[クラウドのセキュリティリスクを管理せよ]

2014年4月8日(火)日本クラウドセキュリティアライアンス

リスト

　クラウドコンピューティングは最早、特別な存在ではなくなった。ソーシャルメディアも、ネットショッピング・サイトも、ストレージサービスも、その多くがクラウドコンピューティング環境から提供されている。日本においても、大手企業が、情報システムのすべてをクラウド環境に移行する事例も急速に増えてきた。

　またBCP（Business Continuity Plan：事業継続計画）対策としても、クラウド上のデータやシステムの保全、復旧の容易さが確認されている。また緊急時ニーズに柔軟かつ迅速に対応できる点も、東日本大震災を契機に注目されたところだ。

　一方で、クラウドに対してはセキュリティ上の懸念が多数、指摘されている。特にデータ保障の視点からクラウド利用に踏み込めないといった利用企業の声を聞くことが少なくない。

　クラウドのセキュリティ課題については、すでに多くの研究と報告が出されている。「Security Guidance for Critical Areas of Focus in Cloud Computing（略称CSAガイダンス）」が、その1つだ。クラウドのセキュリティ課題に専門に取り組む国際団体であるCSA（Cloud Security Alliance：クラウドセキュリティアライアンス）が、クラウドのセキュリティ課題を体系的にまとめている。日本でも日本語訳が無料提供されている 。

　CSAガイダンスを読み込めば、クラウドのセキュリティについて過度に懐疑的・消極的になる必要がないことが分かるはずだ。そのうえで、最低限守るべき基礎的なセキュリティ対策や保護手続きを怠らなければ、クラウドをビジネスに活用することが可能になる。

クラウドのセキュリティとは何か

　では多くの企業や利用者が懸念する、クラウドのセキュリティとは何だろうか。そもそも、クラウドコンピューティングとは、ネットワーク上に集積されたコンピューティング資源を、複数の利用者が独立して同時に、必要な量と必要な時間だけ使用するためのビジネスモデルである。従来の“所有”を前提にしたITの利活用の姿を根本から変えるコンセプトとして注目された。

　クラウドは、コンピュータの所有と利用を分離することで、利用者を資金的、場所的、人的、運転費用的といった様々な負担から解放する。コンピューティング利用の敷居を下げ、全体効率を上げ、普及を加速するとともに、飛躍的に高度な利用を可能にする。

　一方で、こうした仕組みにおいて、クラウドの仕組みそのものや、複数同時利用といった構造を可能にするための技術に対し、セキュリティ上の懸念が指摘される。CSAの「CSAガイダンス」は、クラウドが生み出した新たなセキュリティ課題を3部14章（ドメイン）に整理して解説している（表1）。

　3部とは「クラウドのアーキテクチャ」「クラウドのガバナンス」「クラウドの運用」である。上述したようなリソースプール（集積した資源）や共同利用といった仕組みそのものに内在する課題を取り上げている。

　加えて、法的・制度的・商務的諸側面の課題が展開される。コンピューティングのための設備の所有者と、その機能を利用してデータを加工・処理したり保存したりする利用者が、別の主体になることに伴う課題である。そして最後に、障害可能性を整理し解説する。コンピューティング・データ処理という「機能」を動かす部分が、他者の行為に依存することに伴う実務上の懸念事項である。