デジタルトラストの構築に向けたPwCのアクション：クラウドファーストにともなう環境の変化とリスク管理・セキュリティ対策に求められること（AWS）

「ゲート」よりも「ガードレール」が時代に適している

辻：かねてからAWSは、クラウドセキュリティの考え方を「ゲート」から「ガードレール」に切り替えるべきだと訴求していますよね。これはどのような意味なのでしょうか。

瀧澤：オンプレミス環境では、ITシステムの構築に時間と手間が掛かりました。そのため、システムにゲート（門）を設けてルールを作り、「門の中でルールを守っているかを監視する」というアプローチでセキュリティを確保していました。しかし、これでは「新しい環境を素早くセットアップしたい」という顧客の要求を満たすことはできません。

そこでガードレールの考え方が登場します。ガードレールは道路外への飛び出し防止を目的としたものですが、道路状況によっては追い越したりUターンしたりできる環境を提供していますよね。つまり「前提となる環境が変わる中、ガードレールを破らないというルールはあるが、その範囲内であれば、ある程度の自由度を許容する」というアプローチです。

辻：「ガードレールアプローチ」をクラウドに当てはめるとどうなるのでしょうか。

瀧澤：ユーザー企業は自社のクラウド運用ポリシーを設計し、そのポリシーに対して逸脱した運用がないかを監視し、適切にリスクをコントロールするということになります。

クラウドの最大の価値はビジネスの変化に応じてITシステムを柔軟に変更できることです。これは企業それぞれにとって最適なシステムを運用できるという点で非常に有用です。しかし、データの保存場所が変わったり、増えるユーザーごとにアクセス可能範囲を変えるといった細やかな対応が必要になったりすると、セキュリティ部門が全体をコントロールできなくなるリスクがあります。IT環境の変化に応じて継続的にポリシーを運用し、適切な管理を行うには、「自動化」と「可視性」、そして「コントロール」が重要です。自動化については後述しますが、変化を可視化して把握できるようになれば、リスクコントロールも効率化できます。

辻：なるほど。可視性とコントロールの話が出ましたが、クラウド環境下では、その方法も変わりますよね。オンプレミスの時代は完成したシステムをリスクベースで評価し、チェックリストを作成してセキュリティの状況を確認していました。しかし、ITシステムもそれを取り巻く環境も変化する状況では、チェックリスト自体も動的なものが求められますね。

瀧澤：おっしゃるとおりです。ゲートの内側で一律のルールを適用するのでは、時代の変化に対応することができません。「ルールに幅を持たせて自由度を与え、その中でリスクをコントロールする」という考え方が重要になります。

辻：お話を伺っていて、企業はセキュリティに留まらず、リスク管理の在り方をも変えなければいけない時代に来ていると痛感しました。とはいえ、オンプレミスからクラウドへの移行は一大決心であり、導入に保守的な企業もあるのではないでしょうか。

瀧澤：そうですね。ただ、クラウド活用によるビジネス変革は、現実に多くの企業で起きています。まずはクラウドの特性を理解し、クラウドを導入することで何が便利になるのか、現在のIT環境がどのように変化するかを見極めることから始める必要があります。この点が曖昧な状態でクラウドを運用すれば、リスクを増大させかねません。

クラウドは「競争」ではなく「協調」の場

辻：お話いただいたような自動化は、オンプレミスとクラウドのハイブリッド環境や、複数のクラウドを導入しているマルチクラウド環境でも可能でしょうか。

瀧澤：そこはトライ&エラーで検討し、改善を続けていくことが大切だと考えます。日本企業ではクラウドよりもオンプレミスの利用比率が高いですが、これはいずれ逆転するでしょう。そうした際には、新しいクラウド環境での効率的なポリシー管理やリスク低減の施策が求められます。企業のリスク管理部門はトライ＆エラーを繰り返し、改善を重ねていくことが重要です。

そうした取り組みをしなければいけないのは、クラウド事業者も同じです。AWSはグローバルで数百万の顧客を擁しており、お客様の要望を聞きながらトライ＆エラーを繰り返してサービスを拡充しています。その根底には「競争領域では各企業で競い合うが、ITインフラという共通化できる領域ではユーザー全員がプラクティスを出し合い、よりよいプラットフォームを運用していく」というクラウドシステムの本質とも言える考えがあります。

辻：クラウドを戦略的に活用することでよりよいITプラットフォームを確立でき、企業は自社の競争力を高める領域にフォーカスできるようになる、ということですね。

PwCあらた有限責任監査法人は2020年に、クラウド活用促進を目的としたコンソーシアム（APN Security Consortium Japan）を設立しました。同コンソーシアムのメンバーは、コンサルティング企業やシステムインテグレーター、セキュリティベンダーなどからなります。メンバーがそれぞれの知見を持ち寄り、会計監査やリスク管理、サービス品質保証（SLA: Service Level Agreement）の観点からクラウド活用のベストプラクティスを検討し、ナレッジの共有を目指したいと思っています。

瀧澤：クラウドは変化が激しい領域なので、企業が単独で知見を溜めようとしても限界があります。コモディティ化した部分は共通化するほうが効率がよいですよね。さまざまな立場のパートナー企業が、知見を出し合いながらリスク管理を改善していくというアプローチは、非常によいと思います。

辻：PwCあらたとしても同コンソーシアムの活動を盛り上げて企業や組織のDX推進に貢献し、クラウド活用の機運を高めていきたいと思います。本日はありがとうございました。