“クラウドはセキュリティ的にNG”はもはやナンセンス。コンテンツクラウド「Box」のセキュリティ

ビジネスにおいてもすっかり身近な存在になったクラウドサービス。かつて金融や医療などクリティカルな業種を中心に、情報セキュリティの観点からクラウドを敬遠する傾向があったが、グローバル標準の高度なセキュリティ対策や、DR・BCP面での優位性などが評価され、前述のような業種においてもクラウド利用が拡大している。今回は、クラウドストレージのスタンダードとなっている「Box」を取り上げ、セキュリティの優位性をチェックする。

Box セキュリティ

INDEX

一歩先を行く、コンテンツクラウド「Box」のセキュリティ

事実上、クラウドストレージ（Box社はコンテンツクラウドと呼んでいる）スタンダードとなっている「Box」。一般のビジネス文書はもちろん、契約書や図面、画像・音声など、あらゆる非構造化データを一元管理するものだけに、およそ現時点で考えられる最高レベルのセキュリティ対策がこれでもかと盛り込まれ、情報漏えいの防止に万全を期している。

ファイル転送の通信はSSL/TLSで暗号化されVPNを必要としない点や、様々な国際的セキュリティ規格への準拠に加え、7段階ものきめ細かなアクセス権設定、130種類を超えるログの長期（7年間）保存と定期監査、強固なインフラセキュリティなどはBoxならではの強みと言える。特に設定のきめ細かさと強力なログ管理については他を圧倒しており、セキュリティにおいてBoxが評価されるポイントとなっている。

そうは言っても重要データを海外に置くのは不安だ……という企業に対しては、日本を含む9ヵ国からデータ保存先が選べるオプションも用意されている。日本国内には東京と大阪の2ヵ所にデータセンタが置かれ、これらを組み合わせることで、経済安全保障上のリスクを回避してDR・BCP対策を実現できる。

社外からの攻撃も、内部不正も、充実のセキュリティで情報を守る

Boxは多彩で強力なセキュリティ機能を備え、今年被害が拡大しているランサムウェアなど社外からの攻撃はもちろん、内部不正にも対応。情報漏えいを未然に防止し、万一の場合も被害を最小化する。

ランサムウェア対策

ランサムウェア攻撃では、標的型メールなどを介して端末を感染させ、社内ネットワークを調査する潜伏期間を経て、端末や端末が接続可能なストレージなどの情報を暗号化して利用できなくする。ランサムウェアの感染（侵入）を100％防ぐことは難しいことから、感染予防の対策をとりつつ、感染してしまった場合の被害を最小化する対策が推奨されていることはご存知のとおりだ。Boxでは、感染予防対策はもちろん感染後の対策も充実しており、万が一Box上のコンテンツが暗号化されるなど被害に遭った場合も、Boxサポートに連絡すれば、サポート担当が影響範囲を特定した上で復旧処理を支援してくれる。まさに至れり尽くせりで、あちこちに散在する情報をBoxに集約することで、ランサムウェアから情報を守れるようになる。

Boxで対策できるランサムウェア感染の懸念事項
懸念事項
ID漏洩による不正アクセス
メール添付（パスワード付きZip）からの感染
ランサムウェアによる暗号化
ウイルススキャン
暗号化されたファイルや感染したファイルからの復旧
不正なダウンロードや不正なデータ削除

内部不正対策

従業員が機密データを抜き取って利益を得るといった事件は後を絶たず、企業にとって内部不正による情報持ち出しも深刻な脅威となっているが、Boxはこうした内部不正対策も充実している。ダウンロードや、公開、共有禁止などの分類ラベルを付与することで、個人情報や機密情報へのアクセスを制限できるほか、アクセスできる範囲であっても、一度に大量のダウンロードや、不審な時間・不審エリアからのアクセスなどをAIで検知し通知。すべてのユーザ操作を監視しログを記録することで、内部不正に対し抑止効果が期待できる。企業ネットワークで個人のBoxアカウント利用を禁止してデータ移動（複製）を防いだり、プレビュー表示に電子透かしを入れたりすることで画面キャプチャやカメラ撮影による情報持ち出しを抑止するなど、あらゆる可能性を想定して対策が用意されている。このほか、ゴミ箱に入れられたコンテンツの完全削除を禁止でき、社員がうっかりデータを消失してしまうリスクも排除する。

安心と信頼を支える、セキュリティ規格準拠・圧倒的な導入実績

Boxは、クラウドサービスのセキュリティ評価・承認・監視を目的とした米国連邦政府プログラム「FedRamp」や、クラウドサービスのみを対象としたセキュリティコントロール「ISO 27017」、「ISO27018」の他、「「ISO 27001」、「ISO 27701」など、主要な国際的コンプライアンス･セキュリティ規格に準拠。国内でも、クラウドサービスの情報セキュリティ対策を評価する「ISMAP」にて、日本政府認定クラウドとして登録されている。オンプレミスでこれだけの規格に準拠するのは非現実的であり、安全性において、現時点でデータ保存場所の最適解と言える。2023年11月現在、Boxは全世界11万5千社以上で導入され、国内では、日経225銘柄の72％にあたる約1万6000社が利用している。金融や医療・製薬、公共・公益など、かつてクラウドを回避してきた業界・業種でも導入が拡大している。

あらゆるビジネス文書をBoxに集約し一元管理するために

あらゆる文書の一元管理に向け、電子契約やワークフローの機能も提供

すべてのコンテンツをBoxに集約し一元的に管理することが、情報漏えい対策として極めて有効だとご理解いただけただろうか。これを実現するために、Boxでは、様々なビジネス文書のライフサイクル管理を実現する機能を用意している。その代表が、電子署名（電子サイン）機能の「Box Sign」と、ワークフロー機能「Box Relay」だ。

追加費用不要で無制限に利用できるBox Signは、契約書作成から締結、期限切れ契約書の自動廃棄などが可能で、Box単体で電子契約を実現する。一方のBox Relayは簡易的なワークフロー機能を提供。作成文書を設定したルール・ルートで回付し、承認・決裁する流れをBox内で完結できる。いずれも、電子契約システムやワークフローシステムを別途導入することなく、契約書や承認・決裁をともなう文書をBoxに集約して一元管理できるのがポイントだ。

ExchangeUSEで、企業や部門の独自ルール・ルートに対応

Box Relayは特別なルール・ルートでワークフローを回しているケースなど、対応できない場合がある。こうしたケースにお勧めなのが、「ExchangeUSE Box連携ソリューション」だ。カスタマイズ性の高いワークフローパッケージが企業や部門特有の細かなワークフローニーズに対応。決裁書の起票と回付、承認履歴管理をExchangeUSEが司り、回付の際にBox内で管理される添付資料の共有リンクをつけることで、Boxにできるだけ文書を集約してセキュリティを担保しつつ、きめ細かなワークフロー対応を実現する。