会計システムや給与システム、グループウェアなど、多くの業務システムがクラウド化され、企業規模を問わずクラウドサービスの利用は“当たり前”になりつつあります。一方で、「データがどこに保管されているのか分からない」「本当に安全なのか判断できない」と不安を感じる声も少なくありません。
確かに、クラウドサービスを検討する際、データの保管場所は重要なセキュリティ確認項目の一つですが、安全性は保管場所だけで判断できるものではありません。データをどのような体制で保護し、障害やインシデント（情報セキュリティ上の事故や不正アクセスなどの出来事）発生時にどう復旧するのかといった運用面まで確認することが重要です。
そこで今回は、クラウドサービスの安全性を見極めるために確認したい「判断軸」について解説します。
＜3文でわかる！この記事のポイント＞
クラウドサービスの選定時は、多くの方が「データの保管場所」を気にしています。しかし、安全性を判断するには、保管場所だけでなく、バックアップ体制や障害復旧体制、情報開示など、運用体制全体を確認することが重要です。本記事では、OBCが提唱する「クラウドサービスを比較・評価する際に確認したい判断軸」をもとに、安全性を見極めるためのポイントを解説します。
クラウドサービスに不安を感じる理由は、「クラウドだから危険」ということでも、システムそのものの性能やセキュリティ機能が期待にそぐわないことでもありません。
多くの場合、不安の背景にあるのは、サービスの管理状況が利用者からは見えにくいことです。
オンプレミス環境であれば、自社でサーバーを管理するため、データの保管場所や運用状況を把握しやすいという特徴があります。一方、クラウドサービスでは、サービス提供事業者（ベンダー）が設備を管理するため、利用者がその実態を直接確認することはできません。
また近年は、大手クラウドサービスでも障害が発生し、業務に影響が及んだ事例が報道されています。こうした情報に触れることで、「自社のデータはどのように管理されているのか」「万が一の際も安全なのか」と疑問を抱く担当者も少なくありません。
特に管理部門や情報システム部門は、日常的にシステムを利用する立場であると同時に、会社全体のリスク管理を担う立場でもあります。そのため、「便利だから導入する」という視点だけでなく、「万が一の際に企業として説明責任を果たせるか」という視点でクラウドサービスを評価することが求められます。
例えば、経営層から「データはどこで管理されているのか」と聞かれたとき、明確に説明できるでしょうか。また、取引先からセキュリティ対策について確認を求められた際、自社が利用するクラウドサービスの管理体制を把握できているでしょうか。
こうした説明責任を果たすためにも、クラウドサービスの「データの保管場所」を確認しておくことは重要な意味を持つのです。
クラウドでのデータの管理体制を確認する際、まず把握しておきたいのは、企業データがどこで保管・管理されているのかという点です。
会計データや人事情報、給与情報など、企業が扱う情報には機密性の高い情報が含まれています。そのため、データ管理は単なるシステム管理の問題ではなく、企業活動そのものに関わる重要な経営課題といえます。
また、データの保管場所は、情報漏えい対策や法令対応、障害発生時の影響範囲など、さまざまな企業リスクとも関わっています。
ここでは、データの保管場所が企業リスクにどのような影響を及ぼすのかを整理していきます。
企業のシステムには、従業員情報や給与情報、顧客情報、取引先情報など、多くの機密情報が保管されています。これらの情報が漏えいした場合、企業は単なる情報流出にとどまらず、信用の低下や損害賠償請求、取引停止など、事業に大きな影響を受ける可能性があります。
近年はサイバー攻撃が高度化しており、大企業だけでなく、中小企業も攻撃対象となっています。そのため、クラウドサービスを利用する際には、「どのような環境でデータが管理されているのか」「物理的なセキュリティ対策はどのようになっているのか」といった点を確認することが重要です。
データの保管場所を把握することは、こうした情報保護体制を確認するための第一歩といえるでしょう。
企業が保有する情報は、自社のためだけに管理しているものではありません。個人情報保護法をはじめとする各種法令への対応はもちろん、取引先や株主、監査人などに対して、適切な管理体制を説明する責任も求められます。
例えば、社内規程やグループポリシーによって、利用できるクラウドサービスの条件を定めている企業もあります。また近年は、取引開始時にセキュリティチェックシートへの回答を求められるケースも増えています。その中には、データの保管場所や管理体制について確認する項目が含まれていることも少なくありません。
「問題なく利用できているから大丈夫」ではなく、「どのような環境でデータが管理されているのか」を説明できる状態にしておくことが重要です。データの保管場所を確認することは、企業としての説明責任を果たすうえでも重要な意味を持ちます。
停電や通信障害、設備故障などによって、システムが利用できなくなるリスクは常に存在します。日本は、地震や台風などの自然災害が多い国です。会計システムや給与システムなどの基幹業務システムでは、データにアクセスできなくなるだけでも、企業活動に大きな支障をきたします。そのため、データがどの地域で保管・管理されているのかを把握しておくことは、災害や障害が発生した際の影響を考えるうえで重要な情報となります。
また近年は、停電や自然災害だけでなく、ランサムウェアをはじめとするサイバー攻撃によってシステムが停止し、業務継続に大きな影響が及ぶ事例も発生しています。
このように、災害や障害、サイバー攻撃によって業務が停止するリスクを考えるうえでも、データの保管場所を確認することは重要な判断材料の一つとなります。
会計データや人事情報など企業活動の根幹に関わる情報を扱うシステムでは、「データがどこの国で保管・管理されるのか」を確認することは欠かせません。実際、法令対応や情報管理の観点から、国内データセンターを利用していることを選定条件としている企業も多く存在します。
しかし、データの保管場所だけではクラウドサービスの安全性を判断することは難しいものです。ましてや、近年はランサムウェアや不正アクセスなどのサイバー攻撃も高度化しています。攻撃を防ぐ仕組みだけでなく、万が一被害を受けた場合でも、影響を最小限に抑えながら業務を継続できる体制が整っているかも重要な判断ポイントになります。
このように、クラウドサービスを評価する際には、保管場所だけでは見えない運用体制にも目を向ける必要があるのです。
国内データセンターを利用しているクラウドサービスであったとしても、ベンダーが異なれば運営体制は全く異なります。24時間365日の監視体制を整備しているベンダーもあれば、障害対応を限定的な体制で運営しているベンダーもあります。また、サーバー機器の冗長化やバックアップの取得方法、災害発生時の復旧体制など、それぞれ考え方や運用方法が異なります。
このように、利用企業から見れば同じ「国内保管」であっても、実際の運用品質には大きな違いがあります。保管場所が同じだからといって、同じレベルの安全性や可用性が確保されているとは限らないのです。
企業がクラウドサービスに期待しているのは、データを保管することではありません。会計処理や給与計算などの業務を、必要なときに滞りなく実行できることです。そのため、クラウドサービスを評価する際には、データの保管場所だけでなく、安定して利用し続けられる運用体制まで確認することが重要です。
仮に、国内データセンターで運用されていたとしても、障害が発生して長時間サービスが停止すれば、会計処理や給与計算、販売管理などの業務に大きな影響を及ぼします。企業活動を支える基幹システムとしてクラウドを利用する以上、「どこに保管されているか」だけでなく「障害やトラブルが発生した際の復旧体制はどうなっているか」という視点も欠かせません。
データセンターの所在地は確認すべき項目の一つですが、それだけでクラウドサービスの安全性を判断することはできず、バックアップ体制や障害復旧体制、第三者認証なども含め、総合的な視点で評価することが重要なのです。
では、クラウドサービスを選定する際には、具体的にどのような点を確認すればよいのでしょうか。
重要なのは、データがどこに保管されているかだけでなく、障害や災害、サイバー攻撃が発生した場合でも、安全に業務を継続できる体制が整っているかを総合的に確認することです。
ここからは、データ管理の視点から、クラウドサービスの比較検討時に押さえておきたいポイントを紹介します。
| 見るポイント | 概要 |
| データセンターの所在地 | データの保管場所や準拠法などを確認する |
| バックアップ体制 | バックアップ方法や復旧可否を確認する |
| 障害・災害時の復旧体制 | 障害やサイバー攻撃発生時の対応・復旧体制を確認する |
| セキュリティ認証・第三者評価 | 第三者認証や監査状況を確認する |
| 情報開示の透明性 | 公開されているセキュリティ情報や運用情報を確認する |
データセンターの所在地は、災害リスクや法規制、通信環境などに影響します。
例えば、海外のデータセンターを利用しているサービスでは、保管先の国の法制度やデータ保護ルールの影響を受ける可能性があります。そのため、利用規約や契約内容によっては、企業が想定していない形でデータが扱われることも考えられます。
また、国内に設置されている場合でも、地震や洪水などの自然災害を想定した立地になっているか、複数拠点で運用されているかによって、安全性は異なります。
重要なのは所在地だけではありません。そのデータセンターが、どのような設備や運用体制で管理されているかまで確認することが大切です。
業務システムで扱う情報は、企業にとって日々蓄積される重要な資産です。システム障害や自然災害などによってデータが失われる可能性は、ゼロではありません。そのため、クラウドサービスでは、データを安全に保管するだけでなく、万が一の際に復旧できる仕組みが整っていることも重要です。
実際、「バックアップは取得しているか」「どの時点まで復元できるか」「復旧にはどの程度の時間がかかるか」といった点を確認したいという声も少なくありません。クラウドサービスを選定する際は、バックアップの有無だけでなく、取得方法や保管方法、実際に復元できる運用体制まで確認しておくことが重要です。
バックアップは、障害や災害などの万が一の事態に備え、データを守るための重要な仕組みです。ただし、バックアップがあるだけでは十分とはいえません。実際にどのようにデータを復旧し、業務を再開するのかについては、次の「障害・災害時の復旧体制」もあわせて確認することが重要です。
クラウドサービスを選定する際は、障害や災害が発生しないことだけでなく、万が一発生した場合に、「どのような体制でサービスを復旧し業務を継続できるのか」を確認することが重要です。
ベンダーによって、障害や災害への備え方は異なります。例えば、サーバーやデータセンターを冗長化しているか、障害発生時にどのような手順で復旧を進めるのか、どの程度の時間でサービスを再開できるのかといった点は、事前に確認しておきたいポイントです。
また、バックアップを取得していることと、実際にデータを復元できることは別です。復元手順が整備され、障害発生時には迅速に復旧できる運用体制になっているかも確認しておきたいところです。
クラウドサービスの安全性を判断する際は、「障害を起こさないこと」だけでなく、「障害が発生した場合でも、データを復元し、速やかに業務を再開できること」にも目を向けることが重要なのです。
クラウドサービスの安全性は、ベンダーの説明だけで判断することは容易ではありません。そのため、第三者機関による認証や監査結果も重要な判断材料となります。
代表的なものとしては、ISMS認証（情報セキュリティマネジメントシステム）やSOC報告書、ISMAPなどがあります。これらは、情報セキュリティに関する管理体制や運用状況について、一定の基準に基づく評価を受けていることを示すものです。
もちろん、認証を取得しているからといって、万全な安全性が保証されているわけではありません。重要なのは、認証取得後も継続的に運用改善が行われているかという点です。定期的な更新審査や監査を受けているか、認証が有効な状態で維持されているかも確認しておきましょう。
クラウドサービスを長期間安心して利用するためには、ベンダーが運用情報を適切に開示しているかどうかも確認しておきたいポイントです。
例えば、データセンターの所在地やセキュリティ対策の概要、バックアップ体制、障害発生時の対応方針、稼働状況（SLA）などを公開しているベンダーであれば、利用企業は客観的な情報をもとにサービスを評価できます。
また、障害が発生した場合に、その事実だけでなく、影響範囲や原因、復旧までの経過を適切に公表しているかも重要です。障害の有無だけでなく、発生後にどのように対応し、再発防止へ取り組んでいるかを確認することで、ベンダーの運用品質や説明責任に対する姿勢を把握できます。
機能や価格だけでなく、必要な情報を継続的に公開しているかという点も、クラウドサービスを比較・評価する際の重要な判断材料になります。
ここまで見てきたように、クラウドサービスはデータの保管場所だけでなく、運用体制やバックアップ体制、第三者認証、情報開示の状況まで含めて総合的に評価することが重要です。
ここでは、奉行クラウドを例に、クラウドサービスのセキュリティ運用がどうなっているか見てみましょう。
奉行クラウドの場合、クラウド基盤にはMicrosoft Azureを採用しており、データは日本国内にあるMicrosoftのデータセンターのみで保管されています。国内法が適用される環境で管理されるため、保管場所を重視する企業にとっても安心して導入を検討しやすい運用体制となっています。また、データは自動的に3重化して保存され、遠隔地のデータセンターにも3重化して複製されます。合計6重化のデータ保管体制を採用することで、予期せぬ障害や災害が発生した場合でも、サービスを継続できる環境を整備しています。
さらに、OSの「特別な管理権限」はMicrosoftが一元管理しており、OBCを含む第三者がアクセスできない仕組みを採用しています。OSの脆弱性対策もMicrosoftが直接実施するため、常に最新の状態が維持され、ランサムウェアなど近年のサイバー攻撃への対策強化にもつながっています。
また、奉行クラウドでは、ソフトウェアの対策として通信の暗号化やアクセス制御など、多層的なセキュリティ対策を独自に実施しています。
これらの対策に加え、第三者機関による認証や評価も取得しています。Microsoft Azureが取得している各種国際認証に加え、奉行クラウドとしても「SOC1 Type2」「SOC2 Type2」の取得、ISMAP（政府情報システムのためのセキュリティ評価制度）登録のほか、ASM評価で最高グレード「A評価」を取得しており、重要な業務システムを安心して利用できる基盤を整えています。
※SOC1、SOC2：クラウドサービスや業務委託サービスなどを提供する事業者の内部統制・セキュリティ管理体制が適切に設計・運用されているかについて、独立した監査人が評価し、その結果をまとめた報告書。SOC1 Type2はアウトソーシング事業者が委託されている業務のうち、委託会社の財務報告に係る内部統制が適切に運用されているかを評価する報告書で、SOC2 Type2は一定期間におけるクラウドサービス会社のセキュリティの内部統制を評価する報告書です。
※ISMAP：日本政府が運用する「政府情報システムのためのセキュリティ評価制度」。
※ASM評価：ハッカーと同じ外部視点から、インターネット上に公開されたIT資産を調査し、潜在的な脆弱性やリスクを可視化する評価手法。
奉行クラウドでは、こうしたセキュリティ体制の詳細を、ホームページで公開しているほか、ホワイトペーパー「奉行クラウド セキュリティ対策ガイド」でも詳しく確認できます。
このように、データの保管場所はもちろん、どのようにデータを管理しているか、復旧体制はどうなっているか、第三者評価や情報開示なども含めて総合的に比較・検討することが、安全なクラウド活用につながります。
クラウドサービスは、今や企業の基幹業務を支える重要なインフラです。そのため、機能や価格だけでなく、障害や災害、サイバー攻撃などのリスクが発生した場合でも、安心して利用し続けられるかという視点で選定することが求められます。
データの保管場所は重要な判断材料の一つですが、それだけでクラウドサービスの安全性を判断することはできません。今回紹介した判断軸のポイントを参考に、運用体制や復旧体制、第三者による評価、情報開示の状況まで含めて総合的に確認することで、自社に適したクラウドサービスを選定しやすくなるでしょう。
ホワイトペーパー「奉行クラウド セキュリティ対策ガイド」を参考に、より安全・安心なクラウドサービスを見極めましょう。