{{item.videoDuration}}
{{item.title}}
{{item.text}}
{{item.videoDuration}}
{{item.text}}
デジタルトラストの構築に向けたPwCのアクション：ユーザー企業は「Shadow IT」「責任分界点」「グローバル対応」に懸念‐聴講者アンケートから読み解く、クラウド推進の課題
2019年11月13日に開催した「PwC's Digital Trust Forum 2019 デジタル化する社会におけるサイバーセキュリティとプライバシー」のパネルディスカッションでは、聴講者に対して「ITインフラにおけるクラウド推進の課題」をテーマにアンケートを実施しました。本稿ではアンケート結果を基に、クラウドサービス導入・推進に取り組む過程においてユーザー企業が直面する課題と今後の対応について考察します。
クラウドのリスク把握に「Shadow IT」への対応は必須
ユーザー企業が直面している現在の課題として最も多かったのが「Shadow IT」（IT統括部門が把握せずに従業員が使用しているデバイスやクラウドサービス）に対する懸念です。「社内標準ストレージの使い勝手が悪いこともあり、ユーザー（従業員）が任意で無料・有料の外部サービスを使用している」「事業部門側が勝手にクラウドサービスプロバイダーと契約してしまう」といった声が寄せられました。
こうした懸念は、クラウドを利用する際に留意すべきリスクを特定できていない不安の表れと言えます。
若い世代のユーザーにとって、PCやモバイル端末は「常にネットワークにつながっているもの」です。どのロケーションにデータを保存しているか（オンライン環境かオフライン環境か）をあまり気にしないので、普段利用している利便性の高いクラウドストレージサービスを業務でも利用したいと考えるのは当然です。
しかし、会社が許可していないそういったサービスを利用すれば、安全性が確認できていないため、機密情報が漏えいしてしまうリスクは高まります。また、IT部門があずかり知らぬところで契約されたサービスに対しては、会社としてのセキュリティ対策やインシデント対応を施すことができません。
外部のクラウドサービスを利用する場合には、利用ポリシーや運用ルールを事前に作ることが必須です。まずは「どの部分（業務）で」「どのクラウドサービスを」「どのような契約で」利用しているかを把握することが大切です。
どこまでが「自己責任」なのか、責任分界点を明確に
聴講者アンケートによってもう1つ明らかになったのは、クラウドサービス事業者とユーザー企業との責任分界点を明確にする難しさです。「クラウドサービス事業者の設定ミスで情報漏えいが発生するのが恐い」「クラウド事業者に対しては保証型監査を活用すればよいのか」「クラウド利用者の責任範囲に係る監査手法が分からない」など、何を基準にクラウドサービスを監査し、どのように責任分界点を定めればよいかに迷う声が多く寄せられました。
責任分界点の明確化が困難な要因の1つに、「クラウドサービスの多様化」が挙げられます。IaaS（Infrastructure as a Service）やPaaS（Platform as a Service）、SaaS（Software as a Service）など、さまざまなレイヤーのクラウドサービス（図表1）がある状況では、それぞれのクラウドの特性を理解していないと、責任分界点を明確にすることは困難です。なぜなら、責任分界点は利用するサービスによって異なるからです。
例えば、SaaSではネットワークのセキュリティ対策はクラウド事業者の責務ですが、IaaSではユーザー企業の責務になります。
責任分界点を明確にするためには、ユーザー企業が「どのクラウド事業者が」「どのようなサービスを提供し」「どのようなビジネスモデルを採用しているのか」を把握しなければなりません。そして、そのクラウドサービスを利用する際のリスクを棚卸しし、「そのリスクが自社のビジネスにどのくらい影響を与える可能性があるのか」「リスクが顕在化した場合にはきちんとした対策が講じられるのか」といったポイントを分析します。その上で、「自社にとってどのリスクが深刻なのか」をランク付けし、リスクシナリオを考え、各クラウドサービスに対してリスクアセスメントを実施するのです。
こうしたリスクアセスメントは、クラウドサービス事業者との契約前に行っておく必要があります。そして認識されたリスクに対して、契約上の責任分界点がどのようになっているかを検証・審査する必要があります。
クラウドサービスを審査する際に役立つのが、クラウド事業者が作成している「コンプライアンスレポート」です。これは、法律で要求されているセキュリティ要件事項を事業者が実装済みかどうかを示したものです。
また、一部の業界ではシステムインテグレーター（SIer）や企業がコンソーシアムを設立しています。例えば、金融業界は銀行・保険・証券・IT事業者が出資し合い、「金融情報システムセンター（FISC）」を設立しました。FISCではクラウドサービス事業者が安全基準を満たしているかといった調査や、インシデント情報の収集・共有などを実施しています。こうした情報も参考にするとよいでしょう。
また、責任分界点とは異なりますが、行政への基準の策定に関する要望も聴講者から寄せられました。「クラウドセキュリティに関する第三者評価（認証）を取得した業者のサービスは、安全性が保証されていると言えるのか」「総務省・経済産業省の（クラウドサービスの）安全性評価で業者の安全性を一定水準は担保できると考えるが、攻撃者はそれを上回る能力がある。その対策はどう考えたらよいか」といった声も挙がりました。
経済産業省と総務省は現在、行政機関や企業が一定のセキュリティ基準を満たすクラウドサービスを導入するため、安全性の評価を行う制度の作成を進めています。具体的には、政府が管理基準や安全性評価基準などを策定し、その基準を満たしたクラウドサービス名を「登録簿」にして公開するのです。これにより、各行政機関や企業が個別にクラウドサービスを評価する手間がなくなり、スムーズなクラウド導入が可能になると期待されています。
2019年12月時点において、総務省と経済産業省が主催する「クラウドサービスの安全性評価に関する検討会」は、海外のガイドラインなどを参考に各種基準の素案を策定している段階です。なお、制度の運用開始は2020年秋ごろを予定しています。
世界共通基盤のクラウドを利用する際はデータの取り扱いに細心の注意を
また、クラウドがグローバルな共通基盤であることに起因する不安の声も聞かれました。「外部サービスの利用で、IT部門が知らぬ間に個人情報を域外移転している可能性がある」「個人情報が国外移転禁止だとすると、異なるリージョンでのバックアップは取れないのか」「ビジネスをグローバルで展開する際、どのように各国のデータローカライゼーションの動きと折り合いをつけていくか」といった悩みです。
クラウドを利用する際に留意すべきは、格納する情報（データ）の取り扱いです。日本の個人情報保護法に基づく日本国外移転規制により、顧客や従業員の個人情報を海外に移転することは禁止されています。欧州にはGDPR（EU一般データ保護規則）が、中国には「中国サイバーセキュリティ法」があるように、ほとんどの国では、国を超えて個人情報を移転することは原則禁止なのです。
例えば、海外支社のデータセンターに日本国内の顧客データをバックアップしたり、米国リージョンのクラウドサービスにデータを保存して世界各国の子会社からアクセスしたりすることは、個人情報保護法違反に当たります。例外要件を実行するには、法務上の手続きが必要になります。個人情報のバックアップ方法は、社内の法務部を交えて検討する必要があります。
もう1つ多く聞かれた課題として、データローカライゼーション規制にどのように対応していくかが挙げられます。
データローカライゼーション規制とは、ある国で特定の事業活動を営む場合に、当該事業活動に必要なサーバーやデータ自体を国内に設置・保存することを求める規制です。データローカライゼーション規制では対象データが多岐にわたるため、データを越境移転する場合には、当該国政府の許可などが必要になるケースがほとんどです。また、規制の内容は各国によって異なるため、対応策の平準化が難しい状況です。
残念ながら現時点では、グローバル規模で対応を迫られるデータの取り扱いについては、多くの企業が明確な方針を打ち出せていません。中には「クラウド業者のサーバーが海外にある場合、地政学的な問題でサーバーが押収されるリスクはどう回避したらいいのか」といった声も聞かれましたが、そもそもこうした課題の解決は、民間企業一社で対処できるものではないのです。
クラウドの利用がさらに加速し、企業が情報システムを設計・移行する際にクラウドサービスの採用を第一に検討する「クラウドファースト」が当たり前になりつつある中、法整備も含めた各国の対応が注目されます。
{{filterContent.facetedTitle}}
{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
