主要クラウドで異なるセキュリティリスクの実態、Intruderの3,000組織調査で判明

要点

• セキュリティ企業のIntruderが3,000組織のクラウド設定データを分析した「2026 Cloud Security Index」を公開した。

• IAMの不備とログ取得の欠落は、主要3社すべてで8割から9割超のアカウントに存在する共通の課題となっている。

• 外部公開サービスやファイアウォールの不備はAWSで高く、Azureはストレージ、Google CloudはIAM関連の設定不備が目立つ。

• 組織規模が拡大するほど多くの設定ミスは減少する一方、IAMの不備のみ企業規模が大きいほど発生率が高まる傾向が示された。

• セキュリティ企業のIntruderは、AWS、Microsoft Azure、Google Cloudを利用する3,000組織の設定ミスデータを分析した調査レポート「2026 Cloud Security Index」を公表した。調査結果によると、マルチクラウド環境におけるセキュリティリスクの傾向はプロバイダーごとに大きく異なっており、各プラットフォームのリスク特性にはほとんど共通点がない実態が明らかになったという。

プラットフォーム間で大きく分かれるリスク傾向

Intruderはクラウド環境の設定ミスを「IAM（アイデンティティとアクセス管理）の不備」「ロギングの欠落」「サービスの設定ミス」「寛容なファイアウォール」「外部公開サービス」「脆弱な暗号化」の6カテゴリに分類し、各プロバイダーにおけるアカウントごとの発生率を比較した。

このうち、IAMの不備とログ記録の欠落については、プロバイダーを問わず全体の80%から98%のアカウントで発生しており、ほぼ普遍的な課題であることが確認された。しかし、残る4カテゴリではプラットフォームごとに顕著な差異が見られたという。

具体的な各カテゴリの発生率は以下の通りである。

• 外部公開サービス: AWSが76%、Azureが64%であるのに対し、Google Cloudは8%にとどまる。
• 寛容なファイアウォール: AWSが83%、Azureが45%、Google Cloudが34%となっている。
• 脆弱な暗号化: AWSが49%、Azureが35%、Google Cloudが8%となっている。
• サービスの設定ミス: Azureが80%と最も高く、AWSが68%、Google Cloudが37%と続く。

特に外部公開サービスではAWSとGoogle Cloudの間で68ポイントもの差が生じている。AWSが6カテゴリ中5つで最も高い発生率を示した背景について、レポートでは提供サービス数の多さが設定オプションを増やし、結果として設定ミスの機会を広げている可能性を指摘している。一方、Google Cloudで発生率が低い要因としては、サービス数の少なさに加え、ネットワーク公開や暗号化において初期状態で安全性を高める「Shared Fate（共有運命）」アプローチを採用している点が挙げられている。

クラウドプロバイダー別の主な設定ミス

各プラットフォームで最も頻発している具体的な設定ミスの内容は以下の通りである。

AWS：暗号化とネットワーク制御の設定漏れ

AWSでは、通信の暗号化やネットワーク制御に関する問題が上位を占めた。

1. S3でHTTPS通信が強制されていない（87%）
2. センシティブなポートへの寛容なインバウンド通信（ACL経由）（84%）
3. 過度に寛容なネットワークACL（アクセス制御リスト）（83%）
4. 権限昇格を許すIAMポリシー（83%）
5. EC2向けVPC（仮想プライベートクラウド）エンドポイントが無効（82%）

広く利用されるクラウドストレージのAmazon S3において、平文のHTTP通信を許可したままのアカウントが87%に達した。また、権限昇格を許すIAMポリシーも83%のアカウントで見つかっている。レポートではAWS IAMの構造の複雑さに触れ、安全に見える管理ポリシーでも意図しない権限を与えてしまう危険性を指摘した上で、流出した認証情報から攻撃者が10分未満で管理者権限を掌握し19のプリンシパルを侵害した事例を挙げている。

Azure：ストレージアカウントと認証基盤の課題

Azureでは、ストレージ保護とユーザー認証に関する設定不備が目立った。

1. ストレージアカウントのキーローテーションが無効（67%）
2. ストレージアカウントのアクセスキーが有効化されたまま（66%）
3. ストレージアカウントへのパブリックネットワークアクセスが有効（61%）
4. Entra IDユーザーのMFA（多要素認証）未設定（55%）
5. トラステッド起動（Trusted Launch）が無効（45%）

個人を特定できる情報（PII）などの機密データを格納することが多いAzure Storage Accountsにおいて、キーローテーションやアクセス制限の不備が重なって発生している傾向が示された。さらに、クラウドだけでなくMicrosoft 365やオンプレミスへのアクセスも統括するEntra IDにおいて、過半数のアカウントでMFA未設定のユーザーが存在していた。レポートは、2024年に発生したMicrosoft社内へのサイバー攻撃「Midnight Blizzard」がMFA未設定のテストアカウントを起点としていた事実を挙げ、認証基盤のリスクを説明している。

Google Cloud：IAMとログイン制御への集中

Google Cloudでは、上位の設定不備のほぼすべてがアクセス管理に集中した。

1. OS LoginのMFAが無効（77%）
2. OS Loginが無効（76%）
3. 未使用のサービスアカウントが存在（75%）
4. 過剰な権限を持つサービスアカウントが存在（53%）
5. センシティブなポートへの寛容なインバウンド通信（34%）

仮想マシンへの安全なアクセスを提供する「OS Login」機能やそのMFAが無効化されているアカウントが7割を超えたほか、不要なサービスアカウントの放置や過剰な権限付与といったIAM関連の課題が上位を占めている。

組織規模によるリスクの変化とIAMの特異性

組織規模と設定ミスの関係について、ファイアウォールや外部公開、暗号化などのカテゴリでは、企業規模が大きくなるにつれて設定ミスの発生率が下がる傾向が確認された。

しかし、IAMの不備に関しては唯一の例外となり、従業員規模が大きくなるほど発生率が上昇している。

• 中小企業（従業員250人未満）：87%
• 中堅企業（従業員251〜1万人）：95%
• 大企業（従業員1万人〜10万人以上）：98%

過剰な権限を持つアカウントが1つ存在するだけで他のセキュリティ制御を突破される危険性があることから、組織が拡大するほどIAM管理の難度が増す実態が浮き彫りとなっている。