オンプレミスとクラウドはどちらが安全？企業が見直すべき“セキュリティ対策”の判断軸

目次

• 「オンプレミス＝安全」と感じるのはなぜか
• オンプレミス運用の“難しさ”が増している理由
• オンプレミスとクラウドの“セキュリティ運用耐性”を比較する
• クラウドで安全な運用を継続するためのポイント
• おわりに
• よくある質問

「オンプレミス＝安全」と感じるのはなぜか

実は、「クラウドは便利そうだが、やはりオンプレミスのほうが安心」と感じる企業は少なくありません。長年オンプレミス環境でシステムを運用してきた企業ほど、「自社で管理している安心感」を持ちやすい傾向があります。
なぜ、オンプレミスは「安全」というイメージを持たれやすいのでしょうか。その背景には、これまでの企業システムを取り巻く環境が大きく関係しています。

●オンプレミスは「自社で管理できる安心感」がある

「オンプレミスのほうが安全」という認識は、決して根拠のないものではありません。
かつて企業システムは、社内サーバーで運用するのが一般的でした。社内ネットワークを中心に利用し、外部との接続も限定的で管理範囲が把握しやすいこともあり、「重要なデータは社内に置くほうが安全」という考え方が一般的になっていました。特に、外部サービスへの依存をできるだけ避けたいと考えてきた企業ほど、「オンプレミスのほうが安心」という印象を持ちやすかったでしょう。
また、オンプレミスは自社の運用に合わせて柔軟に構築しやすく、アクセス権限や運用ルールも自社基準で設計できます。そのため、管理対象が自社の手元にあると感じやすく、そのことが安心感につながっていた側面があります。

一方で、クラウドサービスには以前から「外部サービス」というイメージがありました。そのため、「情報漏えいは起きないのか」「障害時に利用できなくならないか」「自社でコントロールできなくなるのではないか」といった不安を抱く企業も少なくありませんでした。

●現在は「管理している」ことと「安全」が一致しなくなっている

しかし現在は、企業システムを取り巻く環境そのものが大きく変化しています。
モバイル端末の活用やクラウドサービスとの連携、外部ネットワークからのアクセスなど、場所を問わず業務を行う働き方が一般化しています。また、オンプレミス環境であっても、取引先とのデータ連携やWebサービスとの接続など、外部との接続を前提とした運用を行う企業が増えています。
こうした変化により、単純に「サーバーが社内にあるから安全」と判断することは難しくなりました。

つまり、現代のセキュリティでは、「どこにシステムがあるか」だけでなく、「どのように運用し、安全な状態を維持しているか」まで含めて考える必要があるのです。

オンプレミス運用の“難しさ”が増している理由

クラウドサービスが台頭する現代において、企業システムの「オンプレミスかクラウドか」という議論は、一見クラウドサービスのほうが優勢のように見えます。しかし、市場が一気にクラウドに移行したわけではなく、今もオンプレミス環境を継続利用している企業は多く存在しています。
また、近年はシステムを取り巻く環境が大きく変化しています。システムそのものの性能だけでなく、安全な状態を維持し続けるために求められる管理範囲や対応内容が増えており、運用担当者の負担も以前より大きくなっています。
OBCが長年、中小企業・中堅企業のバックオフィス業務を支援してきた中でも、インシデント発生時はセキュリティ対策そのものよりも運用継続の難しさが課題となることが見えています。

では、オンプレミスの場合は具体的にどのような負荷が増えるのでしょうか。

●サイバー攻撃や更新対応への継続管理が求められている

近年は、ランサムウェアをはじめとするサイバー攻撃による被害が増加しています。ランサムウェアとは、端末やサーバー内のデータを暗号化するなどして利用できない状態にし、復旧と引き換えに金銭を要求する不正プログラムです。特にここ数年は、OSやソフトウェアの脆弱性を狙って侵入し、OSの特別な管理権限を奪うことで、システム全体への感染拡大や業務停止につながるケースが増えていることから、継続的なセキュリティ対策が欠かせなくなっています。
このような状況に対し、オンプレミス環境の場合は、OSやソフトウェアのアップデート、セキュリティパッチの適用、アクセス権限の管理、バックアップ状況の確認などを、自社で継続的に実施しなければなりません。
担当者が他業務と兼務していると、日常業務を優先せざるを得ず、更新作業や管理業務まで十分に手が回らないこともあります。その結果、古いシステムをそのまま利用し続けてしまったり、必要な更新が適切なタイミングで実施されなかったりするケースも見られます。
また、長年の運用の中で、設定内容や管理手順が特定の担当者しか把握していない状態になることも少なくありません。担当者の異動や退職によって運用ノウハウが失われ、システムがブラックボックス化してしまうリスクもあります。

もちろん、適切な体制で管理できれば、オンプレミス環境は有効な選択肢の一つです。しかし、企業に求められるセキュリティ対策や管理範囲が広がる中で、安全な状態を維持し続けるための負荷は確実に高まっています。

●障害・災害時まで含めた運用耐性が必要になっている

システム運用では、日常的な管理だけでなく、障害や災害などの非常時を見据えた備えも重要です。

日本では地震や台風などの自然災害が多く、停電や機器故障によるシステム停止が発生する可能性もあります。万が一、データ消失や長時間のシステム停止が発生すれば、企業活動そのものに大きな影響を及ぼしかねません。そのため、バックアップデータの保管先管理や復旧手順の整備、定期的な復旧テストの実施など、業務継続を前提とした運用体制を整備しておく必要があります。

しかし、オンプレミス環境では、こうした対策の多くを自社で管理しなければなりません。少人数で運用している企業ほど、日常業務に追われる中で対応が後回しになりやすく、気づかないうちにリスクを抱えてしまうことになります。
実際、OBCが長年支援してきた中でも、「バックアップは取得していたが復旧確認までは行っていなかった」「担当者しか復旧手順を把握していなかった」「保守契約の期限切れに気付かず運用を続けていた」といったケースが見受けられました。こうした事例から見えてくるのは、システムの安全性は導入時の対策だけで決まるものではなく、その後も継続して管理・運用できる体制があってこそ維持できるということです。
システム選定や運用方針を検討する際には、機能やコストに加え、自社で無理なく運用を続けられる仕組みかどうかという観点も重要といえます。

オンプレミスとクラウドの“セキュリティ運用耐性”を比較する

オンプレミスとクラウドを比較する際に重要なのは、「どちらが安全か」を単純に比べることではありません。
近年はサイバー攻撃の高度化や制度改正への対応など、企業を取り巻く環境が大きく変化しています。そのため、セキュリティ対策は導入時の安全性だけでなく、その後も継続して安全な状態を維持できるかどうかが重要になっています。
かつては「オンプレミスだから安全」「クラウドだから危険」といった見方もありました。しかし現在は、システムそのものの安全性だけでなく、日々の運用や管理体制まで含めて評価することが求められています。

そこで注目したいのが、「セキュリティ運用耐性」という考え方です。オンプレミスとクラウドを比較する際は、安全性そのものではなく、「継続的に運用できる仕組み」を見ることが重要になっています。

●システムのセキュリティ運用耐性とは

セキュリティ運用耐性とは、サイバー攻撃や障害、法改正などの変化に対応しながら、企業が継続して安全に運用を維持できるためのシステム能力のことです。
例えば、次のような観点が評価のポイントになります。

＜オンプレミスとクラウドの安全性評価7要素＞

※クラウドの権限管理は、一部ユーザー側で管理するものもあります。

システムを導入した時点で十分な対策が講じられていても、その後の環境変化に対応できなければ、安全運用を継続することはできません。そのため現在は、導入時の性能だけでなく、運用面も含めてシステムを評価する視点が求められています。

●オンプレミスのセキュリティは「自社でコントロールしやすい」強みがある

オンプレミスには、自社の方針に合わせて柔軟にシステムを構築・運用できるという強みがあります。
例えば、次のような点は、オンプレミスならではのメリットといえるでしょう。

一方で、こうした自由度の高さは、そのまま運用責任の広さにもつながります。サーバー保守やOS・ソフトウェアの更新、セキュリティパッチ対応、バックアップ管理、障害対応、災害対策などを、自社で継続的に実施しなければなりません。
近年は、サイバー攻撃の手法も高度化しており、制度改正への対応スピードも求められています。そのため、限られた人員でこれらを維持し続ける負担は、以前より大きくなっているといえるでしょう。

●クラウドのセキュリティは「運用を継続しやすい」強みがある

クラウドサービスでは、システム基盤の保守や更新の多くをベンダー側が継続的に実施します。
例えば、一般的なSaaS型のクラウドサービスでは、次のような保守管理をベンダー側が継続的に対応しています。

また近年は、バックオフィス業務を取り巻く制度改正や法令対応が頻繁に発生しており、継続的なアップデートを前提としたシステム運用が強く求められるようになっています。特に、サイバー攻撃への対策は継続的な見直しが欠かせません。
このような背景から、情報システム部門の専任担当者が少ない企業や、総務・経理部門がシステム管理を兼務している企業では、自社だけで対応を抱え込まずに運用できる点を評価してクラウドを選択するケースも増えています。

●「どちらが安全か」よりも「安全を維持できるか」が重要

このように、オンプレミスとクラウドにはそれぞれ異なる特徴があり、「オンプレミスだから安全」「クラウドだから危険」といった単純な比較で判断できるものではありません。
本来、企業にとって重要なのは、システムを導入した時点の安全性だけではなく、その後も継続して安全な状態を維持できることです。
近年は、サイバー攻撃の高度化や制度改正への対応など、企業に求められるセキュリティ対策や運用管理の範囲が広がっています。その中で重要になるのは、自社の人員体制や運用負荷も踏まえながら、無理なく継続できる運用体制を構築できるかどうかです。
だからこそ、これからのシステム選定では、「どちらが安全か」ではなく、「自社が安全な状態を維持し続けられるか」という視点で考えることが重要になっています。

クラウドで安全な運用を継続するためのポイント

専任のIT担当者を置けない企業では、OSやソフトウェアの更新、サーバー監視、バックアップ管理、障害対応などを継続的に実施し続けること自体が大きな負担になりがちです。
特に近年は、サイバー攻撃の高度化や制度改正への対応などで、企業に求められる管理水準が年々高まっています。そのため、「導入時に安全かどうか」だけでなく、「安全な状態を維持し続けられるか」という視点で考えることが重要です。

その観点で見れば、システム本体の保守・運用やセキュリティ対策の多くをベンダー側に任せられるクラウドサービスは、有力な選択肢の一つといえるでしょう。

もっとも、クラウドサービスであれば何でも安心というわけではありません。ベンダーによってセキュリティ対策や運用方針は大きく異なるため、サービス選定時には次のような4つの観点を確認しておきましょう。

① ランサムウェアなどへの対策体制はどうなっているか

オンプレミス環境では、OS更新やサーバー管理、アクセス制御などを自社で担うケースも多く、運用状況によっては更新漏れや設定不備が発生する可能性があります。近年深刻化しているランサムウェア攻撃は、こうしたセキュリティ上の弱点を狙って侵入し、OSの特権を奪うことで業務停止を引き起こす傾向にあります。そのため、現在求められているセキュリティ対策では、万が一侵入されても事業停止にならないために「OSの特権をどう守るか」という視点も重要になっています。

例えば奉行クラウドでは、クラウド基盤にMicrosoft Azureを採用し、OSの特権をMicrosoft側で一元管理する構造を採用しています。ソフトウェアとクラウド基盤で権限管理者が異なるため、ランサムウェア攻撃が成立しない仕組みになっています。

また、OS更新やセキュリティパッチの適用も継続的に実施されるため、利用企業側の運用負荷軽減にもつながります。

② データ保管・バックアップ体制はどうなっているか

サイバー攻撃やシステム障害、自然災害などが発生した場合は、「データを守れるか」だけでなく「どれだけ早く業務を復旧できるか」も重要になります。

一般的なクラウドサービスでは、自社でサーバーを保有するのではなく、ベンダーが管理するデータセンターに情報を保存します。
ただし、データセンターの所在地が海外の場合、データは保管先の国の法制度に基づいて管理されるため、情報開示要請への対応方針や個人情報保護の考え方、日本国内でのサポート体制などが国内保管の場合と異なることがあります。データの保管場所はサービスによって異なるため、選定時に「どこでデータが保存されるか」「どの国の法制度の影響を受けるか」も確認しておくことが望ましいでしょう。

例えば奉行クラウドの場合、Microsoft Azureの日本国内にあるデータセンターでデータを管理しています。また、東日本・西日本の複数拠点に自動で3重化し、合計6重化のバックアップ体制を構築しています。これにより、障害や災害が発生した場合でも、サービス継続性を確保できる環境を整えています。

③ ソフトウェアに多層的な対策が施されているか

現在のセキュリティ対策では、単にウイルス対策ソフトを導入するだけでなく、ID・パスワード管理の強化や多要素認証、アクセス制御、不正アクセス監視など、複数の対策を組み合わせた「多層防御」が求められています。
クラウドサービスでは、こうした対策をベンダー側で実装しているケースが多いですが、具体的な内容はサービスによって大きく異なるため、どのような対策が講じられているのかを事前に確認することも重要です。

奉行クラウドの場合は、次のような複数のセキュリティ対策を組み合わせて運用しています。

また、アクセス制御や権限管理、操作ログなどは、利用する企業側で細かく設定・確認できる仕組みになっているため、会計システムなどに求められるIPO準備企業や上場企業が求める内部統制にも対応しています。
セキュリティ対策の内容は、情報セキュリティ基本方針とともに公開されているため、利用前に確認することができます。

④ 運用管理体制が保証されているか（第三者評価）

クラウドサービスでは、システムのセキュリティ機能だけでなく、ベンダーの運用管理体制も確認ポイントになります。しかし、運用管理は人の対応も伴うため、利用者が直接ベンダーの実態を確認することは難しいでしょう。
そこで近年は、第三者機関による認証や評価制度を参考にする企業が増えています。国際認証となるSOC報告書^※1や、日本政府向けのクラウドセキュリティ評価制度であるISMAP^※2などは、クラウドサービスのセキュリティ体制を一定の基準に基づいて評価するため、ベンダーの運用管理体制を客観的に確認することができます。
奉行クラウドは、SOC1・SOC2報告書を取得しているほか、ISMAPにも登録されています。また、ASM（Attack Surface Management）評価^※3において最高評価となるA評価を取得しており、第三者の視点からも高いセキュリティ水準が認められています。

このように、クラウドサービスを選定する際は、単に「クラウドだから安全」と考えるのではなく、セキュリティ対策や運用体制を継続できる仕組みが整っているかを確認することが重要です。

※1：SOC報告書：クラウドサービスや業務委託サービスなどを提供する事業者の内部統制・セキュリティ管理体制が適切に設計・運用されているかについて、独立した監査人が評価し、その結果をまとめた報告書。SOC1は財務報告に関係する内部統制が適切に運用されているかを評価する報告書で、SOC2はサービス全体のセキュリティや運用管理体制が適切かを評価する報告書です。

※2：ISMAP：日本政府が運用する「政府情報システムのためのセキュリティ評価制度」。

※3：ASM評価：ハッカーと同じ外部視点から、インターネット上に公開されたIT資産を調査し、潜在的な脆弱性やリスクを可視化する評価手法。

おわりに

近年はサイバー攻撃の高度化や法改正への対応、バックアップ管理、障害・災害対策など、システムを安定して運用し続けるために求められる管理業務が増えています。特に、限られた人員でシステム管理を行っている企業では、セキュリティ対策や制度対応を含めた運用負荷まで含めて検討する必要があります。
そのため、これからのシステム選定では、「オンプレミスかクラウドか」という二択で考えるのではなく、自社の体制で無理なく運用を継続できるかという視点で判断することが重要です。

奉行クラウドでは、クラウド基盤の保守・運用やセキュリティ対策、バックアップ管理、制度改正対応などを継続的に実施することで、企業が安心して業務を続けられる環境づくりを支援しています。
「現在の運用を将来にわたって維持できるだろうか」「今の管理体制で十分だろうか」と感じている場合は、一度、自社の運用負荷や管理体制を整理しながら、クラウド活用の可能性を検討してみてはいかがでしょうか。

なお、OBC360°では、クラウド運用におけるセキュリティ対策や運用管理の考え方をまとめたセキュリティ対策ガイドブックをご用意しています。自社に適したシステム運用のあり方を検討する際の参考として、ぜひご活用ください。

よくある質問

オンプレミスのほうがクラウドより安全？

オンプレミスだから安全、クラウドだから危険という単純な比較はできません。重要なのは、更新管理や監視、バックアップ、権限管理などを継続して実施し、安全な状態を維持できるかどうかです。現在は、システムそのものの安全性だけでなく、運用を継続できる体制まで含めて判断することが求められています。

クラウドならセキュリティ対策をすべて任せられる？

クラウドサービス（SaaS型）では、OSやソフトウェアの更新、脆弱性対応、サーバー監視、バックアップなどをベンダー側が実施しているケースが一般的です。ただし、すべてのクラウドサービスが同じ水準の対策を行っているわけではありません。そのため、セキュリティ機能だけでなく、継続的に安全な状態を維持するための運用体制を確認して選定することが重要です。

 奉行クラウドでは、どのようなランサムウェア対策を行っている？

奉行クラウドでは、クラウド基盤にMicrosoft Azureを採用し、OSの特別な管理権限をMicrosoft側で一元管理する構造を採用しています。これにより、OSの特権を奪って被害を拡大させるランサムウェア攻撃が成立しない仕組みを実現しています。また、OSの更新やセキュリティ対策も継続的に実施されるため、利用企業側の運用負荷軽減にもつながります。詳しくは、ホワイトペーパー「奉行クラウド セキュリティ対策ガイドブック」でも確認いただけます。

関連リンク

• 

  奉行クラウドのセキュリティ

  お客様の事業継続を支える大切な業務データを守り、安心して業務を続けられるクラウドサービスを目指します。

こちらの記事もおすすめ

• オンプレとクラウドで業務システムはどう違う？業務への影響からクラウドのデメリット解消法、利用料の内訳まで一挙解説
• オンプレとクラウドのコストを比較！中小企業が業務ソフトで選ぶならどっち？
• ［オンプレvsクラウド］比較表付き｜中小企業におすすめの業務ソフトはどっち？