適正評価でクラウド事業者にプレッシャーをかけよ
米ボーイングのクラウド採用はセキュリティが最優先
技術的には実現可能でも、Boeingの複雑な組織構造の中でクラウドコンピューティングを推進するのは困難を極めた。
数年前、BoeingのITセキュリティ専門家、E・J・ジョーンズ氏には名案があった。ソースコード検証アプリケーションを自分の手元からAmazon Web Services（AWS）に移したいと思ったのだ。AWSなら同アプリに最適で、自分のニーズに完ぺきにかない、相対的には破格の料金で、社内インフラチームの負担にもならないはずだった。
問題は、ジョーンズ氏がもともと慎重な性格だったことに加え、勤務先は何事も、特にセキュリティについては軽く受け止めることのない会社だったことだ。Boeingには、、クラウドコンピューティングの概念を組織に浸透させる手段が必要だった。ジョーンズ氏率いるITセキュリティ部門はその手段を見つける責務を担った。
「初期のBoeingアプリの1つをクラウドに置きたかった」というジョーンズ氏が小規模のプロジェクトにクラウドコンピューティングを利用したいと思ったのは、例によってその手軽さ、安さ、速さを考えてのことだった。「われわれには帯域幅が足りない。それならクラウドを使おう」と考えた。
クラウド事業者の選定
技術的には実現可能でも、Boeingの複雑な組織構造の中でそのアイデアを推進するのは困難を極めた。セキュリティチームはクラウドのために一貫性のある現実的なプロセスとフレームワークを開発したい意向だったが、多数の法的、戦略的、実際的障壁に突き当たったという。
それでもジョーンズ氏は突き進み、クラウド事業者が何を提供できて何を提供できないのかを見極めるための方法論を確立した。セキュリティチームはBoeingの通常の業務委託先向けではなく、クラウド事業者向けの標準的な提案依頼書（RFP）から着手した。
「笑うしかないような反応が返ってきた」とジョーンズ氏は振り返る。大抵のRFPで最初にくるのはビジネスニーズであり、セキュリティプロトコルではない。従って同氏のチームの当初の105項目からなる情報提供依頼書（RFI）は少し変わっていた。
しかし返ってきた答えは──大手クラウド事業者や管理型ホスティングの事業者でさえも──経験も知識もない営業宣伝担当者が作成したものであることは明らかだった。事業者に製品の情報を期待することはできないことがはっきりした。
解決策は、事業者を公平なスコアカードで評価することだったという。Boeingは5項目のチェクリストを作成し、各事業者に点数を付けた。チェック項目は「障害がいつどのようにして起きたかをプロバイダーはわれわれに知らせてくれるか」「アップタイムを保証できるか」など。こうしたことができないクラウド事業者が多いとジョーンズ氏は言う。
駄目な項目が1つあれば全面失格にした。セキュリティ専門家として、「相対で評価」して「それなりに」安全なサービスでは許容できなかった。この過程で学んだことでもう1つ驚いたのは、セキュリティが大抵の場合、契約の最初ではなく最後にくることだった。同氏は、以前は無視できていたようなことに関しても知識を身に着けていった。
「わたしは情報セキュリティのプロだが、サービス品質保証契約（SLA）についてはあまりよく知らなかったし、法律のことも知らなかった。しかし今では分かるようになった」（ジョーンズ氏）
クラウドの社内迷路
仕事の大部分は社内調整だったともジョーンズ氏は言う。最高情報セキュリティ責任者（CISO）に調査結果を報告した日のことは忘れない。重要人物である社内弁護士がその場に出席しており、ジョーンズ氏が法務と綿密な打ち合わせをしていたにもかかわらず、その筆頭弁護士はBoeingがITアプリケーションのために社外のサービス利用を検討していることを知らなかった。ジョーンズ氏にとっては大きな驚きだった。あれは興味深い会議だったと同氏は振り返る。
Boeingはクラウドコンピューティング事業者の評価と契約のためのテンプレートを作ることができたが、もっといいセキュリティ基準が採用され、業界に普及していれば、企業にとってもプロバイダーにとっても多くの問題が解消されていたはずだとジョーンズ氏は指摘する。
プロバイダーは企業に足を踏み出させるようなセキュリティの行き届いたサービスを提供すべきだとジョーンズ氏。それ以外のITサービス業界は従来型の製品をクラウドと称して恐ろしいペースで問題を作り出しているともいい、「この用語の乱用のされ方は驚異的だ」と話す。
ジョーンズ氏は現在、Cloud Security Allianceのガイドラインと提言をBoeingで進行中の作業に取り入れている。Allianceの実績は自分自身のラーニングカーブに沿っており、企業の出発点としてふさわしいモデルになるという。同氏の部門は既にクラウド事業者について30件の評価を実施した。近道は存在せず、「セキュリティの観点から多大な時間がかかる」と同氏は言う。
最終的な分析結果として、クラウドコンピューティングは明らかにやる価値があるとジョーンズ氏は明言する。ただし企業が安全にアプローチできる唯一現実的な道は、布教や宣伝の声を遠ざけ、セキュリティ（および法律面）の適正評価を実施してクラウド事業者にプレッシャーをかけ、広く理解されている標準に沿った明確で意味のある技術情報を追求することだ。
「われわれ全員の声が1つになれば、きっと浸透するだろう」とジョーンズ氏は話している。
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
新着ホワイトペーパー PR
-
製品資料
[ニュータニックス・ジャパン合同会社] クラウドネイティブ戦略ガイド：8つの主要課題と解決策を解説 -
製品資料
[ニュータニックス・ジャパン合同会社] プラットフォーム技術者のための「クラウドネイティブ」プレイブック -
製品資料
[ニュータニックス・ジャパン合同会社] ハイブリッドクラウドでハードウェア価格高騰のリスクを回避する方法 -
製品資料
[ニュータニックス・ジャパン合同会社] AI時代に必要なインフラモダナイゼーションの考え方とは？ -
製品レビュー
[Dropbox Japan株式会社] ランサムウェア対策で見直したい「復旧できるファイル基盤」とは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
2
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
3
鹿島建設のDXを阻む「10年前のAWS」 安全性と自由度を両立したモダナイズ
-
4
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
5
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
6
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
7
「結局使わなくなる」Microsoft 365 Copilotを半年で定着 キリンの3施策
-
8
「法人向けPCおよび周辺機器の利用状況」に関するアンケート
-
9
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
10
「野良Excelマクロ」に悩むSMBC日興証券が導き出した内製化の“現実解”
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
3
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
4
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
5
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
6
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
7
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
8
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
9
“あのファイル転送”で暗躍するノーウェアランサム
-
10
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー