ユーザーにとっては、本来自らが行うべき情報セキュリティ対策の一部をプロバイダーが機能または情報として提供してくれていれば、その分の管理コストを削減することができる。例えば、IaaSとハウジングサービスを比較すれば、IaaSはサービスとして提供されているために、単にデータセンター設備を提供しているハウジングサービスと異なり、最低限のセキュリティ機能やハードウェアの構成管理、プロビジョニング（将来のサービス構成を検討すること）といった本来はユーザーが管理すべき部分についても、サービスの一部として提供している。これらの付帯情報についてはそれぞれのサービスを比較するなどして、クラウドサービス選択時のコスト計算に役立てていただきたい。

第三者認証を活用する

　情報セキュリティの第三者認証をクラウドサービス選択の際に活用するのは適切ではないのかもしれない。なぜなら、クラウドサービスプロバイダーの多くはこれらの認証をほとんど取得しており、認証自体がサービスを比較するためのデータとして機能しないことがある。

　特に日本企業においては、ISMS認証の取得は当たり前といった風潮もあり、ISMS自身が具体的なセキュリティ対策のための認証ではなく、情報セキュリティマネジメントシステムに対する認証であるということも十分に理解されているからだ。

　表1で挙げた第三者認証は、あくまでもプロバイダーが情報セキュリティに関心を持ち、明確な方針と計画を立てて取り組んでいるという最低限のレベルを示しているにすぎないと判断することもできるだろう。

　しかし、第三者認証を受けている企業は、少なくとも年に一度は外部の監査などを受けており、客観的に情報セキュリティの活動を認められているプロバイダーであることの証明にもなっている。やはり、これらの認証を受けていることは、サービスプロバイダーとしては重要な要素であるといえるだろう。

　認証を取得することが難しいプロバイダーの中には、情報セキュリティ監査を実施して、それをセキュリティ確保に取り組んでいることの証明としているところもある。これらの情報は、プロバイダーの「情報セキュリティ報告書」などに記載されていることもあるので参照してほしい。

情報セキュリティの具体的な取り組みとプロバイダーからの情報発信

　第三者認証だけでは不十分だとユーザーが考えた場合、他にはどのような選択肢が考えられるだろうか。

　プロバイダーが提供する情報において、情報セキュリティに直接関連するものが「サービスレベル合意（SLA）」と「セキュリティホワイトペーパー」だろう。事業継続に関してはSLAを、サービスの構成に関するセキュリティについてはセキュリティホワイトペーパーを参照することになる。

　残念ながら国内のITサービスにおいては、事業継続について十分な内容が記載されているSLAはまだ少なく、サービスが継続できないときの罰則として支払いの免除を記載しているだけのものがほとんどである。これでは自らの事業継続の情報としては活用できないため、SLAについては内容の拡充が必要であるという声も大きい。サービスの最大停止時間などの具体的な内容とそれを支える技術についての情報が欲しいという声が最も多いようだ。

　一方、ホワイトペーパーについては、まだまだ提供しているプロバイダーが少ない。記載内容に関してどのような項目が必要なのかなどの精査が終わっていないのが理由のようだが、実際にはどのような情報でもユーザーには役に立つはずなので、プロバイダーにはできる限りの情報を提供していただきたいと思う。

　また、プロバイダーの選択時には運用中の情報収集についても、その可能性を確認しておく必要があるだろう。前編でも解説した通り、インシデントレスポンスやイベントレスポンスのためのさまざまな情報がプロバイダー側にあるため、それらをできる限りリアルタイムに入手できるかどうかが重要になる。

　このような用途のために、クラウドサービスプロバイダーの多くはサービスダッシュボードを提供している。プロビジョニングのためのサービス利用状況やストレージ利用状況、情報セキュリティのためのアクセス状況管理など、ハードウェアや基本サービスレベルの情報から、ユーザー管理やコンテンツ管理などのアプリケーション情報まで、さまざまな情報がダッシュボード上で提供されている。

　これまでの内容をまとめると、サービス選択時に活用できるプロバイダーの情報は以下の4つとなる。

1. 情報セキュリティに関する第三者認証（または監査）
2. サービスレベル合意
3. セキュリティホワイトペーパー
4. サービスダッシュボード

　自らの望む情報が記載されているかを判断し、プロバイダーの選択に生かしてほしい。

ホワイトペーパーの記載事項と読み方

　ホワイトペーパーをサービス提供当初から公開しているのがAmazon Web Services（AWS）だ。現在は「AWSセキュリティ＆コンプライアンス」というWebページを定期的に更新している。概要、セキュリティ速報、脆弱性リポート、侵入テスト、PCI DSS レベル 1 FAQ、ISO 27001 FAQという項目を日本語化して（一部は英語）提供している。

　AWSでは2009年からセキュリティホワイトペーパーを提供しており、当初の技術的な内容から、現在はマネジメントに利用できる情報に変化しつつある。

　情報セキュリティに関する情報をポータルで提供しているため、ユーザーはAWSの過去の取り組みから現在の状況までを一元的に把握でき、使いやすい。セキュリティ担当者はこのページの更新状況を把握しておくことで、必要な情報に素早くアプローチできる。

　また、現在のところ契約ユーザー向けではあるが、ニフティクラウドもホワイトペーパーを提供しているようだ。国内ユーザーが利用しやすい内容で構成されているということで、今回は契約ユーザー向けのものを入手し、内容を確認させていただいた。記載されている内容は、ニフティクラウドのセキュリティ概要、OSのセキュリティ、ニフティクラウドAPIのセキュリティ、ニフティクラウドのセキュリティ機能という項目で、マネジメントにおける具体的な内容が記載されている。

　ニフティクラウドのホワイトペーパーの特長は、JIS Q 27001、PCI DSSなどの認証規格を基に、自らの取り組みを技術レベルでシンプルに記載しているところにある。シンプルに記載しているために情報量が若干少ないと感じる部分もあるが、必要に応じて詳細を問い合わせればよいのではないかと思う。

　国内ユーザーの多くは情報セキュリティマネジメントシステムの認証を受けているので、ニフティクラウドのホワイトペーパーのようにそれを前提とした構成になっているものは利用しやすいといえるだろう。ニフティクラウドのセキュリティホワイトペーパーは近い将来にWebページなどで公開される予定もあるそうなので期待したい。

　どちらも情報セキュリティについて具体的に記載しており、ユーザーの参考になる情報が提供されているといえる。また、両サービスのセキュリティ対策の方向性を知ることもでき、サービスの選択時にも十分に役立つ内容となっている。

　その他にも以下のWebページでセキュリティ関連情報を取得することができる。情報セキュリティに特化したホワイトペーパーでなくても、セキュリティに関する情報を得ることができるため、ぜひ参考にしてほしい。

• トラステッド：富士通の信頼
• IIJ GIOホワイトペーパー
• Windows Azureホワイトペーパー
• Google Appsセキュリティ
• Request for Information（情報提供依頼書）に対する標準的なレスポンス セキュリティおよびプライバシー（Office 365）

サービスとセキュリティのダッシュボード

　クラウドサービスではログの取得が自由にできないという問題がある。だからこそ、システム状況を正しく把握することがセキュリティ担当者にとってはサービス選択時の重要な要素となる。事故が発生してから情報を収集するようなインシデントレスポンスではなく、情報を定期的に収集しながら事故発生の予測をしたり、対応のための準備をする必要がある。なぜなら、クラウドサービスでは自由にログを取ることができない上、数年間分のログを保存しておき、それを活用することもできないためだ。

　そこでセキュリティ担当者の役に立つのが、クラウドサービスプロバイダーが提供するサービスダッシュボードである。

　今回は個別のサービスの例を提示しないが、システムの稼働状況やメンテナンスの情報、IaaSやPaaSではシステムの負荷状況やアクセス状況などさまざまな情報が提供されている。提供される機能での差別化が難しくなってきた中で、サービスダッシュボードで提供される情報やその使いやすさはサービス選択時の要素の1つになっているといっても過言ではない。

　情報セキュリティにかかわる情報が直接的に提示されていなくても、情報セキュリティマネジメントや情報システムサービスマネジメントに活用できる情報が提供されているかどうかが重要なポイントとなる。

ニフティクラウドのサービスダッシュボードから引用

マッシュアップとサービスダッシュボードの統合

　クラウドサービス利用の特長として、マッシュアップがある。1つのシステムを構成するために機能別に複数のクラウドサービスを利用し、効率的なシステム構築ができるのもクラウドサービス利用のメリットの1つだといえる。

　しかし、ここで大きな問題が発生する。いくらそれぞれのサービスのダッシュボードで十分な情報が提供されていたとしても、複数のダッシュボードを同時に閲覧し、情報を一元管理することは難しい。できれば1つのシステムの情報は1つのダッシュボードで把握したいというのが管理者の本音だろう。

　そこで、サービスダッシュボードについて吟味する際に、提供される情報の項目だけではなくAPIが提供されているかどうかについても検討をしてほしい。

　APIが提供されていれば、複数のサービスを自らが構築した統合ダッシュボードで一元管理することができる。最近ではサービスダッシュボードを一元管理できるサービスも提供され、クラウドサービスの管理そのものがビジネスにもなっている。

　クラウドサービスの利用によって難しくなったとされるインシデントレスポンスを効果的に行うためにも、サービスダッシュボードの統合管理はセキュリティマネジメントにおいて重要な要素となっている。

クラウドサービスの情報セキュリティのこれから

　クラウドサービスは進化したシステム構築環境やサービスを提供している。情報セキュリティ問題が懸念される以前に作成されたシステム環境とは違い、これまでのさまざまなベストプラクティスを考慮した環境が提供されていると考えるのが一般的だろう。

　とはいえ、全てのクラウドサービスプロバイダーのセキュリティ意識が高いとは言い切れない。また、新しい環境になることで、新たに発生する脅威や脆弱性があるかもしれない。

　ユーザーはプロバイダーとのコミュニケーションをどのように行うのかを前提に、サービスの選択を行うことが最も良いプロバイダー選択となるのだろう。

河野省二（かわの しょうじ）

株式会社ディアイティ セキュリティサービス事業部 副事業部長

東京電機大学　未来科学部　非常勤講師

滋賀大学経済学部会計学科を中退後、フリーのデザイナー、プログラマー、コンサルタントを経て、ディアイティ入社。コンサルティング部門を立ち上げ。

経済産業省の情報セキュリティ監査研究会、セキュリティガバナンス研究会、クラウドセキュリティ研究会などの委員を務め、政策策定に貢献。現在はSC27委員会にてクラウドセキュリティのISOを策定中。