クラウドサービスにおける情報セキュリティのポイント

　ITサービスにおける情報セキュリティのポイントは幾つもあるが、クラウドサービスに限らず重要なポイントして以下が挙げられる。

• 機密情報や個人情報の保護
• ビジネス継続、サービス継続
• インシデントレスポンス（事故対応）、イベントレスポンス

　クラウドサービスについて大きく議論となるのは、これまでは手元にあったシステムやデータ、管理情報がクラウドサービスプロバイダーにあり、自らが自由に管理できないということにある。

　具体的には、分散処理によってデータの所在を具体的に把握することができないとか、事故発生時に判断基準となるログデータを自由に取得することができないなど、情報が手元にないということが大きな変化となり、情報セキュリティに関する社内ルールや手順の見直しが必要になる。

　国内における多くの企業や団体が、ISMS認証基準としてJIS Q 27001（ISO/IEC 27001）を採用しており、PDCAサイクルによるマネジメントシステムのスパイラルアップを行うためにも、情報セキュリティに関するさまざまな管理情報を入手しなければならないといったこともポイントの1つとして挙げられる。

　つまり、サービスおよびサービス上で利用するデータの所在や状況などを把握しておくということもクラウドサービスにおける情報セキュリティの重要なポイントとなる。

　ログの管理も重要なポイントとなるだろう。クラウドサービスでは、これまでハードウェアとして把握していた部分もサービスとして提供されるため、いわゆるシステムログなどもプロバイダー側にあることになる。

　国内の多くの情報システムのログが、何か事故が発生したときの情報源として活用されており、とにかくためるだけためておこうという方針で運用されている。しかし、クラウドサービスでは、事故が発生した際にこれらのログを即座にダウンロードして利用することができない。なぜなら、ログを保管しておくスペースに限りがある（保存容量に応じて課金される）し、転送するための時間も膨大なものとなってしまうからだ。

　つまり、ログの運用についても見直さなければいけないということになる。

クラウドサービス利用におけるリスク評価の着眼点

　このようにクラウドサービスにおける変化を踏まえて、新たにリスク評価をすべきなのだが、実際には既に構築された情報セキュリティマネジメントシステムを見直すのは難しいと考えている担当者が多い。

　これまでに積み上げてきたセキュリティ対策のどこかを崩してしまうことで、全体が崩れてしまうのではないかという不安もあり、どのような着眼点でリスク評価をすればよいのかということが理解できないということもあるだろう。

　まず、ISMS認証を維持することだけに着目するのであれば、PDCAサイクルにおいてどのような情報を得る必要があるかを考慮すればよい。情報セキュリティマネジメントシステムとして成立していればよいのだから、自らの設定した情報セキュリティ管理策が維持できているかどうか、効果的であるかどうかを判断し、必要に応じて見直しをすればよいということになる。

　つまり、今までは自らの情報システムから得ていたこれらの情報が、クラウドサービスプロバイダーから得られるかどうかが重要なポイントなるのだ。ISMS認証において、自らが宣言した管理策を維持できていると証明する情報を得られるかどうかを判断すればよい。例えば、システムに対して不正なアクセスがあった場合、それを察知することができるかどうか、そしてその不正なアクセスがシステムにどのような影響を与える可能性があるかを判断するための情報を提供してくれるサービスプロバイダーを選択する。

　これがISMSを維持するために必要なサービスプロバイダーの評価基準となる。

クラウドサービス利用のための情報セキュリティマネジメントガイドライン

　リスク評価について簡単に書いてみたものの、これをJIS Q 27001および27002について実施するというのは非常に大きな労力となるだろう。そこでこれらの作業を容易にするために活用できるのが、2011年4月に経済産業省が公開した「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」だ。

　本ガイドラインはJIS Q 27002と同様の構成となっており、ISMS認証を受けている企業がクラウドサービスを利用する際に、利用者企業、利用者団体がどのような対策を実施すればよいかを具体的な対策として例示している。

　あくまでベストプラクティスとしての例示なので、これらをやらなければいけないということではない。例示された対策が自らの組織に合致するかどうかを判断するためのガイドラインとして提供されている。

　JIS Q 27002の「管理策」に対して、利用者が実施することが望ましい事項を「クラウド利用者のための実施の手引」、クラウドサービスプロバイダーが実施することが望ましい事項を「クラウド事業者の実施が望まれる事項」、クラウドサービスのインフラやサービスタイプごとに特記すべき事項を「クラウドサービスの関連情報」として記載しており、利用者組織の情報セキュリティの観点が分かりやすく構成されている。

　利用者からの目線で記載されているため、これをそのままプロバイダーの選定基準として利用することはできないが、どのような情報を得ることができ、どのような対策を行っていればプロバイダーとして十分なのかを判断することができる。特にISMS認証を受けている企業にとっては、管理策の選択をJIS Q 27002から行っているはずなので、同様の作業をこのガイドラインを活用することによって実施できるようになるはずだ。

　また、本ガイドラインの作成に当たって、ISMS認証を前提にしたクラウドサービス利用における一般的なリスク評価が行われているため、これらの作業を軽減することも可能になる。

サービス選択時のクラウドセキュリティガイドラインの活用

　クラウドサービス利用のための情報セキュリティマネジメントガイドラインの構成などについては既に多くの情報が提供されているはずなので、ここではクラウドサービス選択時の活用法について幾つか例を挙げることにしよう。

　本ガイドラインには巻末に「クラウド利用における実施の手引き一覧」が付属している（図1）。これはガイドラインの内容を表形式にしたもので、必要な項目を抜き出すことで、そのままチェックリストとして利用できる。

図1　クラウド利用における実施の手引き一覧。詳細は「クラウドセキュリティガイドライン5」（20～25ページ）をご覧いただきたい

　前述した通り、プロバイダーへの要求事項は「クラウド事業者の実施が望まれる事項」の欄にまとめられているので、サービスプロバイダーの選定基準を作成する際に、この表を活用するとよい。プライバシーマーク取得をしている企業でも、プロバイダー選定基準を作成する必要があるため、こちらの表から選定基準を作成するとよいだろう。

　もっと詳細にリスクを検討したいという場合には、付属書A「クラウドサービス利用にかかわるリスク」を活用するとよい。ここでは一般的なクラウドサービス利用におけるリスクを洗い出すとともに、「NIST SP800-144」、ENISAの「クラウドセキュリティガイドライン」、Cloud Security Allianceの「クラウドセキュリティガイドライン 2.1」を参考に抜粋したリスクも一覧している。

図2　クラウドサービス利用時のリスクアセスメントの実施例。付属書Bのリスクアセスメントの実施例を参考にしながら、具体的なリスクを当てはめていくことで、さらに詳細なサービスプロバイダーの選定基準を作成することができるだろう

サービスのダッシュボードを活用する

　今回はクラウドサービスの選択時の基準という点でガイドラインの活用を解説したが、実際には利用開始時だけではなく、利用中もプロバイダーとの情報交換が必要になる。

　しかし、情報が必要なときにプロバイダーが臨機応変に対応してくれるとは限らない。クラウドサービスの特徴の1つである「オンデマンドセルフサービス」という点では、ログを取得したり、情報を取得するのも自ら行ってほしいというのがプロバイダーの考え方だからだ。

　そこで、プロバイダーを選択する際に重要な要素として挙げられるのが、情報提供のためのダッシュボードだ。システムの状況をリアルタイムに把握することができるかどうかがプロバイダー選択の重要な要素の1つとなる。

　また、クラウドサービスでは1つのプロバイダーだけでシステムが構成されないこともある。さまざまなサービスを組み合わせて使うことがあるためだ。このような中でシステムの統合管理を行いたいと思えば、サービス状況を把握するダッシュボードではなく、APIとしてこれらの情報が提供されているかどうかも重要な要素となる。APIとして提供されていれば、複数のサービスの状況を1つの画面で一緒に表示し、比較したり状況を一元的に把握することができる。

　情報セキュリティではできる限り迅速に情報を収集し、被害の拡大を軽減（もしくはゼロに）することが目的となっている。クラウドサービスの利用においても、十分な情報を迅速に収集できる仕組み作りが必要になる。

その他の情報セキュリティガイドラインを活用する

　今回はクラウドサービス選択に経済産業省の「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」を活用する方法を紹介した。後編ではその他の情報セキュリティガイドラインを紹介しつつ、クラウドサービス選択時にどのように活用できるかの観点を解説する。

河野省二（かわの しょうじ）

株式会社ディアイティ セキュリティサービス事業部 副事業部長

東京電機大学　未来科学部　非常勤講師

滋賀大学経済学部会計学科を中退後、フリーのデザイナー、プログラマー、コンサルタントを経て、ディアイティ入社。コンサルティング部門を立ち上げ。

経済産業省の情報セキュリティ監査研究会、セキュリティガバナンス研究会、クラウドセキュリティ研究会などの委員を務め、政策策定に貢献。現在はSC27委員会にてクラウドセキュリティのISOを策定中。