「様々なタイプのソフトウェアやシステム、機器、そしてサービスが柔軟に連携する時代において、信頼性とセキュリティはどうあるべきか」…。これを議論し、具体策を提言する研究会を経済産業省が発足させた。名称は、「高度情報化社会における情報システム・ソフトウェアの信頼性及びセキュリティに関する研究会」とやたら長いが、略称は「信頼性研究会」である。
背景
ITの過剰品質問題にメス
信頼性研究会が発足した背景は大きく分けて2つある。一つが「情報システムは、あらゆる意味で社会インフラを支えるインフラ、つまりインフラの中のインフラである」というものだ。金融や運輸業、行政機関など公共的な企業、組織のシステムに障害や問題が発生すると、影響は広範かつ深刻になる可能性が高いから、これは当然だろう。
より大きいのは、過剰品質の問題だ。本誌前号のコラム「木内里美の是正勧告」でもあったように、システム障害を未然に防ぐことは重要だが、完全に防止できないのは周知の事実。そうである以上、障害発生時の対策に力を入れるべきという考えが成り立つ。ところが多くの場合、障害を起こしたことが批判の的になるため、そうはいかないのが現実である。
結果として、IT投資が高額になったり、硬直的な運用を余儀なくされるケースが少なくない。放置すれば社会全体が負担するコストが高止まりし、SOAやSaaS、クラウドといった新たなITの活用でも後れをとりかねない。日本全体の競争力に影響する恐れがあるのだ。
目的
IT取引を適正化へ
図1を見ていただきたい。日本におけるシステム開発は一般に、この図の一番左側、つまりベンダーに要件定義以降の工程を委託する形をとる。このことが「費用はこれだけ。後はベンダーの努力で信頼性の高いシステムを構築して欲しい」といった、ユーザーからベンダーに対する品質を含めた過剰な要求を生む。プロジェクト途中で追加要件が発生しやすい原因でもある。
一方、米国では多くの場合、相当数の要員を擁するシステム部門が要件定義はもとより外部設計までを担う。米国内のベンダーやインドなどのオフショア・ベンダーは外部設計の要件を満たすべく、システム開発やテストに専念する。担当領域が明解であるため、ベンダーにはソフトウェア開発力を高めようとするインセンティブが働く。
この状況に対し信頼性研究会が目指すのが、ベンダーとユーザーの契約を適正化する中間的な「標準モデル」だ。ユーザーの役割を増やす分、ベンダーにはソフトウェアエンジニアリングの追求や技術力の強化を促す構図である。「信頼性」や「セキュリティ」に名を借りてはいるものの、日本のITのあり方の本質を再検討すると言える。
それに留まらない。SOAやSaaS、クラウドといったITの流れを考慮すると、ユーザーの役割、ベンダーの役割はともに今まで以上に大きくなる（図1の右側）。そこで企業の枠を超えた、業務プロセスの標準化やデータの標準化などに踏み込む計画もある。
検討内容
目玉は「信頼性モデル」の構築
単に「要件定義まではユーザーの役割」などと、主張したり決めたりするだけでは、何も変わらない。そのため経産省は、これまで「情報システムに関わるモデル契約書」、「情報システムの信頼性評価ガイドライン」、「非機能要求グレードの確立・可視化」といった様々なドキュメント・報告書を策定してきた。ユーザー自身が要件や信頼性にコミットし、その上で契約を結べるようにするための施策群である。
信頼性研究会は、そうした既存のドキュメントの改訂・強化を担う委員会などと連携しながら、1情報システムやソフトウェアの社会的役割の明確化、2企業や組織が留意すべきことの整理、3ユーザー・ベンダー双方にメリットのある役割分担と契約方式に関する提言、4ユーザー、ベンダーがともに活用可能なソフトウェア・メトリクス（管理指標）のあり方などについて、改めて検討・整理し、報告書としてまとめる（図２）。
その一つが、上記の1や2に関わる「信頼性モデルの構築」だ。一口に情報システムといっても、極めて高い信頼性が必要な公共・社会インフラ的なシステム、そこまでの信頼性は必要ない一般企業のシステム、信頼性よりも稼働時期が優先するシステムなど、用途によって求められる信頼性は異なる。そこで一定の基準を設けて必要な信頼性を分類し、それぞれに要するコストの目安や、信頼性を可視化するための項目をリストアップするというものである。
一般的な人月工数ベースの料金契約に代わるパフォーマンスベース（成果報酬）契約を検討する研究会や、社会的に重要なインフラに絞って信頼性を検討する研究会も並行して開催する。高信頼システムの設計手法である「フォーマル・メソッド（形式仕様記述）」や、信頼性はもとより経済合理性からも理があるパッケージ製品の活用にも、議論の焦点を当てる模様だ。
成果
信頼性に関する国際標準に寄与
あまり知られていないが、海外では情報システムの信頼性に関わる標準作りがすでに進んでいる。欧州はSecurISTプロジェクトと呼ばれる「2010年以降を見据えた情報通信技術のセキュリティと信頼性に関する研究戦略」を、米国では国防総省や国土安全保障省が「ソフトウェア・アシュアランスにおけるセキュリティの構築／ソフトウェア・アシュアランス・プログラム」を実施している。「ソフトウェア開発中に悪意のあるプログラムが組み込まれる可能性を排除する」といった、日本では考えにくい信頼性要件も含むプログラムである。
それらの成果はISO/IEC 25000（ソフトウエア工学−ソフト・プロダクトの品質要求と評価−）としてまとめられているが、日本はこれまでのところ蚊帳の外。研究会では、こうした海外の動きに歩調を合わせ、信頼性やセキュリティに関する国際標準化の動きに提言を行っていく考えだ。
