チャン氏は、クラウド移行を成功させるには、企業が移行の目的を明確化することが不可欠だと指摘する。同氏は、クラウドベンダーの宣伝文句に流され、ビジョンがないままクラウドサービスの導入を進めてしまう企業があると警鐘を鳴らす。続けてデータ分類の重要性にも触れ、どのデータをオンプレミスシステムに残し、どれをプライベートクラウドやパブリッククラウドに置くべきかを明確にすることで、自社に最適なクラウドサービスの選定が可能になると述べる。

　オン氏は、国家的な視点からのレジリエンス（回復力）確保の必要性を訴える。同氏によると、シンガポール国内の全デジタルサービスは、クラウド移行後も堅牢（けんろう）性を維持できるよう取り組んでいる。

　特にオン氏が注意を促すのが、パブリッククラウド市場の集中リスクだ。少数の大手クラウドベンダーに依存する構造は、サービス停止時の影響が国全体に及ぶ可能性があると指摘する。

　現場寄りの課題として、チャン氏は「シャドーIT」（IT部門が関与しないIT活用）を挙げる。シャドーITがまん延すれば、ITシステム部門が把握していないツールやサービスの利用機会が増え、情報漏えいのリスクが高まるからだ。契約上の取り決めの重要性にも触れ、契約の範囲内でベンダーと協力しながらデータ漏えいの調査ができるようにしておく必要があると強調する。

　オン氏はクラウド移行でよくある落とし穴について言及する。オンプレミスシステムをそのままクラウドサービスに移す「リフト＆シフト」の形式で移行する際、作業を円滑に進めるために一時的に管理者権限を付与することは一般的だ。これをそのまま恒常的な設定として残してしまうと、組織全体のセキュリティリスクが高まる。開発者が管理者権限付きアクセスキーをソースコード管理ツール「GitHub」などの公開リポジトリにうっかり公開することも、外部からの侵入リスクを高めることにも注意が必要だ、と警告する。

　複数のクラウドサービスを併用する「マルチクラウド」でのデータガバナンスについてチャン氏は、そこにあるデータの流れと国や地域の法律の適応範囲を正しく理解する必要性を説く。その上で、Infocomm Media Development Authority（IMDA、シンガポール情報通信メディア開発庁）の「APEC越境プライバシールール」などの認証取得契約条項を条件に加える活用してといった、データ保護を強化することの取り組みが不可欠だと指摘する。APEC越境プライバシールールとは、APEC（アジア太平洋経済協力）に参加する国家間で個人データを安全かつスムーズにやり取とりするために、APECが策定されした認証制度のことだ。

　オン氏は次に、クラウドサービスの「責任共有モデル」を取り上げる。これは、データ暗号化や保護はクラウドベンダーだけではなく、利用者にも責任があるという考え方だ。シンガポールのクラウドセキュリティ政策はこの考えを基にしており、オン氏によると、CSAは重要インフラ事業者向けのクラウドセキュリティ能力フレームワークを策定中だ。

　クラウド移行の話になると話題に上がるのが「オンプレミス回帰」の動きだ。オンプレミス回帰とは、企業がアプリケーションやデータをクラウドサービスからオンプレミスシステムに戻すことだ。チャン氏によると、運用コストやセキュリティの理由から一部企業でそうした動きは見られる。ただ、どこにアプリケーションやデータがあっても、インシデント対応の手順を記載した「セキュリティプレイブック」や堅牢なバックアップ戦略が不可欠だとチャン氏は指摘する。「組織がランサムウェア（身代金要求型マルウェア）攻撃を受けたときには、バックアップデータにマルウェアが混入していないかどうかを確認するなど、バックアップがクリーンである状態を保つことも重要だ」とチャン氏は語る。

　議論の締めくくりとして、両氏はクラウドサービス契約に終了条項を必ず設けるべきだと述べた。それがあることで、契約終了時や他サービスへ切り替える時に、スムーズに移行できる助けになるからだ