米クラウドセキュリティアライアンスの設立者が来日―クラウドのセキュリティ実態と、標準化を語る

諸角昌宏 - 2009年12月14日(月) 12:16

　ASP・SaaS 促進協議会（ASPIC)は12月8日、特別ミーティングを開催した。ここではその目玉の一つである米クラウドセキュリティアライアンス（CSA）のJim Reavis氏の講演をレポートする。タイトルは、「Securing the Present and Future of Cloud Computing(クラウドコンピューティングのセキュリティを高める)」。内容は（１）「クラウドコンピューティングの概要とCSAの取り組み、（２）2009年4月にリリースした「CSAガイダンスの概要」だった。以下、それぞれの内容について述べていく。（なお、Jim Reavis氏については本文末の注1参照）。

クラウドコンピューティングとCSAの取り組み

　クラウドコンピューティングは、大きな変革ととらえるべきである。インターネットが接続性に対する革新であったことに対して、クラウドコンピューティングはIT資産の所有から利用へという変革をもたらしている。そのような中で、クラウドコンピューティングの定義もまたさまざまにあり、混乱させている面もある。 CSAでは、クラウドコンピューティングをレイヤーモデルで表現し、それをクラウド参照モデルとして定義している。これはSaaS、 PaaS、 IaaSという3つの大きな展開形態をS-P-Iモデル（SaaS、 PaaS、 IaaSの頭文字を取った名前）として、それぞれIaaSを基盤、PaaSをIaaS上のミドルウエア、SaaSをPaaS上の完成したアプリケーションという形で表現したものだ。このS-P-Iモデルとセキュリティの関係を示したものが下図である。IaaSでは、セキュリティを利用者が自ら作りこむ必要があるが、SaaSではRFPとしてセキュリティの要件定義を行い、事業者に対して求めていく。

図　S-P-Iモデルとセキュリティの関係

　CSAでは、2009年4月にリリースした最初のガイダンスを始めとして、クラウドセキュリティとして考えなければならない問題点の明確化と、それに対するガイダンスを提供するということを進めている。さらに、さまざまな団体（ENISA、 ISACA、 OWASPなど）と協業し、標準化への取り組みも行っている。現在の活動としては、さまざまなグループが産業界、政府などとの協業を進めるとともに、ガイダンスをグローバルに広める活動を行っている。また12月15日にはガイダンスのVersion 2.0をリリース予定である。

CSAガイダンスでは15領域のセキュリティを記述

　CSAガイダンスのVersion1.0では、15のドメインに渡ってさまざまな角度からクラウドセキュリティについて記述している。このドメインは大きく2つの観点から分けられており、１つはガバナンス、もう1つは技術的な運用の観点である。ここでは、次の3点を強調しておきたい。

　第1は、クラウドコンピューティングにおける法律上の問題、特に資産の扱いである。クラウド事業者によるサービスが終了した場合、どのように資産を回収するかということを確保しておくことが重要である。またクラウド環境では、データの2次利用が行われる可能性があるが、この場合においても、2次利用の範囲等を明確にする必要がある。つまり、いかにしてクラウド利用者の資産を保護するかが重要である。

　第2は、クラウドコンピューティングにおける移植性と相互運用性。これは簡単には解決できず、今後10年程度の長期にわたって検討し続けなければならない重要な問題ある。PaaS事業者のアーキテクチャに依存するような状況になると、データの移植性が確保できなくなる可能性がある。いわゆるLock-Inという状況になってしまうのだ。利用者からすれば、いかにLock-Inになる可能性を最小化するか、注意深いデザインが必要とされる。またクラウド事業者間の競争の中で、オープン標準が重要になるだろう。

　もう一つは、仮想化アーキテクチャにおけるセキュリティをどのように維持するか、である。特に、一番大きな問題はプロビジョニングであり、例えばウイルス等に侵された仮想マシンが提供されてしまうことをどうやって防ぐかを考えなければならない。クラウド環境だからといってすべてを事業者任せできるわけではなく、管理の重要性を理解しておく必要がある。

Q&Aでは、国際標準と実質標準の整合などが話題に

　次に、講演後において上がった質疑応答の状況を紹介しよう。まず、国境を越えたクラウドコンピューティングの問題にどのように対処していくかという点。 Reavis氏の回答は「難しい問題だが、国内をベースにしたプライベートクラウドでの展開を行いながら、パブリッククラウドのソリューションに移行していくという方法が考えられる」とのことだった。

　日本では個人情報保護の観点から、クラウドの利用が困難であるという指摘もあった。これについては、「データの暗号化や鍵管理で対応する方法が考えられる。EUでは、クラウド環境での問題点を基にデータ保護に関して法律で対応を行っている。それを参考にした政策があり得るのではないか」と回答した。

　Lock-Inや移植性に関しても質問があった。「オープンな標準化が重要だと思うが、実際にはデファクト・スタンダードが先行してしまう可能性はどうか？」というものである。Reavis氏はこれに対して、「重要な問題として、CSAを含めて検討を進める必要があると認識している」と回答。続けて、「米国ではRight Scaleという会社がクラウドの移植性に関してミドルウエアの管理を行っている」という話もあった。

　CSAのガイダンスの内容が多すぎるという点に関しては、「2009年の第一四半期にはガイダンスの適用に関するチェックリストやエグゼクティブ・サマリーの提供を予定している」と語った。

　最後に、CSAの日本における取組みについて簡単にふれておく。CSAはASPICと提携しており、ASPICはCSAセキュリティガイダンスの日本語版を制作した。これは近く、インプレスR&D社から、電子出版の形で発行される予定である。

　一方、CSAに対する日本でのディスカッションおよびそれに基づくCSAへのフィードバックの場として、Google Groupを開設している。ここで議論される内容はASPICを通してCSAにフィードバックされる予定である。このグループは登録制となっているため、クラウドセキュリティに関係する人、興味のある人の積極的な参加をお願いしたい。

注１）Jim Reavis氏は、CSAの協同設立者であり、CSAが提供しているクラウドセキュリティ・ガイダンスの執筆者の1人である。CSAの認知度は日本でもかなり高まってきており、クラウド関連のセミナーなどにおいてCSAの活動や内容を紹介する方が増えてきている。ここでCSAを簡単に紹介すると、セキュリティ面からクラウドコンピューティングに関するガイダンスを作成・発行し、その活用促進を目的とするNPOである。2009年4月に最初のガイダンスである”Security Guidance for Critical Areas of Focus in Cloud Computing”の提供を開始し、現在さまざまなメンバーによる普及活動、地域ごとのディスカッション、そしてVersion2.0に向けての作業が進められている。