クラウド移行のセキュリティギャップ：アプリケーション層は責任共有のどこに位置するのか？

エグゼクティブサマリー

クラウド移行プロジェクトで最も危険な想定は、インフラとともにセキュリティの責任もプロバイダーへ引き渡されるというものです。広く引用されるGartnerの予測 — 「2025年までに、クラウドセキュリティの失敗の99%は顧客起因になる」 — は現場で裏付けられました：大手クラウドプロバイダーのインフラが破られることはまれで、破られるのは顧客が自らの責任範囲に残した空白です。[1]

コスト面も同じ方向を示しています。IBMの2025年データ侵害コストレポートによれば、世界平均の侵害コストは444万ドルで、複数の環境にまたがるデータを含む侵害は平均を上回って推移しています。[2] IBMの2023年レポートの印象的な発見が全体像を明確にします：調査対象の侵害の82%が、クラウドに保存されたデータを含んでいました。[3] Flexeraの調査によれば、約89%の組織が複数のクラウドを利用しています — つまり、このリスクサーフェスは単一のプロバイダーの問題ではなく、環境間の不整合の問題なのです。[4]

本レポートは、責任共有モデルで最も誤解されている層 — アプリケーションのデリバリーと保護 — を検証します。責任のマトリクスを層ごとにひもとき、現場で最も頻繁に目にするアプリケーション層の設定ミスを整理し、ハイブリッド環境におけるポリシードリフトがなぜ最も気づかれにくいギャップなのかを分析します。

モデルは単純、その解釈はそうではない

責任共有モデルそのものは複雑ではありません：プロバイダーはクラウド自体のセキュリティに、顧客はクラウド内にあるもののセキュリティに責任を負います。複雑さは、サービスモデルが変わると境界が移動すること、そして組織がこの境界を実際よりも上にあると思い込むことから生まれます。IaaSではOSから上のすべてが顧客のものです。PaaSではプラットフォームはプロバイダーに移りますが、アプリケーションの設定は移りません。SaaSでさえ、データの分類、アクセスポリシー、ID設定は顧客側に残ります。

決定的な点はこれです：どのモデルであっても、アプリケーションに到達するトラフィックの検査 — 誰がアクセスしているのか、どのリクエストが正当なのか、どのデータが外へ出ていくのか — がプロバイダーへ移ることは決してありません。プロバイダーはツールを提供できますが、責任は引き受けません。

現場で最も頻繁に見られるアプリケーション層のミス

クラウド侵害を生む失敗はエキゾチックなものではなく、同じパターンが繰り返されます。Cloud Security Allianceの脅威ランキングでは、設定ミスと不十分な変更管理が何年も上位に位置しています。[5] 現場で最もよく目にするのは：

ハイブリッドの複雑性の本当のコスト

2つの別々のWAFエンジンを運用することは、単にライセンスが2つになるということではありません。2つのルール言語、2つの例外リスト、2つのテストプロセス、2つの監査エビデンスセット、そして2つの別々の専門性を意味します。セキュリティチームはすべての変更を2回設計し、2回テストし、2回文書化します。この認知的負荷は、まさに最も重要な瞬間 — インシデント対応の最中 — に表面化します：どの環境でどのルールが有効だったのかという問いへの答えに、数分ではなく数時間かかるのです。

監査面では、コストはさらに目に見えます。PCI DSS、KVKK/GDPR、業界規制は、監査スコープ内のすべての環境について監査エビデンスを求めます。同じ保護を2つの異なる製品で2つの異なる形式で証明することは、監査準備の時間を倍増させます。不整合の指摘の多くは、2つの製品間の解釈差から生まれます。

マルチクラウドはこの構図を線形ではなく乗算的に拡大させます。Flexeraのデータは、組織の大多数が複数のクラウドを利用していることを示しています。[4] 新しい環境が増えるたびに、新しいネイティブセキュリティサービス一式と新しい設定言語が持ち込まれます。環境の数が増えるほど、「すべての環境で同じ保護」という主張は、ツール単位ではなくポリシー単位で構築されない限り、擁護できないものになっていきます。

TR7のアプローチ：すべての環境で同じ保護

この状況に対するTR7の答えは、同じプラットフォームをすべての環境で稼働させることです：