外部ユーザと共有されているファイル

　・Anyone With Link:リンクを知っている人なら誰でもアクセス可能

　・Published as Web Page:Web上に公開されている

　そして、更に円グラフの該当する凡例の色をクリックすると、該当するファイルの一覧が表示されます。ファイル名や、ファイルを保存したユーザー等が確認可能です。

　更にファイル名をクリックするとファイルに関するより詳細な情報を確認することが可能です。この例では、公開権限が"Public"に設定されてはいるものの、DLP VIOLATIONSでの警告は出ていないので、機密情報は含まれていないと推測することが出来ます。

■リンクを知っている人じゃないとアクセス出来ないは誤解

　「"Anyone With Link:リンクを知っている人なら誰でもアクセス可能"の状態は外部に公開されているとはいえURL知らないアクセス出来ないのだから問題ないだろう。」というコメントを時折みかけますが、この考え方は危険です。

　Anyone With Linkの状態はGoogle等の検索エンジンにインデックスされる可能性があります。従って機密性の高い情報をこの権限で放置しておくべきではありません。

■セキュリティの常識をアップデートすることが大切

　情報漏えいの報道があると「また情報漏洩か!」というコメントも見かけますが、情報漏えい対策にも過去からの定番となっている対策と、新しい技術に対する対策があり、クラウドストレージ上に保存されているファイルの公開権限まで完全に把握出来ている企業の方が少ないのが実情です。

　情報漏えいの報道を目にしたら他人事と考えるのではなく、「弊社はクラウドストレージ上にどのくらいファイルを保存していて、どれだけ公開されているのだろう?」という素朴な疑問に「回答出来るか」をまず確認してみることを推奨します。