一般に、社内にセキュリティチームや管理チームを用意していないほとんどの企業は、マルチテナント方式のクラウドERPが適している。多くのクラウドベンダーが、こうした領域に専用チームを用意しているためだ。マルチテナントサービスは優れたセキュリティ機能を有することが多く、それも企業が社内に備えるセキュリティを上回ることが多い。

　ただし、シングルテナントクラウドは、それを必要とする企業に平和と安全をもたらす。一流のセキュリティチームを抱えている企業であれば、特に機密データをクラウドアーキテクチャの残りの領域から隔離するために追加手順を踏むことをいとわない企業なら、防御レベルを強化できるだろう。

　こうすることで、チップレベルの脆弱（ぜいじゃく）性を悪用するハッカーに対する保護層を追加できる。こうしたハッカーは、クラウドベンダーのサーバにある同じハードウェアで実行している他のアプリケーションを侵害する。例えば、米国の国立科学財団が後援した調査では、ターゲットのアプリケーションと同じサーバに対してスヌーピング（のぞき見）アプリケーションを導入できることが実証された。

　チップレベルの脆弱性が幾つか発見されたのは最近のことだが、この調査はそれよりも前に行われている。以前の攻撃ではアプリケーションをリッスン（待ち受け）することしかできなかった。だが、チップの脆弱性を悪用する新たな種類の攻撃では他の手口でアプリケーションを侵害できる恐れがある。

　理論的には、シングルテナント導入によってデータベースアプリケーションレベルにも分離層を追加できる。マルチテナントERPアプリケーションで同じバックエンドデータベースが顧客間で共有されると、アプリケーション層での脆弱性により全ユーザーのデータが侵害される恐れがある。ただし、本稿執筆時点では、このような種類の攻撃が実際に行われたことはない。

　長い間、マルチテナント方式のクラウドサービスは、シングルテナント方式のクラウド導入よりも必然的にセキュリティが劣るという認識があった。だが、それは変わっていくかもしれない。

　「マルチテナント型SaaS（Software as a Service）ベンダーは人材、プロセス、テクノロジーに多額の投資をしている。顧客向けに最高水準のデータプライバシーを確保するためだ」とアービッシュ・バッシ氏は話す。同氏は、売掛金決済プラットフォームを提供するHighRadiusでグローバルマーケティング部門の統括責任者を務めている。

　同氏によると、ERPのプライベートインスタンスを完全に壁で囲い込むことが可能な企業はもはや世界に存在しないという。「最近の企業は従業員に対し、デスクトップやモバイルを利用して自宅や出先からこうしたシステムにアクセスすることを推奨している。それどころか要求までしている」とバッシ氏は述べる。

　つまり、シングルテナントを選ぶ企業ではセキュリティ管理の点で極めて高い能力が必要になる。その実現には多くの中堅企業だけでなく、大企業でさえ苦労する。

プライバシーに対する懸念

　マルチテナント型クラウドで懸念されている領域の一つはデータガバナンスに関連する。クラウドベンダーが提供するアプリケーションがどのような情報を収集しているかを見極めておくことが重要だ。そうすれば、データプライバシーの懸念に抵触していないことを確認できる。これが重要になるのはGDPR（EU一般データ保護規則）だ。GDPRでは個人情報の定義が拡大され、EU居住者が使用するIPアドレスまで含むようになっている。

　クラウドアプリケーションベンダーの多くは、顧客が使っているマルチテナントクラウドアプリケーションのパフォーマンスを監視している。こうしたデータは、問題を特定し先回りして解決するために利用される。アップグレードの不具合を見つけたり、企業顧客が実際に使用している機能を突き止めたりするのにも使われる。ベンダーはこうしたフィードバックを頼りにアプリケーションのパフォーマンスを改善する。

　だが、デメリットもある。ERPシステムとの統合をしているアプリケーションベンダーが、意図せずに個人情報まで収集する可能性がある。その結果、GDPRやHIPAA（医療保険の相互運用性と説明責任に関する法令）に関わる法的責任が生じかねない。

　シングルテナント型クラウドERPアプリケーションでは、ベンダー分析ツールに対するプライバシー保護が提供されることで、コンプライアンスの取り組みが支援されることもある。それにより、クラウドベンダーとデータを共有する場合に、共有するデータを企業が細かく制御できるようになる。