「オンプレなら安全」は本当か？クラウドと比べて見えるレガシーの弱点

株式会社TIMEWELLの濱本 隆太です。

システムの提案を受ける場面で、「クラウドに預けるより、自社の管理下にあるオンプレミスのほうが安全です」という説明を聞くことがあります。気持ちはよく分かります。自分の手元にあるほうが、安心に感じるのは自然です。

ただ、この説明がそのまま実態に合っているかというと、そうとは言い切れません。公的な統計を並べると、見えてくる分かれ目は「どこに置いているか」ではなく、「更新され続けているか」でした。この記事では、オンプレ全体を否定する意図はなく、置き場所の議論の外にある論点を整理します。

先に結論

• 安全性は、オンプレかクラウドかではなく、責任の所在が明確で、更新と監視が続いているかで決まります
• 最近のランサムウェアは、自社が運用する機器の更新漏れや弱い認証を突いて入ってきます
• 古く、更新されなくなった仕組みほど、攻撃者にとっては手口が確立した相手になります
• クラウドは物理面と基盤の更新を事業者に任せられる一方で、設定と権限の責任は利用者に残ります

警察庁の統計は、何を示しているか

令和8年版警察白書によると、令和7年（2025年）中に警察庁へ報告されたランサムウェアの被害は226件でした。感染経路についてのアンケートで有効回答のあった92件のうち、VPN機器を利用されて侵入された事例が61件（66.3％）、リモートデスクトップサービスを利用された事例が19件（20.7％）です¹。

警察庁は、テレワークに利用される機器等のぜい弱性や、強度の弱い認証用パスワード等の情報を利用して侵入したと考えられるものが大半を占めている、と分析しています¹。

ここで注意したいのは、この統計がオンプレとクラウドを分けて集計したものではないことです。ただ、VPN機器は多くの場合、利用者自身が設置して運用する機器です。入口の機器を最新の状態に保ち、パスワードの強度を維持する仕事が、自社側に残っているところが突かれています。「社内に置いているから外から見えない」という説明が成り立たなくなっているのは、こうした入口が外に向けて開いているからです。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの4位に「システムの脆弱性を悪用した攻撃」が入っています²。1位はランサム攻撃による被害、2位はサプライチェーンや委託先を狙った攻撃です²。

「古いこと」そのものがリスクになる

サポートが終わったソフトウェアには、修正プログラムが提供されません。見つかった脆弱性が、そのまま残ります。米国のCISAは、危険な慣行を並べた「Bad Practices」の中で、重要インフラを支えるシステムでサポート切れのソフトウェアを使うことを挙げ、国家安全保障や経済安全保障、公衆衛生と安全へのリスクを高めると明記しています³。

これは重要インフラだけの話ではありません。長く使い続けて、設計した人も入れ替わり、どこをどう直せば止まらないのか誰も言い切れない。そうした仕組みは、更新が後回しになりがちです。攻撃者は、公開された手口をそのまま使えるので、更新されていない相手を探します。

私は「レガシー」を、年数ではなく更新の運用で定義するのが実態に合うと考えています。次の3つがそろわなくなったものが、レガシーです。

• 提供元のサポートが続いていて、修正が配られている
• 修正を、止めずに当てる手順と体制がある
• どこに何があるかを、一覧で把握できている

オンプレでも、この3つが守られている環境は多くあります。逆に、クラウド上であっても、昔の構成をそのまま移しただけで更新の手順が無い環境は、同じ弱さを抱えます。

オンプレに固有のリスクが2つある

置き場所の話に戻ると、自社の管理下に置くことで生じるリスクも、はっきりあります。

1つ目は物理面です。サーバー室や機器に人が近づけること自体が、攻撃経路になります。入退室の管理、機器の持ち出し、盗難、災害への備えは、すべて自社で整える必要があります。クラウドでは、データセンターの物理セキュリティは事業者の責任範囲で、AWSの責任共有モデルでも、サービスを運用する施設の物理セキュリティはAWSが担うと整理されています⁴。

2つ目は内部の人間です。IPAの10大脅威2026では、「内部不正による情報漏えい等」が組織向けの7位に入っています²。前年の4位からは下がりましたが、10位以内にあり続けています。自社で管理する環境では、管理者が強い権限を持ち、ログの保管も自分たちで行うため、本人が操作の記録を消せる構成だと、不正に気づきにくくなります。権限を分け、操作の記録を管理者の手が届かない場所へ送るといった設計がないと、「社内だから安心」という前提が、そのまま弱点になります。

クラウドにも、別の弱点がある

ここまで読むと、クラウドが勝ちだと思われるかもしれません。そうではありません。

AWSの責任共有モデルは、責任を2つに分けています。クラウドのセキュリティ（Security of the Cloud）はAWSが、クラウド内のセキュリティ（Security in the Cloud）は利用者が持ちます。利用者の責任の範囲は、選んだサービスによって決まります⁴。

つまり、基盤の物理面や、基盤ソフトウェアの更新は事業者に任せられても、次の点は変わらず利用者の仕事です。

• 誰がどのデータにアクセスできるかという権限の設計
• 公開してよい設定と、してはいけない設定の区別
• 多要素認証の徹底と、鍵や認証情報の管理
• 自社が動かすアプリケーションの更新

設定ミスで外から見えてしまった、権限が広すぎた、という事故は、クラウドで起きる典型的な失敗です。事業者が堅牢なほど、利用者側の設定が最後の弱点になります。

比較すると、こうなる

観点	更新され続けるモダンな設計（オンプレ・クラウド共通）	更新が止まったレガシーな設計
脆弱性への修正	提供元から配られ、手順に沿って当てる	配られない、または当てると止まるので後回し
入口の機器	台帳があり、期限を管理している	どこに何があるか把握しきれていない
認証	多要素認証が前提	古い認証方式が残る
操作の記録	管理者の手が届かない場所に保管	管理者が自分で消せる場所に保管
変更への耐性	自動化されていて、戻せる	手作業で、触るのが怖い

オンプレかクラウドかは、この表の列を決める要素ではありません。どちらの置き場所でも、右の列に落ちることも、左の列に入ることもあります。

提案を受けるときに確認したい7つの質問

オンプレミス型でも、クラウド型でも、システムの提案を受ける側が確認できる質問をまとめます。回答が曖昧であれば、そこが弱点です。

1. 提供元のサポートはいつまで続きますか。終了後はどうなりますか
2. 脆弱性の修正は、公開から何日以内に当てる運用ですか。実績はありますか
3. 入口になる機器（VPN、リモート接続）の一覧と、更新の期限を管理していますか
4. 多要素認証は、管理者を含めて全員に必須ですか
5. 管理者の操作の記録は、管理者自身が消せない場所に残りますか
6. 物理的な入退室と、機器の持ち出しは、どう管理していますか
7. 事故が起きたとき、誰が何時間以内に何をするか、手順と訓練がありますか

私たちが顧客に提案する側に立つときも、同じ質問に答えられる状態でいる必要があると考えています。

当社の考え方

当社のZEROCKは、AWSの国内リージョンで動かしています。基盤の物理面と更新を事業者に任せ、自分たちはアプリケーションの更新、権限の設計、操作の記録の管理に注力するという分担です。当社は、ISO/IEC 27001の認証を取得しています（登録範囲は、AIテクノロジーを活用したSaaSプロダクトの企画・開発・提供です）。

ただし、クラウドを使っているから安全だとは言えません。冒頭の7つの質問に自分たちで答え続けることが、安全に近づく唯一の方法だと考えています。

まとめ

• 「オンプレだから安全」「クラウドだから安全」という説明は、どちらも実態を捉えていません
• 警察庁の令和7年の集計では、ランサムウェアの侵入経路の66.3％がVPN機器でした。入口の機器の更新と認証が、自社側の仕事として残っています
• オンプレには物理面と内部不正、クラウドには設定と権限という、別々の弱点があります
• 分かれ目は置き場所ではなく、更新され続ける設計か、更新が止まったレガシーかです

自社の構成が今どちらに近いのか、7つの質問に答えてみるところから始めてください。基盤選びの基準づくりや、経営層を巻き込んだセキュリティ研修の設計について相談したい方は、個別相談からお声がけください。状況を伺ったうえで、一緒に考えます。

参考

本記事の数字は、警察庁・IPA・CISA・AWSの公式資料に基づいています。

Footnotes

1. 令和8年版警察白書 第3章 サイバー空間の安全の確保 — 警察庁 ↩ ↩²

2. 情報セキュリティ10大脅威 2026 決定（プレスリリース） — 独立行政法人情報処理推進機構（IPA） — 2026年1月29日 ↩ ↩² ↩³

3. Bad Practices — CISA（米国サイバーセキュリティ・インフラストラクチャ安全保障庁） ↩

4. Shared Responsibility Model — Amazon Web Services ↩ ↩²