クラウドサービス運用のリスク管理

クラウド利用の進展とクラウドサービスのリスク管理

今や“クラウドファースト”という言葉が登場して久しく、クラウド利用は広く普及しています。リスク管理面から比較的クラウド利用が遅れていた金融機関についても、FISCによる利用ガイドラインが整備されるなど、クラウド利用に向けた環境が整ってきたこともあり、徐々に利用が広がってきている状況です。

一方で、普及に比例するかのように、クラウドに関するセキュリティ事故は増加し続けています。クラウド事業者側が管理する基盤へのサイバー攻撃や設定ミスによる情報漏えい・サービスの停止がたびたび発生しています。各種セキュリティ基準はそうしたインシデントの対応を反映しており、FISCが規定する安全対策基準やクレジットカード情報の取り扱いに係るセキュリティ基準のPCI DSSは、オンプレミスと同様にクラウドシステムへの適用が求められます。それ以外にもクラウドシステムのリスク管理として、ISMSなどの情報セキュリティ認証システムや相応の対策が求められる場合があります。

クラウド事業者は提供するサービスについて、クラウド利用者のセキュリティ要件、場合によっては上記のようなセキュリティ基準を満たすリスク管理が求められます。

クラウドサービスは、クラウドの種別やサービス毎の責任分界点によって差はあるものの、リスク管理が事業者側の体制や仕組みに依存し、利用者側では対処し得ないリスクも存在するため、然るべきセキュリティが担保されているかどうかがサービスの差別化のポイントにもなります。