モバイル／クラウドを生かすセキュリティ対策【後編】

クラウドの問題はベンダーの高慢な姿勢にあり

クラウドを利用する際に企業が直面する課題は少なくない。そうした課題を生み出す一因として、「高慢」で「変化に関心がない」クラウドベンダーの姿勢を指摘する声がある。

公開 2012年09月10日 08時01分

[TechTarget]

印刷する

　前編「私物iOS／Android端末やクラウドを安全にする『VPN』」では、私物端末の企業利用（BYOD）やクラウドの安全性を確保する具体策として、VPNをベースにしたシステムの活用事例を紹介した。後編は、セキュリティやサービス事業者の提供姿勢といった観点から、現状のクラウドサービスが抱える課題を示す。

　Microsoft Exchange ServerやMicrosoft SharePoint Server、その他の複雑なビジネスパッケージの管理負荷を軽減したいと望んでいる中規模企業に、リモートITサポートサービスを提供する米Azaleos。同社で製品管理マーケティング担当副社長を務めるのが、スコット・ゴード氏だ。

　Azaleosのサービスは、管理が必要なデータをやりとりする際、ユーザー企業のサーバにあるソフトウェアエージェントを利用する。これは、典型的なクラウドサービスとは正反対だ。ユーザー企業は、ハードウェアをホスティングする一方で、運用管理する人員をアウトソースすることになる。

　こうしたアプローチは、ミッションクリティカルなリソースへのリモートアクセスを許可する際、企業が抱く懸念に関する洞察を与えるものだ。ゴード氏は、クラウドサービスの相対的な利益を重視する一方で、VPNあるいは他の技術でネットワークを拡張しようとする他の企業にとって、同社のアプローチが役に立つかもしれないという。

　驚いたことにゴード氏は、セキュリティはクラウドに関する懸念の最重要事項ではないと話す。「セキュリティは、ちょっとした認識の問題だ」

　クラウドプロバイダーは、自社の事業規模や経験、専門性に応じた、厳格なセキュリティのベストプラクティスを保有している。

　ただし、どんなルールにもみられるように例外もある。医療や金融サービスといった厳しい規制を受ける企業にとって、正しいクラウドサービスプロバイダーを探すことは、四角い穴に丸い杭を打ち込むように難しい作業かもしれない。

　「コストだけを重視するなら、安いクラウドソリューションを選べばよい」とゴード氏は言う。「だがセキュリティを考えた場合、パブリッククラウドサービスが提供できる要素や、契約に関する社内のIT規制などに関して、やはり慎重にならざるを得ない」

　多くのクラウドサービスは、長年にわたる企業の伝統との深い統合という面では、IT部門が管理するシステムに後れを取っている。

Dropboxでは好きな色が選択できる。それが青でありさえすれば

　多くのクラウドサービスに関する別の問題は、米Ford Motorの設立者ヘンリー・フォードが語った「顧客は好きな色を選択できる。それが黒でありさえすれば」という言葉のような、高慢なサービス提供の態度である。

　典型的な例は、シンプルで美しいB2B（企業間）Software as a Service（SaaS）で知られる米37signalsだ。

　37signals共同創立者のジェイソン・フリード氏は、複雑化するニーズに対処できるように37signalsの製品ラインを進化させてほしいと、多くのユーザー企業が同社にアプローチしてきたとブログで明かした。

　「われわれは、それらにノーと答えた」とフリード氏は語る。「理由は、顧客が37signalsの製品に縛られるのではなく、いずれそこから脱皮してほしいと望むからだ」

　これは、企業家が終わりのない複雑化を避けようとする場合には示唆に富む言葉だ。だが、その哲学が小さなSaaSベンチャーから大手の米Googleまで浸透していった事実は、多くのクラウドサービスは文化的に既存のビジネスプロセスと合わないように作られていること、そして変化することに関心がないことを意味している。

　「多くのクラウドサービスは、機能面だけでなく、計画停止やアップグレードなどについても“ワンサイズフィッツオール”（万能）な方式を採用している。これは業界全体で一律的な動きだ」とゴード氏は語る。

　長くテクノロジーの聖戦を戦ってきた、米地方銀行Needham Bankの情報技術担当副社長であるジェームズ・ゴードン氏は、どの技術を導入するかについて、IT部門には実質的な権限があると強調する。

　「IT部門は現実に向き合う必要がある」とゴードン氏は言う。「ユーザーはやりたいことを成し遂げるだろう。ある企業がソーシャルメディアを禁止するポリシーを定め、一方で競合他社が禁止していないとしたら、禁止している企業ではポリシーを破るユーザーが大量に出てくるのは時間の問題だ」

　ITに対するこうした現実的なアプローチは、クラウドに何を移行し、社内システムに何を残すかを定める意思決定にまで及ぶ。オープンなインターネットからのセキュリティ脅威によって、クリティカルなデータやプロセスに穴が開くことをなくすためだ。

　「クラウドへ単に移行したとしても、責任がなくなるわけではないことを念頭に置いてほしい」とゴードン氏。「もし何かうまくいかないことがあれば、CEOは多くの理由を付けて私を解雇するだろう。私はMicrosoft Office 365もDropboxも使っていない。私の役割は、もはやITプロフェショナルではなく、IT管理の第一人者である。それは技術ベンダーを管理することであり、決して軽く考えてはならない仕事だ」

印刷する