英国警察の機密データ、Azure依存が突きつけた「クラウド主権」と実務のギャップです

今日の深掘りポイント

• 外国政府やクラウド事業者内部者によるアクセス可能性という“合法的リスク”と、攻撃者による“非合法リスク”を同時に扱う必要がある局面です。
• プロバイダ管理鍵の暗号化は、法的要請や特権管理者アクセスに対して十分な遮断にならない可能性が高く、鍵の外部化と二重鍵化、データ境界の徹底が要諦です。
• リスクは“制御プレーンとアイデンティティの設計”に収れんし、SASトークン、サービスプリンシパル、OAuth同意の粗い管理から実害化しやすいです。
• 監査観点は「どのデータがどの鍵で守られ、どの管轄から誰に、どの経路でアクセスできるか」をトレース可能にすることが第一歩です。
• これは新規の概念ではない一方、警察・司法データという“害の質”が重く、すぐに構成監査と鍵管理の見直しに着手すべき段階です。

はじめに

英国の40以上の警察機関がMicrosoft Azure上に犯罪記録、被害者供述、内部メール等を保管しており、米国政府や外国の攻撃者による「侵害」に脆弱だとする公式なセキュリティ評価が明らかになりました。警察は2017年のAzure採用時点で、米政府内部者がアクセス可能になり得ることを認識していたと報じられています。今日の論点は「侵入防御」だけではなく、「管轄と鍵」と「可視性」というクラウド主権の三題噺です。

編集部として強調したいのは、これは“クラウドかオンプレか”の宗教論争ではない点です。クラウドであれオンプレであれ、鍵とアイデンティティの所在、制御プレーンの統制、そしてログの検証可能性が揃ってはじめて、法的・攻撃的双方のアクセスからデータを守れるのだということです。

深掘り詳細

事実関係（公表情報から確認できること）

• 英国の警察データがMicrosoft Azureに保管され、米政府や外国アクターによる「侵害」に脆弱だとする公式評価が存在することが報じられています。対象データには犯罪記録、被害者の供述、内部メール等が含まれ、40以上の警察機関が関与しているとされています。2017年のAzure採用時に米政府内部者によるデータアクセスの可能性が認識されていたと報じられ、専門家はリスクが現在も継続していると指摘しています。加えて、英国政府がMicrosoftに年間少なくとも19億ポンドを支出しているとの文脈も報じられています。これらはザ・ガーディアンの取材によるものです。
  参考: The Guardianの報道

注記として、この段階で“侵害（compromise）”は「可能性（vulnerability）」としての指摘であり、実際の不正アクセスが確認されたという断定的事実は示されていない点に留意が必要です。

インサイト（編集部の視点）

• 本件の本質は「プロバイダの特権管理者や法的要請が到達できるレイヤを、技術的・運用的に遮断できているか」に尽きます。プロバイダ管理鍵の暗号化は運用上の利便性が高い一方、法的要請や内部者の特権経由で復号可能性が残る設計になりがちです。顧客管理鍵（CMK）、外部鍵管理（EKM/HYOK）、二重鍵暗号（DKE）のように“鍵の一部が自組織外に出ない”構成にして初めて、プロバイダ側からの単独アクセスを実効的に抑止できます。
• もうひとつの盲点は「制御プレーンの脆弱さ」です。攻撃者はデータのあるストレージから直接盗むより、Azure AD/Microsoft Entra ID、サービスプリンシパル、SASトークン、OAuth同意といった“入口の鍵束”を狙います。ここが粗いと、暗号化の強度やデータ境界の議論が一気に空洞化します。
• メトリクスが示す“信頼性・確度の高さ”と“発生確率の高さ”は、技術的な新奇性よりも「組織設計と契約・鍵管理の緩み」が主要因であることを示唆します。つまり、解決手段は特殊なゼロデイ対応ではなく、可視化・鍵管理・アイデンティティ統制・契約条項の再設計という地に足のついた対策に集中すべき局面です。
• 警察・司法データ特有の“害の深さ”も押さえるべきです。機微な被害者・証人情報、捜査機密、潜入・監視手法が露出すれば、個人安全と捜査の実効性に長期の損害が残ります。データ主権の議論は理念ではなく、現場安全の議論そのものです。

脅威シナリオと影響

以下は仮説に基づくシナリオですが、警察・司法データの性質とクラウド利用の一般的なリスクから組み立てています。MITRE ATT&CKの参照は代表的な技法の例示です。

• シナリオA：プロバイダ内部者または法的要請によるアクセス
  概要: プロバイダ特権アカウントやサポート経路、あるいは法的要請を通じてデータにアクセスされる想定です。顧客管理鍵や二重鍵で技術的に遮断できていない場合、データが平文または復号可能な形で移転されるリスクがあります。
  想定TTP:

  • Collection: Data from Cloud Storage (T1530)
  • Exfiltration: Exfiltration Over Web Services (T1567.002)
    影響: 被害者・証人秘匿性の喪失、進行中捜査の危殆化、国際共助の信頼低下です。

• シナリオB：アイデンティティ経由の侵入（攻撃者）
  概要: フィッシングやサプライチェーンからクラウド管理者の資格情報やトークンを奪取し、サブスクリプションやKey Vault、ストレージに横展開します。SASトークンの過剰権限・長期有効化、サービスプリンシパルの秘密管理不備が踏み台になります。
  想定TTP:

  • Initial Access: Phishing (T1566), Valid Accounts – Cloud (T1078.004)
  • Credential Access: Unsecured Credentials/Private Keys (T1552.004)
  • Persistence/Privilege Escalation: Abuse of Cloud Roles/Permissions（T1098, T1078.004の組合せ）
  • Collection: Cloud Storage Discovery (T1087/Discovery系), Data from Cloud Storage (T1530)
  • Exfiltration: Exfiltration Over Web Services (T1567.002)
    影響: 大量のケースファイル・証拠画像・通話記録の抜き取り、ケース改ざんや証拠汚染の恐れです。

• シナリオC：アプリ同意グラントとAPI濫用
  概要: 悪意のOAuthアプリに管理者が同意、もしくは既存アプリの機密情報が漏えいしてGraph/API経由で継続的に収集されます。監視が疎なバックグラウンド処理は検知遅延を生みやすいです。
  想定TTP:

  • Initial Access: OAuth Consent Grant Abuse（ATT&CK該当はCredential Access/Defense Evasionの複合。実務上はT1550.001 Use of Stolen Tokens等）
  • Collection: Automated Collection (T1119), Data from Information Repositories (T1213)
  • Exfiltration: Automated Exfiltration (T1020), Exfiltration Over Web Services (T1567.002)
    影響: メール、ドライブ、メタデータの継続的収集により、捜査関係者ネットワーク全体が可視化されるリスクです。

• シナリオD：SASトークンと公開エンドポイントの悪用
  概要: 長寿命・全権限のSASトークンやパブリックエンドポイントが残存し、第三者が大容量の証拠データをダウンロードします。
  想定TTP:

  • Discovery/Collection: Gather Victim Identity/Cloud Resources (T1589/T1530)
  • Exfiltration: Exfiltration Over Unencrypted/Weakly Authenticated Channel（T1048/T1567.002の変種）
    影響: 証拠チェーンの崩壊、裁判での証拠能力争い、広報・政治的打撃です。

総じて、ここでの“確率が高いのに新規性が低い”というメタ評価は、既知のアイデンティティと鍵の運用不備が主因であることを示しています。技術的に難解な新装置より、運用・設計の徹底が成果を生みやすい局面です。

セキュリティ担当者のアクション

“すぐやること”と“構造を変えること”を分けて、優先度で進めると効果が出ます。

• 即時（0–30日）

  • データ目録と鍵の対応表を作る（どのデータがどの鍵で、どこに保管され、誰がアクセスできるか）です。特に被害者・証人・機密捜査に関わるデータを優先し、顧客管理鍵で守られていない資産を洗い出します。
  • 制御プレーンの緊急監査です。全グローバル管理者・特権ロール・サービスプリンシパル・マネージドID・アプリ同意の棚卸と、不要権限の即時剥奪を行います。
  • SASトークンの全検索と失効です。長寿命・広範アクセスのトークンを廃止し、必要最小権限・短期発行・ユーザーデリゲートに統一します。
  • 監査ログの完全性確認です。クラウド監査ログの保存期間延長、不変化（WORM）ストレージ、アラート閾値の見直しを行います。

• 短期（30–90日）

  • 鍵管理の外部化と二重鍵適用です。ストレージ、データベース、メール/ファイルについて顧客管理鍵（CMK）へ移行し、最高機密は二重鍵や外部鍵（EKM/HYOK）で“プロバイダ単独不可”を技術的に実現します。
  • データ境界の強化です。地域レベルのデータ境界に加え、ネットワーク境界（Private Endpoint/Private Link等に相当する機構の全面適用）、サブスクリプション分離、ケース種別ごとのセグメント化を行います。
  • 顧客ロックボックス相当の機構の有効化です。プロバイダのサポートアクセスを事前同意制かつ記録義務化し、例外プロセスを経営レベル承認に引き上げます。
  • OAuth同意を原則ブロックし、明示審査・承認フローに移行します。既存アプリの権限スコープを見直し、最小化します。

• 中期（3–12か月）

  • 機密データのアプリケーションレベル暗号化です。フィールド/レコード単位でエンベロープ暗号を実装し、鍵はHSM由来の分離ドメインで保持します。ログや検索の要件に合わせ、トークナイゼーションや形式保持暗号を活用します。
  • 機密処理の分離実行です。機械学習・解析用途は匿名化・合成データ・安全領域（TEE/機密計算に相当）に移し、実データは最小限にします。
  • 主権リスクの契約組み込みです。データ所在地、鍵所在、政府要請時の通知義務・争訟方針、監査権限と証跡提供を契約に明記します。
  • ブルーチーム成熟化です。クラウドIAMのユースケース検知（特権ロール付与、コンセント付与、SAS発行、Key Vault操作、サインイン異常）を24/365化し、レッド/パープルチーム演習でSAS・サービスプリンシパル・OAuth・Key Vaultを中心に“抜け道”を実証します。

• 組織・ガバナンス

  • “合法アクセス脅威モデル”を明文化します。法的要請や相互法執行支援に伴うアクセスパスを技術的に制御・可視化する責任分界を整理します。
  • データ最小化と保存期間の短縮です。機密データの不要複製を排除し、保存目的終了時に確実に削除できる技術・運用を整備します。
  • 公的機関間の相互運用を“暗号前提”に再設計します。共有は平文ではなく、鍵共有・属性ベース暗号・ポリシー実行を通じて実現します。

最後に、この問題は“クラウドをやめるか”の問いではありません。クラウドであっても、鍵の外部化、境界の明確化、制御プレーンの厳格運用、監査可能性を高めることで、法的・攻撃的双方のアクセスから守る「設計に基づく主権」を獲得できるはずです。現場の安全と信頼を取り戻す一手は、常に設計と運用の丁寧さに宿ると肝に銘じたいです。

参考情報

• The Guardian: Sensitive UK police data ‘vulnerable to compromise’ by US government and foreign actors（2026-09-18） https://www.theguardian.com/uk-news/2026/sep/18/sensitive-uk-police-data-vulnerable-to-compromise-by-us-government-and-foreign-actors