「責任共有モデルでなく運命共有モデル」 Google CloudのMandiant買収につながる戦略：セキュリティ分野へ本格参入

Google Cloudは2022年3月、セキュリティベンダーのMandiantを買収すると発表した。実現すれば、Google Cloudによるセキュリティビジネスへの本格参入を象徴する出来事になる。同社は、クラウドセキュリティは運命共有モデルに基づくべきだという考え方を強調している。

[三木泉，＠IT]

　Google Cloudは2022年3月8日（米国時間）、セキュリティベンダーのMandiantを買収する意向を発表した。Mandiantはセキュリティアドバイザリサービスやインシデント対応サービスを提供する企業。約54億ドルという巨額の買収は、Google Cloudのセキュリティ分野への本格参入を象徴する出来事となる。

　その1週間後に実施したブリーフィングで、Google Cloudバイス プレジデント／Chief Information Security Officer（CISO：最高情報セキュリティ責任者）のフィル・ヴェナブルズ（Phil Venables）氏は、「クラウドは責任共有モデルを超え、運命共有モデルになる 」と説明した。 これがMandiantを買収しようとしている理由につながってくる。

　ヴェナブルズ氏は、「Google Cloudのインフラではデフォルトで暗号化されるプライベートネットワーク通信など、セキュリティを後付けではなく、最初から織り込んでいる。加えてゼロトラストの原則に基づき、継続的な検証、広範なモニタリングに基づき、新たな脅威や問題に対応したインフラの定期的な更新を実施している」と説明した。

　「その上で、当社のセキュリティに関する知識を顧客に移転するためにはどうしたらいいかを、常に考えている」（ヴェナブルズ氏）

　そうした考えの表れの一つが、2021年10月に発表し、既に日本を含む各国で活動を始めている「Google Cybersecurity Action Team（GCAT、日本でのサービス名は『Googleサイバーセキュリティ対応チーム』）」だという。GCATは戦略的アドバイザリサービス、地域別のコンプライアンス認証、ベストプラクティスの導入支援、脅威インテリジェンス／インシデント対応サービスなどを提供する。同チームは基本的には有償でサービスを提供するが、新たにクラウドを採用する顧客に対しては、（セールスの一環として）セキュリティ戦略やデジタルセキュリティ変革プログラムなどに関するアドバイスを無償で提供する。また、IT変革ガイドやサイバー脅威に関するレポート、ブログなども公開している。

　「GCATは、Googleが全社から集めたセキュリティエキスパートで構成される、世界最高クラスのセキュリティアドバイザリチームだ。最初のクラウド採用から本格的なクラウド移行に至るまでの全プロセスで、顧客をガイドできる」（ヴェナブルズ氏）

　GCATでは、「Office of CISO」と呼ばれる部署が重要な役割を果たしているという。金融、ヘルスケア、公共機関など、規制業界でCISOを務めた経歴を持つ専門家が、自らの経験を生かし、顧客と直接協力する。顧客の声をGoogle Cloudのプロダクトチームに届け、影響を与える役割も担っているとヴェナブルズ氏は説明した。

Google Cloudのいう「運命共有（Shared Fate）モデル」とは

　「クラウド事業者はこれまで『責任共有（Shared Responsibility）モデル』を語ってきた。クラウド事業者は基盤となるインフラの面倒を見て、顧客がセキュリティ設定に責任を持つという概念だ。

　一方私たちは、『運命共有（Shared Fate）モデル』を強く提唱している。責任共有モデルでは責任の線引きにこだわるが、それを越えて顧客と非常に深いパートナーシップを築き、顧客がセキュリティの高いクラウドインフラを活用できるというだけでなく、クラウド上で安心してITを動かし続けられるようにすることに全力を傾けている」（ヴェナブルズ氏）

　Google Cloudは、サイバー脅威の高度化が進む中、顧客がセキュリティを保証した形でGoogle Cloud Platform（GCP）上にITを展開していけるよう、積極的に協力することが自らの責任だとしている。これによって、安全なクラウドへの移行や運用を支えていくのだという。

　この運命共有モデルをさらに推進すべく、Google Cloudは既にセキュリティサービスを積極的に提供している。逆にこのアプローチが、同社のセキュリティサービスにおける強みでもあるとも説明する。

　Google Cloudは過去2、3年のうちにセキュリティサービスを大幅に強化してきた。主なセキュリティ関連サービスだけをとっても、Google Cloud上の脆弱（ぜいじゃく）性検知や対策が行える「Security Command Center」、ゼロトラストネットワークアクセスの「BeyondCorp Enterprise」、Webサイトやファイルのマルウェア検査ツール「VirusTotal」、SIEM（Security Information and Event Management）の「Chronicle」、SOAR（Security Orchestration, Automation and Response）の「Siemplify」、そして前出のGoogle Cybersecurity Action Teamが挙げられる。

　これらのサービスは、セキュリティ製品ベンダーやマネージドセキュリティサービス事業者（MSSP）、顧客のセキュリティ担当部署との連携で、顧客のセキュリティ確保を積極的に支援する役割を果たす。つまり、「クラウドへの移行で懸念となるセキュリティの問題に対処する」というレベルを超えて、「セキュリティがクラウドへの移行の契機となる」ことも狙っている。一方で当然ながら、Google Cloudはセキュリティサービスを同社の重要な収益源にしようとしている。

　ヴェナブルズ氏は、「Mandiantが加われば、結果として非常に包括的なセキュリティサービスが提供できる。顧客はこれを使い、クラウド（GCP）だけでなく、オンプレミス、他のクラウドのセキュリティも管理できる。（この買収によって）顧客とサイバーセキュリティを支援する機能のサイクルが完結することを、とても喜んでいる」と話した。