結論から言えば、重要なシステムをパブリッククラウド（AWS）で構築しようとする企業にとって、安全性を確認するための有益なテンプレートであり、必須の資料（リファレンス）である。金融機関をはじめユーザー企業全般にとって、クラウド活用の際に大いに参考となるものだ。ぜひ入手して、ご一読いただきたい。本稿では概要を駆け足で紹介する。

正式名称

　前述の資料の正式名称は「金融機関向け『Amazon Web Services』対応セキュリティリファレンス」である。長いので、本稿では単に「セキュリティリファレンス」と呼ぶことにする。

　「金融機関向け」とあるが、金融機関に限定されるわけではない。この表現が残ったのは、セキュリティリファレンスが「FISC安対基準」（後述）をベースにしているからだ。以下ではFISC安対基準について概説し、その後、セキュリティリファレンスの読み解き方を説明しよう。この順序であれば、AWSを安心安全に使うための「考え方の構造 」をスムースにご理解いただけると思う。

FISCとは？

　FISCとは金融庁の外郭団体である「金融情報システムセンター」（The Center of Financial Industry Information Systems）の略称である。金融機関の情報システムに関してさまざまなガイドラインや調査リポートなどを発行している。最も有名なものが「FISC安対基準」だ。

多くの企業がよりどころにするFISC安対基準

　FISC安対基準の正式名称は「金融機関等コンピュータシステムの安全対策基準・解説書」である。金融機関ではシステムに関して高い安全性とセキュリティが求められるが、FISC安対基準はその具体的な指針として、全ての金融機関が共通のよりどころにできる良質なガイドラインとなっている。最新版（第8版）では、データセンターや銀行建物、ATMの設置などの設備基準（138項目）、システムの運用基準（114項目）、安全性やセキュリティの観点から満たすべき技術的基準（53項目）などが定められている。

　金融業特有の部分を除けば、一般企業においても十分参考になるため、実際に活用しているという企業は多い。希望者はFISCのWebサイトから1万500円（税込み）で購入可能だ。

FISC安対基準とクラウドの相性

　ただし、これらの項目はオンプレミス（あるいは従来型のデータセンター利用）のシステムを前提としており、必ずしもパブリッククラウドの利用を前提としていない。AWSを使うのであれば、AWSの利用を前提に、全ての項目を何らかの方法で満たす必要がある。従来型のシステムであれば作り込みや人間系の運用によって基準を満足させることは難しくないが、クラウド（特にAWS）はサービス要素の多くがブラックボックス化している。「基準を満たしている」ことを説明するためには、さまざまなアイデアや発想の転換によって責任分担を明確化した運用を行わなければならない。

　では、AWSを利用する際にどのようにすればFISC安対基準の各項目を満たし得るのだろうか。どの項目がAWS側の責任で、どの項目がユーザーの責任なのだろう。AWSが適切な対応をしていることはどうやって確認できるのだろう。ユーザーは何をすればよいのだろう。ユーザー企業1社1社が個別に悩んでいては無駄が多そうだ。そこで登場したのが「FISC対応」のセキュリティリファレンスである。

セキュリティリファレンスの読み解きに当たって

　セキュリティリファレンスは、FISC安対基準のうち、ATM設置に関する項目などを除去した約250項目をカバーしている。まず、これらの項目ごとに次のような分類（責任境界の線引き）を与える。

1．クラウド事業者（AWS）がセキュリティ対応済み

2．クラウド利用者（SI事業者やユーザー自身）が適切な運用をすれば対応できる

　この分類はAWSについて十分な知見がないと曖昧になりがちだ。セキュリティリファレンスは作成者（後述）の経験と知見によって、この線引きをクリアに行っている。

　また、1については次のように分解している。

1－1．AWSの公開文書によって対応済みであることが明らかなもの

1－2．AWSの公開文書には掲載されていないが、AWSが取得している第三者認証などから適切な対応が取られているものと推察されるもの

1－3．上記のいずれでもないが、適切な対応が取られていることを作成者が確認したもの

　上記の1－1、1－2については、対応する文書や認証基準の項目への詳細な参照を併記している。膨大かつ煩雑な作業の集大成であり、無償で公開されている意義は大きい。また、上記の2については「対策例」を示している。こちらも作成者のノウハウが凝縮されている。

　セキュリティリファレンスの到達点は以下の点にある。

• FISC安対基準の個々の項目について、AWS側とユーザー側の責任分界点を明確にできる
• AWS側の対応状況について、きちんと理解するためにはFISC安対基準と各種文書を項目ごとに照らし合わせながら読み込むことが必要だが、その手間を大幅に低減できる
• ユーザー側で対応すべき項目について十分な措置を講じれば、対象となるシステムがFISC安対基準全体を順守していることを説明できる

　従来であれば、AWSを利用するユーザー企業がFISC安対基準を順守しようとすれば、上記250項目ついて前述の作業を自力で行わなければならなかったのだが、本セキュリティリファレンスの登場によりその手間は大幅に減少される。それだけでもこの資料の価値が非常に高いことが分かる。作成者の共同による英知の結晶と言ってよいだろう。

よくある誤解

持っていればよいわけではない

　この資料を入手すれば「AWS利用に際してFISC安対基準への対応は完璧」というわけではない。前述の通り、利用者側の責任と明記され適切な運用をすることが求められている部分があり、その内容は各社の実情やシステムの運用に併せて「埋めて」いく作業が必要だ。

FISCのお墨付きが得られるわけではない

　勘違いされる方も少なからずおられるが、FISC自身は今回のセキュリティリファレンスの作成には関与していないし、コメントなども表明していない。本質的に関与したりコメントしたりする立場にないのである。ご留意いただきたい。

　そもそもFICSは「基準を示す」組織であり、「認証を与える」組織ではない。従って、「AWSの利用について、FISCがお墨付きを与えた」とか「この資料に準じてAWSを利用すればFISCは文句を言わない」というのは根本的に間違った発想である。

　では、誰がどのような経緯でこのリファレンスを作成・公表しているのか、見てみよう。

セキュリティリファレンスの作成者と経緯

作成者

　オリジナル（ver1.0）の作成者は、以下の3社である（50音順）。

• SCSK
• 電通国際情報サービス（ISID）
• 野村総合研究所（NRI）

　いずれも金融分野を得意とするシステムインテグレーターであり、いわば競合関係にあるが、同資料の作成に当たっては密接に協業している。

　現在は、下記の4社を加え、計7社体制となっている。

• シーエーシー（CAC）
• TIS
• トレンドマイクロ（TM）
• 三井情報（MKI）

　なお、作成に当たって、AWSの日本のスタッフ（アマゾンデータサービスジャパン）の協力を得ていることは言うまでもない。ただし、セキュリティリファレンス自体はAWSの見解としてではなく、上記3（ないし7）社の共同著作物という形式を採っている。

経緯

　なお、FISCは、2013年3月にFISC安対基準の追補版を発表した。こちらもFISCのWebサイトから5000円（税込み）で購入可能だ。そこには「クラウド」というキーワードが項目として初めて記述されている。同追補を受けて、セキュリティリファレンスも2013年秋にも改訂版（ver2.0）が発表される予定である。

目的と手段の入れ替わりに注意

　セキュリティリファレンス自体はこちらで入手可能である。

　詳細な読み解き方は続編の解説記事（後述）に譲るが、根本となる考え方をここで示しておこう。

　まず、FISC安対基準には次の2種類の記述がある。

• 基準の趣旨
• 適用に当たっての考え方

　これらはそれぞれ次のようなものと考えられる。

• 基準の目的をやや抽象的に述べたもの
• 基準を満たす実施方法の一例を具体的に書き下したもの

　やや強引だが、次のような比喩が分かりやすいだろう。

• 果物のリンゴは傷みやすいので適切な管理を行うこと
• 冷蔵庫の野菜室に入れることが望ましい

　ここで述べられていることは次のようなことだ。

• 目的（重要。順守すべきもの）
• 手段（一例。必ずしも盲従すべきものではない）

　上記の例でいえば、果物のリンゴは、オガクズの入った木箱に入れて、冷暗所に置くことでも「適切な管理」が可能だ。もちろん、そのような設備を持っている外部業者と契約を交わして管理を委託してもよいだろう。

　しかし、目的と手段が入れ替わってしまった人も多いのも事実だ。そういう方は、しばしば「野菜室を装備した冷蔵庫を備え付けないと基準を順守できないから意味がない」と言う。木箱の利用や外部への委託などは発想外になってしまっているのだ。

　クラウドは革新的なテクノロジーであり、ビジネスのトレンドでもある。新しいモノの活用には新しい発想が必要だ。もちろんブレてはならない原理原則はある。セキュリティリファレンスもその点（FISC安対基準の趣旨）は網羅的に重視している。しかしその実現手段には新しい「ものの見方」が必要なケースもありそうだ。本リファレンスは、それを明示する羅針盤ともいえる。

　既に多くの企業がこの羅針盤を手にして、パブリッククラウドのメリットを享受しようとしている。古い考え方にとらわれることなく、時代の流れに乗り遅れないよう気を付けたい。

　本稿ではセキュリティリファレンスについて簡単に紹介するにとどめたが、近日中に具体的な読み解き方を解説する記事が掲載される予定だ。セキュリティリファレンス策定のコアメンバーである電通国際情報サービスの渥美俊英氏が執筆する。併せてご一読いただければ幸いである。一連の記事が読者各位においてクラウド活用の一助となることを願う。