なぜクラウドの安全性は比較しづらいのか？クラウドサービス選定時に押さえておきたいセキュリティ・チェックポイント

目次

• なぜクラウドの安全性は比較しづらいのか
• 安全性を確認しないまま導入すると何が起きるのか
• クラウドサービス選定で確認したい4つのセキュリティ観点
• 比較できる状態をつくるためにチェックシートを活用する
• おわりに

なぜクラウドの安全性は比較しづらいのか

多くのクラウドサービスでは、さまざまなセキュリティ対策が講じられています。しかし、利用者がサービス同士の安全性を客観的に比較することは容易ではありません。
その理由は、大きく次の2つが考えられます。

①「安全です」という説明だけでは実態が見えない

クラウドサービスのWebサイトには、「強固なセキュリティ対策」「高い安全性」「24時間365日監視」といった説明が数多く掲載されています。しかし、こうした表現だけでは、どのような対策が講じられているのか、その内容や水準を具体的に把握することは困難です。
例えば、「暗号化対応」と記載されていても、それが通信経路を対象としているのか、保存データを対象としているのか、あるいはその両方なのかによって意味合いは大きく異なります。また、「24時間365日監視」と記載されていても、「何を監視しているのか」「誰が対応しているのか」「異常を検知した際にどのような運用が行われるのか」までは分からないケースもあります。
このように、同じような表現が使われていても、実際の対策内容や運用方法はサービスごとに異なります。
さらに、情報開示の内容や粒度にも差があるため、利用者が同じ基準で比較することは容易ではありません。

②セキュリティは「機能」だけでは評価できない

クラウドサービスの安全性は、暗号化や多要素認証などセキュリティ機能だけで評価することはできません。その理由の一つが、クラウドサービスは複数の事業者によって支えられているという構造にあります。
クラウドサービスは、一見、1つのサービスに見えても、データセンター事業者やインフラ事業者、監視サービス事業者など、複数の企業がサービスを組み合わせて提供しているものが数多くあります。そのため、実際には複数の企業がそれぞれ異なる役割を担っており、障害やセキュリティインシデントが発生した場合も、対応する事業者や責任範囲は役割によって異なります。そして、その全体像が利用者からは見えにくい構造となっているのです。

このように、クラウドサービスの安全性は、運用体制や責任分担にも関わるため、公開されている情報だけで比較・評価できるものではありません。クラウドサービスを適切に評価するには、どのサービスにも共通する視点や判断基準を持つことが重要なのです。

安全性を確認しないまま導入すると何が起きるのか

クラウドサービスは利便性や機能性に優れている一方で、企業の重要な情報を預ける基盤でもあります。そのため、機能や価格だけを基準に選定すると、導入後に思わぬリスクが顕在化する可能性があります。
特に近年は、情報漏えいやサービス停止などのインシデントが企業活動に与える影響も大きくなっており、クラウドサービスを選定する際には、安全性を見極めることが欠かせなくなっています。

ここでは、安全性を十分に確認せずにクラウドサービスを導入した場合、どのようなリスクが生じるのか、その代表例をみてみましょう。

●取引先や顧客への説明責任を果たせなくなる

近年は、業務委託契約の締結時や更新時に、セキュリティチェックシートへの回答や第三者認証の取得状況、データの保管場所、障害発生時の対応方針などについて説明を求められることも珍しくありません。
この背景には、ランサムウェアをはじめとするサイバー攻撃の被害拡大があります。特に、取引先や委託先を経由して被害が拡大するケースが増えていることから、サプライチェーン全体でセキュリティを確保する考え方が広がっています。
このような状況では、自社が利用するクラウドサービスについても、一定の説明責任が求められます。
しかし、導入時に機能や価格だけで選定し、安全性を十分に確認していなければ、「どのようなセキュリティ対策が実施されているのか」「第三者認証は取得しているのか」「障害発生時はどのような体制で対応するのか」といった質問に対し、根拠を持って回答することは困難です。また、サービス提供事業者（ベンダー）の説明を根拠に選定した場合でも、どのような観点で安全性を評価したのかを説明できないケースもあるでしょう。

クラウドサービスを選定する際は、「なぜそのサービスを選んだのか」を説明できることも重要です。「有名だから」「導入実績が多いから」といった理由だけではなく、客観的な視点で安全性を評価しておくことが求められます。

●情報漏えいやサービス停止の影響を受ける可能性がある

クラウドサービスには、顧客情報や従業員情報、契約情報、会計データなど、企業活動に欠かせない重要な情報が保存されています。ベンダーのセキュリティ対策や運用体制が十分でない場合、不正アクセスや情報漏えい、マルウェア感染などのリスクにさらされる可能性があります。特に、昨今巧妙化しているランサムウェア攻撃では、データを暗号化して利用できなくするだけでなく、情報を窃取したうえで公開を脅迫する「二重恐喝」の手口が増えています。この場合、サービス停止と情報漏えいの両方を引き起こすリスクがあります。
クラウドサービスは自社でサーバーを保有しなくても利用できる反面、システムの運用をベンダーに委ねることになります。そのため、利用企業が直接コントロールできる範囲には限界があります。
仮に数時間の停止であっても、業務システムが利用できないことで業務の停滞や取引先対応の遅れにつながります。さらに、情報漏えいが発生した場合には、対応コストや社会的信用の低下など、二次的な影響も避けられません。
だからこそ、クラウドサービスを選ぶ際は、セキュリティ対策や運用体制を事前に確認し、客観的な視点で安全性を評価することが重要なのです。

クラウドサービス選定で確認したい4つのセキュリティ観点

クラウドサービスの安全性は「安全です」という説明だけで判断できるものではありません。また、万が一インシデントが発生した場合には、自社の業務継続だけでなく、取引先や顧客への説明責任も求められます。そのため、クラウドサービスを選定する際には、ベンダー各社の説明をそのまま受け取るのではなく、共通の観点で安全性を確認することが重要になります。

そこで参考にしていただきたいのが、OBCが整理した「SAFEフレーム」です。SAFEフレームは、クラウドサービスの安全性を4つの観点から確認し、比較・評価しやすくするための判断軸です。

＜クラウド安全性を評価する“SAFE”フレーム4軸＞

●S：ランサムウェア対策は十分か

近年、企業に大きな被害をもたらしているサイバー攻撃にランサムウェアがあります。OSやソフトウェアの脆弱性を悪用して侵入するケースも多く、クラウドサービスを利用する場合は、自社だけでなく、サービス提供事業者（ベンダー）がどのような対策を講じているかも重要になります。

ここで特に確認したいのが、OSの管理権限と脆弱性管理です。

OSには、システム設定の変更などを行える特別な管理権限があります。この権限が適切に管理されていなければ、不正利用された際にシステム全体へ大きな影響が及ぶ可能性があります。また、ランサムウェア攻撃の多くは脆弱性を悪用して侵入するため、脆弱性が発見された際に更新プログラムを迅速に適用できる体制も重要な確認ポイントです。

例えば、奉行クラウドでは、クラウド基盤にMicrosoft Azureを採用しています。OSの特別な管理権限はMicrosoftが一元管理しており、OBCを含む第三者が操作できない仕組みです。

また、OSの脆弱性更新もMicrosoftが直接実施するため、人手を介さず迅速に更新プログラムを適用できます。さらに、OBCは業務システムとして必要なセキュリティ対策や運用管理を担うなど、責任分界を踏まえたセキュリティ対策を実現しています。

ランサムウェア対策は、単にセキュリティソフトを導入しているかどうかでは判断できません。管理権限の統制や脆弱性管理を含め、どのような体制で安全性を維持しているのかを確認することが重要です。

●A：データはどこで保管されているのか

クラウドサービスを利用するということは、自社の重要な情報をベンダーの環境に預けることでもあります。そのため、データがどこで保管され、どのようなクラウド基盤の上で管理されているのかは、安全性を判断するうえで重要な確認ポイントです。

例えば、データが海外で保管される場合は、適用される法制度やデータ保護に関するルールが異なるため、自社の要件に適合しているかを確認することが重要です。また、災害リスクに対しても、障害や災害が発生した場合に事業を継続できるような仕組みが整えられているかを確認しておきたいポイントです。

だからといって、「国内データセンターだから」「有名なクラウド基盤だから」という理由だけで判断するのは適切ではありません。どのようなクラウド基盤の上でサービスが提供されているか、障害や災害に備えた仕組みが整えられているかを適切に確認することが、安全性を評価するうえで重要なのです。

例えば奉行クラウドの場合、データセンターは国内に限定しているだけでなく、東西2拠点への分散配置や冗長構成、遠隔地バックアップなどを組み合わせることで、事業継続性の確保に取り組んでいます。この仕組みにより、予期せぬ災害や障害が発生した場合でもサービスを継続して提供できる環境を整備しています。

●F：システムは継続的に保護されているか

クラウドサービスのセキュリティは、導入時に対策を講じれば終わりではありません。サイバー攻撃の手口は日々変化しているため、継続的に監視・改善する仕組みが整っていることが重要です。
そのため、クラウドサービスを評価する際は、「どのようなセキュリティ機能があるか」だけでなく、「安全性を維持し続ける仕組みがあるか」という視点で確認しましょう。

セキュリティは、一度対策を講じれば終わりではありません。利用者の認証、アクセス制御、データ保護、監視、脆弱性対策などが継続的に運用されているかどうかが、安全性を見極める重要な判断材料になります。
例えば奉行クラウドの場合、Microsoft Azureの高度なセキュリティ対策とは別に、不正アクセスの防止、データの保護、サービスの安定運用といった観点から、独自のセキュリティ対策を実施しています。

●E：安全性を維持する運用体制があるか

クラウドサービスの安全性は、優れたセキュリティ機能だけで実現できるものではありません。それらを継続的に維持・管理する運用体制が整っていることも重要です。
例えば、ログ監視、OSやセキュリティソフトの更新、利用者権限の管理、障害発生時の対応手順、従業員へのセキュリティ教育などは、安全性を維持するために欠かせない取り組みです。しかし、こうした運用体制の実態は利用企業から見えにくいのが実情です。
そこで参考になるのが、第三者機関による評価です。ISMS（ISO27001）認証やSOC監査、ISMAP登録などは、一定の基準に基づいて運用管理体制が評価されていることを示す客観的な判断材料になります。
もちろん、認証を取得しているだけで安全性が保証されるわけではありません。しかし、運用体制を客観的に確認するための有効な判断材料として活用できます。
クラウドサービスを評価する際は、セキュリティ機能だけでなく、それらを継続的に維持・管理する体制が整っているか、さらに第三者による評価を受けているかという視点も確認するとよいでしょう。
例えば、奉行クラウドは財務報告に係る内部統制を対象とした「SOC1 Type2」報告書、セキュリティに係る内部統制を対象とした「SOC2 Type2」報告書を2019年から継続して取得しています。また、「政府情報システムのためのセキュリティ評価制度（ISMAP）」においても、政府が求めるセキュリティ要求を満たしているクラウドサービスとしてリストに登録されています。さらに、ASM評価（Attack Surface Management評価）で最高グレードである「A評価」を取得しています。

※ISMS（ISO27001）認証：情報セキュリティマネジメントシステム（ISMS）が国際規格に基づいて適切に運用されていることを第三者機関が認証する制度。

※SOC1、SOC2：クラウドサービスや業務委託サービスなどを提供する事業者の内部統制・セキュリティ管理体制が適切に設計・運用されているかについて、独立した監査人が評価し、その結果をまとめた報告書。SOC1 Type2はアウトソーシング事業者が委託されている業務のうち、委託会社の財務報告に係る内部統制が適切に運用されているかを評価する報告書で、SOC2 Type2は一定期間におけるクラウドサービス会社のセキュリティの内部統制を評価する報告書です。

※ISMAP：日本政府が運用する「政府情報システムのためのセキュリティ評価制度」。

※ASM評価：ハッカーと同じ外部視点から、インターネット上に公開されたIT資産を調査し、潜在的な脆弱性やリスクを可視化する評価手法。

比較できる状態をつくるためにチェックシートを活用する

クラウドサービスのセキュリティ確認では、認証方式や暗号化、運用体制、第三者評価^※など、確認すべき項目は多岐にわたります。しかし、クラウドサービスごとに公開されている情報の形式や粒度が異なるため、それぞれの説明を個別に見比べるだけでは、客観的に比較・評価することは容易ではありません。
※第三者評価：第三者機関が一定の基準に基づいてセキュリティや運用体制を客観的に評価したもの。

そこで重要になるのが、同じ観点で比較できる状態をつくることです。

クラウドサービスの安全性を評価するためのガイドラインやヒアリングシートは、経済産業省やIPA（情報処理推進機構）、ASPIC（一般社団法人日本クラウド産業協会）など、数多く存在します。こうした資料を活用することで、ベンダーにどのような質問をすればよいのか、どのような情報を確認すればよいのかを整理しやすくなります。
※経済産業省のチェックリストは、2010年公開のため、現在は経済産業省のウェブサイトでは公開されていません。

一方で、これらの資料から、自社に必要な確認項目を整理して独自の比較表を作成するのは、決して簡単ではありません。また、クラウドサービスごとに説明方法や表現が異なるため、同じ項目で比較するのにも、一定の知識と時間が必要になります。
特に、他業務と並行して対応する場合は、その作業自体が大きな負担になる可能性もあります。

そこで、ホワイトペーパー「奉行クラウド セキュリティ対策ガイド」を参考にすることをおすすめします。
本ガイドでは、今回ご紹介したSAFEフレームの4つの観点である「ランサムウェア対策」「データ所在の確認」「システムの継続的保護」「運用体制の評価」に沿って、クラウドサービス選定時に確認したいポイントを整理しています。

また、巻末にはクラウドサービスの比較・評価に活用できるチェックシートを掲載しています。あわせて、経済産業省、IPA、ASPICのヒアリング資料もダウンロードできるため、自社で比較・評価を行う際の参考資料として活用できます。

クラウドサービスの安全性は、「安全です」という説明だけで判断できるものではありません。大切なのは、同じ観点で情報を整理し、客観的に比較・評価することです。
SAFEフレームやチェックシートを活用することで、確認漏れを防ぎながら、自社に適したクラウドサービスをより納得感を持って選定しやすくなるでしょう。

おわりに

クラウドサービスの選定では、機能や価格、使いやすさに注目しがちですが、近年はセキュリティへの要求が高まっており、安全性そのものが重要な選定基準となっています。

しかし、セキュリティは機能のように比較しやすいものではありません。実際の運用体制や責任分界まで含めて確認しなければ、本当の意味で安全性を判断することは難しく、専門的な知識が求められる場面も少なくありません。
だからこそ重要なのは、「何を確認すればよいのか」という判断基準を持つことです。同じ観点で比較・評価することで、クラウドサービス選定の精度は大きく向上します。

まずは評価項目を整理し、自社にとって必要な確認事項を把握することから始めてみてはいかがでしょうか。ホワイトペーパー「奉行クラウド セキュリティ対策ガイド」には、今回ご紹介したSAFEフレームの4つの観点に沿って、クラウドサービス選定時の確認ポイントが分かりやすく整理されています。クラウドサービスの安全性を適切に比較・評価するための第一歩として、自社に適したクラウドサービス選定に活用してください。

関連リンク

• 

  奉行クラウドのセキュリティ

  お客様の事業継続を支える大切な業務データを守り、安心して業務を続けられるクラウドサービスを目指します。

こちらの記事もおすすめ

• オンプレとクラウドで業務システムはどう違う？業務への影響からクラウドのデメリット解消法、利用料の内訳まで一挙解説
• オンプレとクラウドのコストを比較！中小企業が業務ソフトで選ぶならどっち？
• ［オンプレvsクラウド］比較表付き｜中小企業におすすめの業務ソフトはどっち？