評価基準は我流ではなく信頼できるものを

クラウド選定で頼りにしたいセキュリティ認証の“お墨付き”

セキュリティの標準規格や認証方法には数多くの種類が存在する。それだけに、クラウド事業者を選ぶときには注意が必要だ。規格や認証方法の選択ではどのような項目に注意すればいいのだろうか。

公開 2015年12月18日 12時00分

著者

Dan Sullivan

[TechTarget]

印刷する

多種多様な認証方法やセキュリティ規格から自分たちに合ったものを選ぶとき、何を基準に評価すればいいのだろうか

　クラウドサービスを利用するために必要なセキュリティの要件は、業界によって異なるのは当然として、社内ですら部署によって異なる。ただ、共通する要件も多いので、クラウドセキュリティ認証の主流や標準規格が“自然発生”する。セキュリティ手法の標準規格には、「Service Organization Control」（SOC）リポートのように各業界に幅広く適用できるものもあれば、「Health Information Trust Alliance」（HITRUST）のように特定業界向けの標準規格もある。

　この記事では、クラウドサービス導入で評価の指標として現在利用できるセキュリティ手法や認証方法に関する標準規格を幾つか紹介しよう。

併せて読みたいお薦め記事

クラウドサービスとセキュリティを巡る話題

SOC1／SOC2／SOC3リポート

　SOC1リポートは、事業者の財務諸表に関する内部統制の内容を保証する。SOC2リポートとSOC3リポートは、セキュリティ、可用性、処理の整合性など、情報システムに関する各種の状況を保証する。

ISO 27001

　ISO（国際標準化機構）が定める「ISO 27001」は、あらゆる業界に適用できるセキュリティ標準規格だ。セキュリティの要件、実装、評価、行動規範などを規定している。

CSA STAR

　クラウド業界団体「Cloud Security Alliance」（CSA）の「Security, Trust ＆ Assurance Registry」（STAR）認証も一般的なセキュリティ標準規格の1つだ。実際、他の標準規格を策定するベースになっている。STARはクラウド事業者向けの認証で、「Cloud Controls Matrix」（CCM）と「Consensus Assessment Initiative Questionnaire」（CAIQ）という2つの主要コンポーネントで構成する。CCMは、クラウドサービスのセキュリティリスクを評価するための基準を定めたものだ。CAIQは、利用者がクラウドサービス事業者を評価するときに確認すべき質問事項をリストしている。

HITRUSTとPCI DSS

　「Health Information Trust Alliance」（HITRUST）と「Payment Card Industry Data Security Standard」（PCI DSS）は、それぞれ医療業界とクレジットカード業界にとって重要なセキュリティ認証だ。HITRUSTは、医療情報のセキュリティ強化を目指す業界団体で、業界共通のセキュリティフレームワーク「Common Security Framework」（CSF）の策定に取り組んでいる。CSFは、実装要件や代替コントロールの詳細を示している。CSF認証を達成すれば、HIPAA（米国における医療保険の相互運用性と説明責任に関する法令）とHITRUSTへの準拠を保証したことになる。

　以上のクラウドセキュリティ認証には、当然ながら重複する部分がある。これらに加えて、米商務省配下の国立標準技術研究所（NIST）が公開しているサイバーセキュリティフレームワークも確認しておくといいだろう。これは、サイバーセキュリティを向上させるためのフレームワークを定義するドキュメントで、認証関連の規格ではない。だが、このドキュメントには、より具体的なセキュリティに関する参考文献やリンクを収録している。

印刷する