エンドユーザーによるクラウド設備実査要求は百害あって一利なし：クラウドガバナンス現在進行形【番外編1】

クラウドキャリアに要求されるディペンダブル設計、クラウドブローカーに適したロバスト設計、今後普及が期待されるレジリエンス設計を解説するとともに、クラウドにおける本質的な安全確保の方法を再考する。

[川田大輔]

　連載「クラウドガバナンス現在進行形」では、さまざまな面からクラウドにおけるガバナンスの考え方を検討してきた。技術やビジネスモデルを軸にしたさまざまなウォールドガーデン（※）ごとに形成されるガバナンスフレームワークを標準フレームワークに基づいて評価し、個々の利用者にとって受け入れ可能な利用方法を決定していくことが重要であり、“ウォールドガーデン＝ガバナンスフレームワークを跨ぐ利用”を行う際の統治方法こそがクラウドガバナンスのテーマだと結論できた。そう、実はクラウドガバナンスについての議論は出発点にたどり着いたにすぎないのだ。

（※）ウォールドガーデン（Walled Garden）：壁に囲まれた庭を意味するが、転じて提供事業者によって管理されたクローズドな環境下でのサービス取引を指す。ウォールドガーデン内での提供事業者が許容する操作は自由だが、ウォールドガーデン外への接続が著しく規制されているのが通常で、顧客囲い込み戦略の一形態。古くは NIFTY-Serve（後NIFTY SERVEに改称）のコンテンツサービス、近年ではNTTドコモiモードなどが代表例。最近はGated Communityともいう。

連載：クラウドガバナンス現在進行形

第1回　“オレオレクラウド”にはこりごり、クラウドの本質を知る

第2回　クラウドは本当にコストダウンになるのか

第3回　クラウドは安全か？　事業者との責任分界点、注目すべき安全基準とは

第4回前編　クラウドはオンプレミスとデータ連携ができる？　どうなる連携コスト

第4回後編　クラウドが直面する各国の法制度　〜パトリオット法の影響とは？

第5回　クラウドの応答性能とサポート品質を客観的に比較するには

第6回　クラウド事業者がサービスを中止する5つのケース

第7回　クラウドのベンダーロックインを回避するための処方せん

連載インデックス

　この先の議論を始める前にガバナンスフレームワークを跨ぐ利用、すなわち従来のITガバナンスの枠組みを超えてクラウドガバナンスの枠組みを検討しなければならない理由の補充説明をしておきたい。

アクター種別ごとに異なる適切な設計手法

　連載第3回「クラウドは安全か？　事業者との責任分界点、注目すべき安全基準とは」で、ISO/IEC Guide51に基づいてリスクと危害の定義に沿って安全の定義を紹介したことを思い出していただきたい。専門家の間で広く受け入れられている、

• 安全（Safety）：受け入れ不可能なリスクから解放されていること

という定義を示し、完全な安全は存在せず、顧客や上司から「絶対に安全なのか？」と聞かれた際に、誠実であろうとすればするほど答えがややこしくなるという結論を示した。一方、「絶対に安全」に限りなく肉薄していくとディペンダビリティ（Dependability）に行き着くことも示した。

クラウドキャリア、クラウドプロバイダーに要求されるディペンダブル設計

　ディペンダビリティとはAvailability（可用性）、Reliability（信頼性）、Safety（安全性）、Confidentiality（機密性）、Integrity（完全性）、Maintainability（保守性）の6つの概念を包含した考え方で、もともとは無停止コンピューティング研究の分野で提唱された概念だ。基本概念と用語については産業技術総合研究所が「対訳ディペンダブル・セキュアコンピューティング（PDF）」で解説しているので参照してほしい。ここでは、「基幹系システムや航空機などの設計で利用されている極めて高い信頼性を確保するための方法論」とだけ整理しておく。

　ディペンダブルな設計はシステムの信頼性と安全性、機密性、完全性を極めて高いレベルで担保できるが、システムから外部性を排除しなければならない。システムの範囲（境界領域と境界条件）が常に不変で定義や仕様が一定しており要素還元可能、言い換えると全ての構成要素とその組み合わせを把握することによって「絶対に安全」に限りなく近づいていくアプローチなのだから当然だ。この考え方を利用して極めて高い信頼性を持つ組み込みシステムや重要インフラ、航空機などのディペンダブルな設計が行われてきた。原理的に外部性の存在が前提のオープンシステムでは狭義のディペンダブルなシステム設計と実装は行えないことになる。

　もちろん、オープンなシステムがそれぞれ共通の尺度でディペンダビリティを担保すれば全体としてのディペンダビリティを確保することは可能になる。オープンなシステムでのディペンダビリティを確保するために“閉じた系”を対象とした従来のディペンダビリティの枠組みからマネジメントの考え方を取り入れ、“開放系”を想定したオープンシステムディペンダビリティという考え方に基づくDEOS（Dependability Engineering for OpenSystems：オープンシステムのためのディペンダビリティ工学）分野が成立している。実際、クラウドガバナンス現在進行形でも何度か触れたTM ForumによるSIDやeTOM、DMTFによるCIMI-CIMの開発は、DEOSの文脈に収めることが可能だ。NIST SP500-292が定義したCloud Carrierをはじめ、大手のCloud Providerなど、これからも極めて高い信頼性を担保することが必然的に要求される分野において広義のディペンダビリティに基づいた設計アプローチは重要であり続けるだろう。

　しかし、読者諸賢に対し「それは絶対に安全なのか？」と問い掛けを発している人々の多くは、これほど大掛かりな安全性担保の仕組みをイメージされているのだろうか？　ここでは「されていない」と想定して話を進めたい。

クラウドブローカーに適したロバスト設計