OCIセキュリティとは？主要サービスやセキュリティリスト・NSGの違い、対策の進め方を解説

OCIのセキュリティとは、Oracle Cloud Infrastructure（OCI）上のシステムを守るための仕組み全体を指し、Oracleが提供する基盤側の保護と、ユーザー自身が行う設定・運用の組み合わせで成り立ちます。

この前提となるのが「責任共有モデル（共同セキュリティ・モデル）」という考え方です。

具体的には、データセンターの物理的な保護やハードウェア、仮想化基盤といった「クラウドそのものの安全性」はOracleが担います。

一方、その上で動くOS・アプリケーション・データ・アクセス権限の設定といった「クラウドの使い方に関わる部分」はユーザーが担います。

つまり、クラウド事業者の対策だけでは守りきれない領域が残ります。
OCIのセキュリティを考えるうえでは、どこまでがOracleの責任範囲で、どこからが自社で設定・運用すべき範囲なのかを、必ず把握した上で検討を進めていきましょう。

関連記事：Oracle Cloud Infrastructure（OCI）とは？OCIの移行事例を紹介

OCIは、標準機能の充実度や設計思想の面から、セキュリティの評価が高いクラウドの一つです。

実務でよく挙げられる理由は、次の3点です。

1. 多くのセキュリティ機能が標準・無償で提供される


2. テナント（利用者環境）が完全に分離されている


3. 保存するデータが標準で自動的に暗号化される

OCIでは、脅威検知を担う「Cloud Guard」や、脆弱性を確認する「脆弱性スキャニング（Vulnerability Scanning Service）」など、セキュリティ機能の多くが標準で無償提供されています。

ところが実務の現場では、無償で使えることに気づかず、活用できていないケースが見られます。

たとえば、オンプレミスからクラウドへ移行した際に、従来の監視ツールや監視環境をそのまま引き継いでしまうことがあります。
その結果、本来ならOCIの無償機能で代替できる部分に、有償のソリューションを使い続け、無駄なコストが発生してしまいます。

無償で使える範囲を正しく把握し直すだけで、セキュリティを維持しながら不要なコストを削減できる可能性がある点は、OCIを利用・検討する企業にとって見逃せないポイントです。

OCIでは、利用者ごとの環境（テナント）が他の利用者の環境から完全に分離される設計になっています。

クラウド環境では、複数の利用者が同じデータセンター基盤を使うことがあるため、利用者の環境をどう切り離すかがセキュリティ設計の重要な論点になります。

OCIでは、テナントごとにユーザー・グループ・権限（ポリシー）・セキュリティ設定が独立して管理されており、他のテナントの管理者が自社のリソースを操作・閲覧することはできません。
物理的なサーバーやネットワーク機器を他の利用者と共有する場面があっても、論理的な区切りによってデータやネットワークが混在しない設計になっています。

この「テナント単位での分離」は、自社の環境を他社の影響から独立させておきたい企業にとって、安心して利用できる土台になっています。

OCIでは、ブロックボリュームやオブジェクトストレージなどに保存するデータが、初期設定のまま自動的に暗号化される仕組みを採用しています。

保存データの暗号化自体は、主要なクラウドでも標準的な対策になりつつあります。
OCIでは、常に暗号化されているため利用者側の有効化作業が不要なうえ、無効化もできません。
暗号化の設定漏れを構造的に防げる点がOCIのセキュリティにおける大きなメリットといえます。

具体的には、ブロックボリューム・オブジェクトストレージ・ファイルストレージといった標準的なストレージサービスが、AES-256による暗号化の対象となっています。

なお、暗号鍵については、初期状態ではOracleが管理する鍵を自動で使うため、ユーザー側での鍵管理は不要です。自社で鍵を管理したい場合は、ボールトサービスへの切り替えも可能です。

OCIには多数のセキュリティサービスがあります。

ここでは機能カテゴリごとに整理し、設計・運用で優先して押さえておきたいものから順に紹介します。

IAM（Identity and Access Management）は、「誰が」「どのリソースに」「何をできるか」を管理する仕組みです。

アクセス制御が甘いままだと、後述するネットワーク保護や監視をどれだけ整えても穴が残ります。
そこで、IAMによってユーザーやグループ、権限（ポリシー）を設計し、必要な人に必要な範囲だけの権限を割り当てておけば、意図しない操作や内部からの不正利用を抑えやすくなります。

具体的な施策としては、利用者ごとに付与する権限の最小化や、業務ロールに応じたグループ設計が挙げられます。

ネットワーク保護は、外部や内部からの通信を制御し、不正アクセスや不要な通信を防ぐための仕組みです。

代表的なサービスとして、Webアプリケーションを守るWAF（Web Application Firewall）と、ネットワーク単位で通信を制御するNetwork Firewallがあります。

クラウド上にシステムを置くと、意図しない相手からのアクセスを受けやすくなります。あらかじめアクセスできる範囲を絞り込んでおけば、不正アクセスや情報漏洩のリスクを下げられます。

具体的には、次のようなニーズで使われます。

• 日本国内でしか使わないシステムなのに海外からのアクセスがある場合に、特定の国やIPアドレスからのアクセスを制限したい


• 業務システムの管理画面などを、社内・特定拠点からのアクセスのみに限定したい


• 社用スマートフォンやタブレットからのアクセスを、許可した経路に限定したい（社外の一般回線を経由するため、社内PCとは通信経路が異なる）

脅威検知・監視は、危険な設定や脆弱性を見つけ、通知・可視化するための仕組みです。

代表的なサービスとして、構成の問題を検知するCloud Guardと、脆弱性を確認する脆弱性スキャニング（Vulnerability Scanning Service）があります。

近年はAI技術の進歩により、脆弱性が発見されてから実際の攻撃に移されるまでのスピードが格段に速くなりました。攻撃を完全に防ぐだけではなく、異常を早期に検知できる状態を整えることが重要です。検知の仕組みを組み込んでおけば、設定ミスや脆弱性の放置を早期に把握し、対応につなげられます。

具体的な施策としては、不要なポートが開いていないかをチェックするネットワーク構成の確認や、危険な設定の検知・通知が挙げられます。

前述のとおり、Cloud GuardやVulnerability Scanning Serviceには無償で利用できる範囲があり、検知の仕組みをはじめから組み込む考え方が標準になりつつあります。

ログ管理・分析は、システムの動作や操作の記録を集め、状況を把握するための領域です。
代表的なサービスとして、ログを収集するLoggingと、収集したログを分析するLog Analyticsがあります。

脅威検知で異常に気づいても、その前後に何が起きたかを追えないと、原因特定や再発防止に時間を要してしまいます。
そこで、ログを残し、必要なときに検索・分析できる状態にしておけば、インシデント対応や運用上の確認を進めやすくなります。

具体的な施策としては、監査ログやネットワーク関連のログの収集、異常発生時の原因調査、運用状況の可視化が挙げられます。

「セキュリティリスト」「NSG（ネットワークセキュリティグループ）」「セキュリティゾーン」は名前が似ており、混同されやすい機能です。

OCIは、デフォルトの状態では外部（インターネット）との通信は許可されていません。
外部との通信を行うには、セキュリティリストやNSGで通信ルールを設定し、必要な通信のみを許可する必要があります。
セキュリティリストとNSGの違いはルールを適用する範囲にあります。
Oracleの公式ドキュメントでは、次のようにNSGの使用が推奨されています。

セキュリティの観点では、OCIを含む主要クラウドサービスはいずれも堅牢なセキュリティ機能を備えています。そのため、クラウド選定ではセキュリティ機能の有無だけでなく、自社のシステム環境や運用要件との適合性が重要になります。

その中でOCIが選ばれる理由の一つが、Oracle Databaseとの高い親和性です。
OCIでは、Oracle Database環境で活用しやすいセキュリティ機能が充実しており、標準機能の水準が高く、暗号化などを無償で利用できる範囲が広いことが特長です。そのため、Oracle Databaseを利用する企業にとっては、セキュリティ強化とコスト最適化を両立しやすいクラウドといえるでしょう。

関連記事：オラクルクラウド（OCI）とAWSを徹底比較！選び方のポイント解説

近年では、システムごとに最適なクラウドを組み合わせる「マルチクラウド」の考え方が広がっています。
例えば、アプリケーションはAWSで運用しながら、重要なデータを管理するOracle DatabaseはOCIで運用するといった構成も選択肢の一つです。

クラウドを機能やコストだけで比較するのではなく、「どのシステムをどのクラウドで運用するか」「どのデータをどこで守るか」という視点で役割を分担することも重要です。
特にOracle Databaseを利用する環境では、親和性の高いOCIをデータ基盤として活用することで、安全性の向上と運用効率の両立が期待できます。

OCIのセキュリティ対策は、次の4つの観点で順番に進めると整理しやすくなります。

1. アクセス制御


2. ネットワーク


3. 運用・監視


4. データの保護

まずはアクセス制御とネットワークで土台を固め、運用・監視とデータ保護で守りを厚くしていくのが現実的です。
各観点のポイントを順に見ていきます。

アクセス制御の基本は「最小権限」です。
IAMで利用者ごとに権限を設計し、業務に必要な範囲の権限のみを与え、不要な権限は持たせないようにします。

この理由は、外部からの攻撃だけでなく、社内利用者による内部の脅威も想定する必要があるためです。
権限を絞っておけば、意図しない操作や不正利用のリスクを抑えられます。

ネットワークでは、前章のNSGによる通信制御に加えて、利用者（人）からのアクセス経路の管理が重要です。

システムには運用担当者・業務担当者・上長・情報システム担当者・ベンダー管理者など、さまざまな立場の人が関わり、許可すべき経路もそれぞれ異なるためです。
ここが曖昧だと、内部関係者による情報の持ち出しや、故意・過失によるデータ破壊・システム停止のリスクにつながりかねません。

利用者ごとにアクセス範囲と経路を整理し、ネットワーク制限・アクセス制限として設計に落とし込みましょう。

運用・監視では、Cloud GuardやLog Analyticsを活用し、危険な設定や異常を検知・記録できる状態を維持します。

また、近年ではクラウド運用が初めての企業を中心に「運用手順書」の整備を求められることが増えました。
自社の情報システム部門が運用の中身まで理解し、自分たちで回せるようにしておきたい、というニーズが背景にあるためです。

運用手順書には、次のような項目を盛り込んでおくと安心です。

データ保護では、OCI上に保存するデータを不正アクセスや誤操作、障害などから守ることが重要です。

OCIでは、データベースやストレージの暗号化、バックアップなどを活用し、データそのものを保護します。
特に重要なのが、「データを守る」だけでなく「万が一のときに復旧できる」状態を作っておくことです。障害や操作ミスなどによってデータが失われた場合でも、バックアップから復元できるようにしておきましょう。

また、バックアップの取得頻度や保存期間、復旧方法などもあらかじめ整理し、実際に復旧できるかを確認しておくことが重要です。

OCIの機能を活用し、暗号化・バックアップ・復旧までを含めてデータ保護を設計しましょう。


これらのセキュリティ対策は、いきなり個別の設定から入るのではなく、システム開発と同じように、要件定義（機能要件・非機能要件のヒアリング）から始め、基本設計（パラメータや設定値の検討）を経て、詳細設計・実装・テストへと進めていくのが基本です。

自社に最適なセキュリティ構成をご検討の際は、お気軽にご相談ください。
>> OCI専門ベンダーに相談する

対策を進めるにあたって、実務で見落とされやすい注意点も押さえておきましょう。

自社の要件を十分に確認せず、デフォルトのセキュリティリストを見直さないまま運用すると、想定外の通信を許可してしまうおそれがあります。
初期設定を前提にするのではなく、通信先やポートを整理したうえで、許可範囲を最小限に設定することが重要です。
システム構成や利用者が変わった際にも、ルールを定期的に見直しましょう。

Cloud Guardに限らず、検知や通知に関わる機能では、通知設定が適切でなく、現場の担当者が異常に気づけないケースが少なくありません。

特に多いのが通知先メールアドレスの問題です。
契約時に登録したアドレスが決裁権を持つ上長などに設定されていると、通知が飛んでも運用担当者に届かず、対応が遅れるケースがあります。

どういった通知を誰が受け取り、どう対応するのかをあらかじめ整理しておきましょう。

>> トラブルを防ぐ！安心・安全なOCI構築・運用のサービス詳細はこちら

最後に、OCIのセキュリティについて多く寄せられる質問とその回答を紹介します。

Q. OCIのセキュリティ機能は無料で利用できますか？

A. 多くの機能が標準・無償で提供されています。
脅威検知・監視のCloud GuardやVulnerability Scanning Serviceなど、他クラウドでは有償となる機能を無償で使えるケースもあります。

ただし、提供されていること自体に気づかず活用できていない例も多いため、まずは自社の環境で「無償で使える機能が何か」を確認することをおすすめします。


Q. セキュリティリストとNSGはどちらを使うべきですか？併用できますか？

A. 併用は可能です。
サブネット共通の基本的なルールをセキュリティリストで、インスタンス単位の細かな制御をNSGで、といった形で組み合わせられます。

ただしOracleの公式マニュアルではNSGの使用が推奨されており、機密性が高く細かな通信制御が必要なシステムほど、NSGが適しています。


Q. デフォルトのセキュリティリスト設定は、そのまま使っても大丈夫ですか？

A. OCIのデフォルト設定では、外部（インターネット）との通信は不可となっています。
VCN内は許可されているものもあるため、デフォルト設定を見直さないまま運用してしまうケースは注意点として挙げられています。

自社のシステムに必要な通信範囲に合わせて、見直したうえで使うことが望ましいです。


Q. OCIではログをどのくらいの期間保存できますか？

A. ログの種類によって異なります。監査ログ（Audit）は、365日まで保存できます。

上限を超えて長期保存したい場合は、ログをオブジェクトストレージへエクスポートして保管します。
コンプライアンス要件で7年、10年分の保持が求められるケースもあるため、要件をもとに対応を検討しましょう。


Q. OCIのセキュリティ対策は自社だけで実施できますか？

A. OCIには無償で使える機能が多くありますが、それに気づいていないユーザーも少なくありません。
まずは専門ベンダーに相談し、無償で対応できる範囲を確認したうえで進めるのが望ましいでしょう。

また、オンプレミスとクラウドでは、セキュリティの設計思想や設定方法が異なります。
自社にオンプレミス環境のノウハウしかない場合は、クラウドならではの構築ノウハウを持つ専門ベンダーの力を借りることで、対策の抜け漏れを防ぎやすくなります。

OCIのセキュリティは、事業者とユーザーが役割を分担する責任共有モデルが前提です。多くの機能が標準・無償で提供され、テナント分離やデータ暗号化も標準で備わっています。

基本の軸となるのは、アクセス制御・ネットワーク保護・脅威検知・ログ管理の4領域です。セキュリティリスト・NSG・セキュリティゾーンは適用範囲で使い分け、細かな通信制御にはNSGが適します。とりわけOracle Database環境では、OCIの強みが活きるでしょう。

一方で、無償機能の見落としや通知設定の漏れなど、知っていれば防げる落とし穴も少なくありません。

オンプレミスからの移行では設計の考え方が変わるため、不安があれば構築・運用支援の実績を持つ専門ベンダーに相談すると、コストとセキュリティの両面から無理なく進められます。

弊社は、日本オラクル最初のパートナーとして培ってきた豊富な知見と、OCI認定資格を保有するエンジニアによる高い技術力を強みとしています。OCIの特性を熟知したエンジニアが、セキュリティ設計から環境構築、移行、運用保守までワンストップで支援します。
>> OCI支援サービス内容はこちら

OCIのセキュリティ設計、無償機能の活用、移行後の運用にお悩みなら、まずはお気軽にご相談ください。お客様のシステム環境や要件を踏まえ、OCIの特性を最大限に活かした最適な構成・運用方法をご提案します。