結局「FinOps」とは何か？ なぜコストにもセキュリティにも効果があるのか：FinOpsとセキュリティの関係【前編】
クラウドサービスに関するコストの管理手法「FinOps」とセキュリティには、意外な関係性がある。両者の協業がもたらす効果と、企業のクラウド戦略における重要性とは。
企業のクラウドサービスのコストを管理する手法として「FinOps」がある。FinOpsは、複数のクラウドサービスの支払い内容を一元化して可視化し、IT部門と財務部門、事業部門が連携してクラウドサービスのコスト管理に取り組む手法を指す。FinOpsを実現するには、自社のクラウドサービスの利用パターンを把握する必要がある。特に重要なのが、クラウドサービスに潜むセキュリティリスクに関する洞察を得ることだ。FinOpsがセキュリティの運用にも関係するのはなぜなのか。
結局、FinOpsとは？ セキュリティにも関係するのはなぜ？
FinOpsは、クラウド管理戦略の一環としてFinOpsの実践を確立し始めたばかりの企業が最初に重視すべきものだ。具体的には以下の手順を踏む。
- クラウドサービスの使用状況の測定
- コスト効率の測定
- クラウドリソースの最適化
- KPI（重要性能評価指標）の設定
- 継続的なモニタリング
財務部門と事業部門向けのレポートだけではなく、セキュリティ部門のニーズを満たすアラートとレポートの作成も必要だ。FinOpsチームは、セキュリティ部門をステークホルダー（利害関係者）として、無駄なクラウドサービスや過剰なリソース配分に関するデータを共有すべきだ。セキュリティ部門との協力によって、クラウドセキュリティのリスクを抑えることができる可能性がある。
FinOpsチームとセキュリティ部門の協業で重要な取り組みは、協力関係を毎年検証する必要がある。この取り組みを通じて、FinOpsの習熟度向上とツールの進化に合わせ、セキュリティチームがより正確なFinOps関連データを利用できるようになる。セキュリティ部門はこのデータを用いてクラウドサービスの監視、インシデント対処、フォレンジック（インシデント発生時の痕跡調査や被害解明の取り組み）を実行するという流れだ。
FinOpsとセキュリティの効果的な連携は、企業のFinOps実践の成熟度に比例して発展する。非営利団体FinOps Foundationは、企業のFinOps実践の成熟度を評価するための「FinOps Maturity Model」を提唱しているが、その中ではサイバーセキュリティに言及していない。だが実際には、FinOpsチームとセキュリティ部門の協業体制が確立している状態は、FinOps Maturity Modelで上級レベルに相当する「Run」の段階にある、成熟した企業の証だと言える。理想的には、そうした協業体制の確立は、Runの1つ下のレベル「Walk」で実施すべきだ。両チームの協業をクラウド管理に組み込み、共同での意思決定、ガバナンス、インシデント対処を通じて得た教訓をフィードバックして改善できる。
良好な関係を築くには？
FinOpsチームとセキュリティ部門の協業体制の構築は、FinOpsツールを選択する段階から始めるのが望ましい。FinOpsチームは、セキュリティ要件と制約を理解することで、より的確にコストの予測、予算配分の計画、不要なコスト削減を進めることが可能になる。このような予測はより費用対効果が高いクラウド運用につながる。
次のステップは、FinOpsチームの継続的なフィードバックを支援するコミュニケーションとコラボレーションの場を作ることだ。クラウド管理ツールのレポートや、グループチャットを活用したコスト最適化など、取り組みやすい形でよい。FinOpsチームとセキュリティ部門の定期的なミーティングを実施するよりも、両者のオープンなコミュニケーションを優先させるべきだ。
こうした初期ステップに続いて、さらなる協業を目指すのであれば、FinOpsツールをセキュリティ部門のSIEM（セキュリティ情報およびイベント管理）システムと連携させることを検討する。そうすれば、クラウドサービスのコストデータとセキュリティイベントを関連付け、クラウド運用に対する包括的な見解を提供できるようになる。
次回は、FinOpsとセキュリティ部門の連携が実際のセキュリティ対策としてどう役立つのかを解説する。
TechTarget発 世界のインサイト＆ベストプラクティス
米国TechTargetの豊富な記事の中から、さまざまな業種や職種に関する動向やビジネスノウハウなどを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.