専門家が指南するクラウドサービス選定基準【後編】信頼できるクラウドサービスプロバイダーの選び方 〜第三者認証の一覧表も

信頼できるクラウドサービスプロバイダーを選択する方法とは。第三者認証の他、プロバイダーが提供するSLAやホワイトペーパー、サービスダッシュボードなどを基に、必要なデータを迅速に取得できるかどうかが肝だ。

[河野省二，ディアイティ]

　前編「セキュリティ基準でクラウドサービスを選ぶポイント　〜国のガイドライン活用法も」では情報セキュリティ目線でクラウドサービスを選択する際の考え方について解説した。クラウドサービスのユーザーは、情報セキュリティマネジメントに必要な情報をクラウドサービスプロバイダーから取得し、自らのPDCAサイクルに活用することが必要である。そのために、コミュニケーションを取ることのできるプロバイダーを選択しようというのが前編の趣旨だ。

　後編ではコミュニケーションをより具体的にするための施策について考えていこう。

信頼できるプロバイダーとは

　「信頼できるクラウドサービスプロバイダーとは何か」という趣旨のアンケートがユーザー向けにさまざまな省庁や団体で行われており、読者の皆さんもデータを見たことがあるのではないだろうか。

　これらの結果から考察すると、情報セキュリティに関連する機能を有していることなどが重要なポイントとなっているが、客観的な保証という面では第三者認証の取得を求めている声も多いことが分かる。また、省庁が提供するガイドラインに応じた対策を実施していることもポイントの1つのようだ。

　情報セキュリティに関する第三者認証の代表例はISMS（情報セキュリティマネジメントシステム）認証（JIS Q 27001、ISO/IEC 27001）であり、国内の多くのサービスプロバイダーが取得している。プライバシーマーク（JIS Q 15001）などもポピュラーな認証だろう。最近ではより具体的な認証として、クレジットカードなどの利用を対象にしたPCI DSS（Payment Card Industry Data Security Standard）を取得しているプロバイダーも多い。海外ではSAS70（現在はSSAE 16およびISAE 3402）も定評のある認証である。

　ただし、多くの認証を取得しているからセキュリティ対策が十分にできているプロバイダーというわけではない。プロバイダーが取得したそれぞれ認証が、ユーザーにとってのメリットとなるかどうかが重要なポイントである。

　表1にそれぞれの認証の目的などを記載した。この表を参考に自らの組織が求める第三者認証とは何かを検討してほしい。