特に、一般的な日本企業には販売代理店やメーカーとの信頼関係を重んじる文化がある。悪い言い方をすれば、言いなりだ。具体的にリスク分析をしないまま、製品やサービスを導入する傾向が見受けられる。「既存サーバが減価償却時期を迎えるころ、クラウドにすればコストメリットが得られますよ、みんなやっていますよという呪文が聞こえてくる。実際はどこまでコストを下げられるのか、どんなリスクが内在するのかが分かっていないのに、他社も入れていると聞くと、ついそうかなと思ってしまう」。S&Jコンサルティングの代表取締役、三輪信雄氏は日本企業の善くもわるくも人任せの体質を指摘する。

S&Jコンサルティングの代表取締役、三輪信雄氏

　事実、最近はクラウドと書かなければ稟議（りんぎ）が通らない、時流に乗っていないと上層部から意見されるような状況にあるという。

　もちろん、クラウドには多くの利点がある。例えば、従量課金制のパブリッククラウドサービスにはコストメリットがある。「私の周囲でも利用している人が多く、今月の請求額は150円で済んだという人もいた」（三輪氏）。もっとも、これは利用形態によるため、想像以上の額を請求された人もいる。

　また、可用性も大きな魅力の1つだ。プロバイダーが提供するクラウドサービスの中には、データセンター内の各システムを冗長化するほか、データセンター自体を冗長化しているところもある。こうした可用性の高い環境に構築されたサービスを、クラウドであれば安価に利用できる。「可用性の高いサーバが月額1万円程度で簡単に手に入るのは、クラウドだからこそだ」（三輪氏）

　こうしたメリットに押され、「携帯電話のリスクと同じように、クラウドセキュリティの話題も誰もが使っているからという理由で、いずれはうやむやになる。あと数カ月もすれば、クラウドセキュリティは話題に上らなくなる」と三輪氏は予測する。

クラウドセキュリティの3つの問題

　そもそも、クラウドにはどのようなセキュリティ問題があるのだろうか。三輪氏は大きく3つに分けた。

• 仮想化技術に関連する問題
• 海外サーバ利用の問題
• 社内での勝手利用の問題

　1つは、仮想化技術にかかわる問題だ。例えば、パブリッククラウドで1台のサーバのリソースを複数の企業で仮想的に分けるとする。このとき、ゲスト間で互いのデータやトラフィックが見えてしまったり、ゲストがホストへ侵入してほかゲストのデータを盗み見たり、またはホストがゲストの情報を盗み出せる可能性が想定できる。仮に顧客管理システムや売り上げ管理システムなどをクラウドサービス化していた場合、しかもサーバを共有する企業が競合他社の場合、果たしてデータはどこまで安全か不安が残る。

　2つ目は、海外サーバの場合だ。海外サーバには設置されている国の法令が適用される。例として、米国が規定するセーフハーバープライバシー原則（Safe Harbor Privacy Principles）を挙げてみる。これは、欧州経済地域（EEA）の個人情報を米国国内に移す場合、特別な保護を講じていなければ、それらデータは米国の法令が適用されるという内容だ。言い換えれば、あらかじめデータの利用保護を規定していなければ、自社のデータであっても自由に取り出せない可能性がある。

　そして3つ目は、社内で勝手にクラウドを利用してしまう問題だ。これは一昔前の「勝手サーバ」と同じで、最近増加している。「スマートフォンとクラウドは非常に相性が良い」と話す三輪氏は、スマートフォンや携帯電話を使って会議メモを写真に撮り、オンラインサービスなどにアップして自宅やiPhoneで確認したりする社員は今後ますます増加すると述べる。USBメモリの使用が禁止され、ノートPCも持ち出せない不便さを補うための自然な行動とも考えられるが、情報漏えいのリスクは間違いなく高まる。社内のセキュリティポリシーでクラウド利用に関する規定をしていない企業が多い現在、当然の抜け道なのかもしれない。

任せるのではなく自身で制御する力を持つこと

　では、対策はあるのだろうか。

　1つ目の仮想化技術について、三輪氏はあきらめてプロバイダーを信じるしかないと答える。「最終的には、プロバイダーとの信頼関係に頼るしかない」。それでも心配であれば、自社内にメインフレームやオープンシステムのデータセンターを構築し、優秀な管理者を雇って万全体制を敷けばよい。その意味では、プライベートクラウドを利用することも考えられるが、ホストやゲストをすべて1台のサーバで動かすとなると、相当なCPUパワーと容量が必要になる。仮想技術の運用ができる技術者の雇用、電力消費量など、運用維持費はパブリッククラウドと比べて高額になる。

　そこで、企業は信頼するための根拠を用意するとよい。ISMSなどの認証だけではなく、仕組みとして安全であることの証明を求めることをプロバイダーに具体的に提示するのだ。

　例えば、入社3年以上の正社員のみが運用をしていることを条件に入れて、第三者機関に監査してもらう。「入社したての中途採用社員だと、盗むために入社した可能性も想定できる。腕が立つと言われれば、なおさら怪しい」と、三輪氏は笑いながらも触れにくい話題に踏み込む。ある東欧のデータセンターが、蓋を開けてみたら全員ハッカー（クラッカー）だったという事件がある。世界各国のデータセンターを利用するクラウドでは、こうした事件も遠い国の話ではない。

　米国の州によっては、実施するサービスのデータセンターは州内に配置する、管理者が米国籍を持っているなどをサービス入札の条件に組み込むところもある。要は、何をもって安全とみなすかを企業としてプロバイダーやメーカーに明確に提示するということだ。

　これは、2つ目と3つ目の問題にも通じる。海外サーバの問題では、データの取り扱い方を明確に指示せず、プロバイダーに任せきりでは、障害や漏えい事件が発生してもサーバが置かれた国のデータ保護法が適用され、企業は自社データにすらアクセスできないことも考えられる。

　また、3つ目の勝手クラウドも自社のセキュリティポリシーで対応を明記していれば解決できる。

　特にクラウドでは、こうした規定作りが重要となる。これまでの代理店任せ、メーカー任せの体制では、企業は不利益しか被らない。「プロバイダーにとって有利な条件にならないよう、むしろ彼らが嫌がることもきちんと提示していくのが、クラウド時代の企業の在り方だ」（三輪氏）

日本流ではなくグローバルスタンダードに

　以上を考えると、これまで代理店任せにしてきた日本企業にとって、クラウドは大きなパラダイムシフトかもしれない。

　注意しなければならいのは、クラウドを日本流に変えるのではなく、世界標準にのっとって取り入れることだ。技術だけ取り入れて、やり方だけは日本流にしてもうまく回らない。

　アプリケーションにしても、ここは明朝体でなくてはダメ、請求書はこのフォーマットでなくてはダメと言って変更する“おれおれカスタマイズ”が多いと聞く。また、「データセンターも東京にあるのが望ましい、丸の内ならいい、江東区はダメだ、千代田区ならまだいいなど、家を買うわけでもないのに妙なこだわりがある」と三輪氏は笑う。ただでさえ電気代の高い国なのに、さらにコストの上がる方向へとクラウドを向かわせている。その一方で、本来明示しなければならない条件やセキュリティについては代理店任せだ。

　グローバル化すべき部分はグローバル化し、日本流でやるべき個所は日本流でやる。クラウドは、日本流の正しい適用場所をあらためて考えるきっかけとなる。「極論だが、日本には外国人社員が少なく、中途採用も米国に比べれば少ない。例えば、入社10年目以上の職人的な日本人が管理する、安価かつ高品質なパブリッククラウドは、日本人にしかできないかもしれないし、面白い」と三輪氏は言う。日本企業ならではの信頼関係も、具体的な規定の下で構築すれば文化の違う世界各国でも理解、評価される。同時に、クラウドに必要なセキュリティも確保できる。

　ただ事業者やメーカーを信用して任せるのではなく、信頼関係を築くための条件を示して、真正面から向き合う。それがクラウドとの付き合う最善の方法かもしれない。