米Datadog日本法人のDatadog Japanは2024年3月6日、Datadogの監視データを基に、パブリッククラウド（AWS、Azure、Google Cloud）におけるセキュリティの現状をまとめた調査レポート「クラウドセキュリティの現状2023」を発表した。これによると、アクセスキー（アカウントの認証情報）の約半数は1年以上変更されておらず、情報漏洩/セキュリティ侵害の原因になると警告している。
クラウド型システム監視サービス「Datadog」を提供している米Datadog。その日本法人であるDatadog Japanは、パブリッククラウド（AWS、Microsoft Azure、Google Cloud）におけるセキュリティの現状をまとめた調査レポート「クラウドセキュリティの現状2023」を発表した。これらのクラウドサービスを利用する数千の組織におけるDatadogの監視データを分析している。
同社は調査で判明したトピックの1つとして、パブリッククラウドを使う際のアクセスキー（認証情報）の約半数が1年以上変更されていない点を挙げている。「認証情報は、変更せずに長期に使い続けることで漏洩のリスクが上がり、セキュリティ侵害の原因となる」（同社、図1）。
図1：パブリッククラウドを使う際のアクセスキー（認証情報）の約半数が、1年以上変更されていない（出典：Datadog Japan）拡大画像表示
生成したアクセスキーを使わずに放置するケースも多い。AWSにおいては、IAM（Identity and Access Management：ID/アクセス管理）を運用するユーザーの半数近く（49%）が、アクセスキーを過去90日間に一度も使っていないことがわかった。この割合は1年前の調査結果（40%）よりも増えている（図2）。
図2：AWS IAMユーザーの49%は、アクセスキーを過去90日間に一度も使っていない（出典：Datadog Japan）拡大画像表示
過剰なアクセス権限を持つアカウントを設定しているインスタンス（仮想サーバー）も多い。Amazon EC2の場合、必要な範囲を超えた権限をアカウントに付与しているインスタンスが20％近くあり、管理者アカウントに昇格可能なケースも見られたという（図3）。
図3：Amazon EC2では、必要な権限を超えた権限をアカウントに付与しているインスタンスが20%近くあった（出典：Datadog Japan）拡大画像表示
Google Cloudについても同様である。Google Cloudの仮想マシンの37％は、必要以上のアクセス権限を持つアカウントが設定されていることがわかった（図4）。
図4：Google CloudのVMの37%は、必要以上のアクセス権限を持つアカウントが設定されている（出典：Datadog Japan）拡大画像表示
