クラウド提供者の運用管理手法と明確化されていない法的責任に注意：パブリッククラウドの10大リスク──対処のヒント【後編】

後編ではユーザー企業が確認しておくべき、クラウド提供者の運用管理に関する手法や取り決めについて、6つの項目で解説する。

[Laura Smith，TechTarget]

　パブリッククラウドコンピューティングの10大リスクと対処法を前後編で解説する本稿。前編「パブリッククラウド利用前に押さえておきたい4つのセキュリティリスク」では「ネットワークセキュリティ」「アイデンティティー管理」「コンプライアンス」「データ統合」という4つのリスクを解説した。後編では残す6つを紹介する。

期待と不安は雲のよう？　セキュリティから見たクラウドとの付き合い方

調査結果から見る中堅・中小企業のクラウドセキュリティに対する懸念

パブリッククラウドを選択できない企業、クラウドが越えなければならない壁

パブリッククラウドを使ったアプリケーション管理の限界

5. ベンダーロックイン

　この厄介な問題への対処法は、異なるクラウドプロバイダー間の相互運用性を実現する技術の進化に左右される。現在利用中のパブリッククラウドプロバイダーが行ったポリシー変更に不満があり、別のクラウドプロバイダーにワークロードを移行したいとしよう。従来は、それは至難の業だった。神が人々にさまざまな異なる言語を話させるようにしたというバベルの塔の伝説のように、クラウドごとに異なる技術が使われているからだ。しかし、多くのベンダーが相互運用性を重視するようになってきている。米Microsoftの「Azure」プラットフォームは、.NETと緊密に結びついているが、今ではスクリプト言語のPHPを使う開発者向けのオープンソースソフトウェア開発ツールキットも用意されている。以前はプロプライエタリだった米salesforce.comの開発プラットフォーム「Force.com」もJavaアプリケーション開発をサポートするようになっている。

オンプレミスとの連携を意識した「Windows Azure」

豊富なテンプレートを備えたアプリケーションプラットフォーム「Force.com」

6. ベンダーの存続

　クラウドは現在、多種多様な1万社ものプロバイダーから提供されていると、米Gartnerの著名アナリスト、トム・ビットマン氏は語った。「企業にとっては、プロバイダー間の調整を行い、クラウドに関する窓口となる相手が必要だ」と同氏。同氏は、企業のバックエンドシステムとクラウドサービスのデータ統合を支援する新タイプのシステムインテグレーターとして、クラウドブローカーが台頭すると予想している。2015年までに、クラウドサービスの20％は、クラウドプロバイダーから直接ではなく、クラウドサービスブローカー経由で利用されるようになると同氏は見る。この割合は、現在は5％にとどまるという。

　クラウドに関する窓口となるこうした存在の台頭は、クラウドサービスプロバイダーの再編の結果でもあるかもしれない。競争が激烈であるため、必ずしも小規模なプロバイダーが脱落するとは限らない。適切なプロバイダーを選択することは、IT担当役員にとって2011年に行う最も重要な意思決定の1つになるだろうとビットマン氏は語った。「これまでの事例では、プロバイダーが撤退し、彼らが預かっていたデータが失われてしまったケースもある」

7. 管理のしやすさ

　クラウドサービスは、企業が期待するレベルの管理性を提供しないかもしれない。「オンプレミスアプリケーションとクラウドアプリケーションのエンド・ツー・エンドの一元的なビューが得られれば理想的だろう」と、特別自動車保険を提供する米GainscoのCIO、フィル・ウエスト氏をはじめとするCIOは話している。2010年秋に米Vizioncore（現在は米Quest Softwareの傘下）、米Veeam Software、米LogMeIn、米Precise Software Solutions、米Compuware、Microsoftなどのベンダーが、社内環境からクラウドまで、エンド・ツー・エンドの可視化を実現する監視ツールおよび計画を発表している。

8. 可用性

　帯域の制約やDDoS（分散サービス妨害）攻撃といった原因にかかわらず、サービスの中断は企業にとって見過ごせない問題だ。「大事なのはサービスの品質であり、コストの安さではない」と、日本のディーアンドエムホールディングスのグローバルCIO、ラリテンドゥ・パンダ氏は語った。「サービスの中断は問題だ。われわれは何度か経験している」と同氏。「クラウドを利用するのは、自社で手を加えられる自前のインフラを運用するのとはわけが違う。クラウド上の他のサービスが、自社が使っているサービスのパフォーマンスを低下させる恐れがあっても、どうすることもできない」

9. リソース共有

　パブリッククラウドはマルチテナント方式を採用しているため、多くの企業をホストしており、これらの企業は同じインフラを共有している。テナントが1つのクラウドを共有することを前提とすることには大変なトラブルが発生するリスクが潜在していると、クラウド保険を提供する米CyberRiskPartnersのドルー・バートキーウィッツCEOは指摘した。「パブリッククラウドプロバイダーは、契約と、自分たちはトラブルを免れるという強い思い込みによって、リスクを軽減している」

　一方、クラウドのポイントは、スペースを共有することにあると、米InfoLawGroupの創設パートナー、ターニャ・フォーシェイト氏は語った。「クラウドを使うのであれば、その意義を認めなければならない。認めないなら、プライベートクラウドを使って、データを隔離するしかない」

10. 法的な不確実さ

　実のところ、クラウドにおける法的責任は明確になっていない。先例となる判例がないことが一因だ。パブリッククラウドプロバイダーが規制対象となるデータを流出させてしまった場合、そのプロバイダーも法的責任を問われるべきだとGartnerの副社長で著名アナリストのドルー・リーブズ氏は語った。「IT部門は、規制要件を盛り込んで自社に加えてプロバイダーも法的責任を負うように契約書を作成しているはずだ。ユーザー企業がプロバイダーにデータ管理要件を提示しているなら、ユーザー企業だけが法的責任を問われるのはおかしい」と同氏は説明した。クラウドにおける法的責任は明確化の途上にある。例えば、接続がダウンしたら、プロバイダーはダウン時間分のホスティング料金を請求しないかもしれない。だが、ダウンによるビジネス上の損失は補償されないと同氏は付け加えた。コンセンサスが固まる前に、クラウド保険ブローカーの新しいエコシステムが形成される可能性もある。

後戻りはできない

　これは、リスクというよりも現実に起こりつつあることだ。だがIT担当者は、企業がパブリッククラウドを導入すると何が失われるのかと心配している。「オンプレミス環境から出てパブリッククラウドを使い始めると、後戻りする必要があっても、そうしたいと考えても、それはまず不可能だ」と米J.C. PenneyのBlackBerry管理者、ダニー・ジェンキンズ氏は語った。「いずれは、社内システムに関して蓄積されてきた知識が不要になってしまうかもしれない」