セキュリティと財務基盤は別物？　新興PaaSベンダーにまつわる不安

PaaSベンダーとの契約では、企業としての安定性と財務基盤をめぐる懸念が妨げになる可能性がある。優れたソリューションを提供していても、新興ベンダーという理由で契約を断念する企業もあるようだ。

公開 2012年10月19日 08時05分

著者

Jan Stafford

[TechTarget]

印刷する連載新着通知を受け取る

　PaaS（Platform as a Service）とSaaS（Software as a Service）のどちらを選ぼうとも、データは企業のファイアウォールの外側に出され、企業のコントロールが及ばない領域に置かれてしまう。前編「クラウドセキュリティのリスク増大を招くSaaS／PaaSの利用」では、パブリッククラウド上でソフトウェア開発をしたり、SaaSを利用する場合のセキュリティ上の注意点を解説した。後編では、PaaSベンダーのセキュリティについて考える。

クラウドセキュリティに関する記事

新興PaaSベンダーにまつわる不安

　専門家によると、PaaSはアプリケーション、ストレージ、開発ラボをホスティングするプラットフォームであり、いずれの用途でもデータの保護が極めて重要だという。PaaSベンダーが提供する暗号化、データ可用性、APIキーセキュリティは、いずれも従来は社内開発者が担当していた機能であり、PaaSを導入する前にこれらの機能を注意深く分析しなければならない。「PaaSベンダーのフレームワーク、コード管理、欠陥追跡、バージョン管理などのアプリケーションライフサイクル管理ツールが自社の環境に対応していることを確認する必要がある」と専門家らはアドバイスする。また、SaaSベンダーは、これらのプロセスを改善するためのロードマップも用意し、それをSLAに明記する必要がある。

　PaaSベンダーが提供するセキュリティ機能をテストすることは重要だが、その際に特に重視すべきは、その安定性と特性を検証することだ。SaaSの成熟度および充実したベンダーベース（米Salesforce.comなどが好例）と比べると、PaaSはまだ開拓時代の西部のようなものだ。「PaaSの新興企業は、狭い部屋の中で20人ほどのスタッフがスナック菓子を食べながら毎日20時間働き、新技術の開発に取り組んでいるというような状況で、その一方には米Googleや米Amazon Web Servicesといった大手ベンダーが存在する」とブルックス氏は話す。

Salesforce.comのSaaSに関する記事

　企業としての安定性と財務基盤をめぐる懸念がPaaSベンダーとの契約の妨げになる可能性もある。コーネル氏によると、自社固有の問題に対する優れたソリューションを提供しているにもかかわらず、新興ベンダーだという理由で契約を断念する企業もあるようだ。

　「一般に小規模PaaSベンダーは、Amazonのような巨大ベンダーと比べると財務基盤が脆弱だ」とコーネル氏は指摘する。「だからといって小規模ベンダーのセキュリティが弱いということではない。財務基盤の不安定性というリスクを考慮に入れる必要があるというだけにすぎない」

　こういったリスクに対処するためには、社内開発者はベンダーが倒産した場合に、そのシステムから自社のコードを救い出すのかどうか、またその方法はどうするのかを事前に決めておく必要がある。さらにコーネル氏は、PaaS上でミッションクリティカルなカスタムアプリケーションを開発する前に、小規模なアプリケーションを開発するようアドバイスする。

　PaaSの中には、仮想化されたシステムがクラウドの衣装をまとったにすぎないものもある。「こういったベンダーは、クラウド上で運用するために開発されたのではない技術を転用しているのだ」とブルックス氏は指摘する。もともと単一ユーザーまたは単一組織用に設計されたシステムを修正しただけというケースも多いという（関連記事：“オレオレクラウド”にはこりごり、クラウドの本質を知る）。

　「これらの技術の大半は、あらゆるアプリケーションがファイアウォールの内側で動作し、信頼性が保証されていることを前提としたものだ」とブルックス氏は話す。開発者がコードを実行するための機能を提供することに主眼が置かれ、PaaSに悪質なコードがアップロードされるリスクは重視されなかったという。「この悪質なコードは正規のユーザーのデータを探り出そうとしたり、これらのユーザーの処理を実行しているプロセスを操作しようとしたりする」（同氏）

開発チームにとっての結論

　開発チームは、技術的な監視に加え、クラウド上のアプリケーションのセキュリティを維持するのに必要な日常作業を実施する必要がある。専門家たちによると、パブリッククラウドサービスを利用あるいは検討している企業では、クラウドセキュリティに関する問題、技術、慣行の最新事情に開発チームを精通させなければならない。特に、マルチテナント環境でのデータとアプリケーションのセキュリティや、データを社内からクラウドに移行する上での注意点を十分理解することが不可欠だという。

印刷する