米国のITセキュリティガバナンス団体が調査

クラウドコンピューティングはメリット以上にリスクが大きい？

IT専門職を対象とした調査で、回答者の48％が「クラウドはメリットよりもリスクが大きい」と回答した。

公開 2010年05月31日 08時00分

更新 2026年08月25日 16時12分

著者

Robert Westervelt

[TechTarget]

印刷する

　セキュリティ資格を管理するITセキュリティガバナンス団体のInformation Systems Audit and Control Association（ISACA）が実施した調査によると、組織内でクラウドコンピューティングプロジェクト（クラウドプロジェクト）を管理するIT専門職の人の間には、依然として根強い不安があることが分かった。

　米国のIT専門職1800人以上を対象とした調査で、回答者の48％がSaaS（Software as a Service）とクラウドは、メリットよりもリスクの方が大きい」と回答した。一方、「リスクは適切なバランスが取れている」または「リスクよりもメリットの方が大きい」と答えたのは55％だった。

　経営者や企業は、コストを削減する目的でITインフラ管理を外部に委託しクラウドの導入を進めている。また、景気低迷で多くの企業がクラウドベースのサービスを検討するようになった。この中にはAmazonのユーティリティサービス「Amazon Elastic Compute Cloud（EC2）」やMicrosoftの「Microsoft Windows Azure」のようなユーティリティ型コンピューティングプラットフォームが含まれる。

　Cloud Security AllianceとHewlett-Packard（HP）は、最近まとめた報告書で、クラウドにおける7つのリスクを挙げた。報告書には、攻撃者がクラウドのプラットフォームに侵入しクラウドインフラを使ってほかのマシンを攻撃するリスク、セキュアでないアプリケーションプログラミングインタフェース（API）が抜け穴となって情報流出につながるリスクなどが挙げられている。

　ISACAの副会長でありCAのITサービス管理戦略担当副社長でもあるロバート・ストラウド氏は、IT専門職の人、特にISACAの会員が新技術に対して慎重な姿勢を取り、クラウドのリスクを慎重に検討してきたことを考えれば、今回の調査結果は予想外ではないとした上で、次のようにも述べている。

　「優れた研修手法とプロセス自動化は、リスクを考慮させる効果があるかもしれないが、同時に受け入れさせる効果もあるかもしれない。リスクを厭うばかりでは会社を発展させることはできない」

　調査では、ミッションクリティカルなITサービスにクラウドを利用する計画があると答えたのは10％にとどまり、ミッションクリティカルなITサービスは組織内にとどめていることが判明した。また、4人に1人（26％）はITサービスにクラウドを利用する計画は一切ないと答えた。

　「ミッションクリティカルなITサービスにクラウドを活用することについては出発点に立ったばかりだ。経営幹部の観点から見ればクラウドは非常に効率的であり、IT部門が望んでも望まなくても実現されるだろう」（ストラウド氏）

クラウドの採用を妨げる規制、標準

　Cloud Security Allianceの創設者でエグゼクティブディレクターのジム・レビス氏は、企業におけるクラウドベースプロジェクトの歩みを遅らせる大きな要因はコンプライアンスだと指摘する。調査でも、30％近くがコンプライアンスプロジェクトはITリスク関連プロジェクトを動かす最大の要因になっていると答えた。約半数が、ITリスクとコンプライアンス関連プロジェクトには2010年も2009年とほぼ同程度の予算が割り当てられると答えている。

　パブリッククラウドにおけるコンプライアンスを簡単に達成する方法は存在しないとレビス氏は言う。

　「コンピュータネットワークに何かしらのリスクが存在することは分かっている。しかしコンプライアンスは逸話的に、規制対象となるサービスへのクラウド採用普及を妨げる最大要因になっている」

　レビス氏はISACAの調査について、IT専門職の人がリスクの検討に乗り出しクラウドプロジェクトを止めようとするのではなく、前進させる方法を見いだしている証だとして歓迎する。不安の多くはいずれ解消される見通しだ。現状では依然として（クラウドプロジェクトへの）理解が不足しており、文書化された利用事例が足りないと同氏は言う。

　Cloud Security Allianceの指標作業部会は、クラウド関連のリスクをさまざまな規格や規制と照らし合わせている。例えばPCI Security Standards Councilと協力し、クラウドプロバイダーが実装するのが妥当なコントロールと、企業側で実装しなければならないコントロールを見極めるため、クラウドコントロール指標のフレームワークを策定している。

　「これは責任分担だ。ガバナンスの責任をすべて外注するわけにはいかない」とレビス氏は話している。

印刷する