Technology)のエバンジェリストこと、ITコーディネータの元村憲一です。何か役立つまたは、面白そうな事が書いてありそうだ」と思われたら、是非読者登録してください。GEITについての続きです。これまでほとんどは、ISACAの話題を中心にお伝えして来ましたが、第210回目からは、ISACAを離れて、日本のGEIT人材であるITコーディネータについて、お伝えしています。【ITコーディネータ関連の環境変化の続き5】ITコーディネータ制度は、経済産業省が、日本の競争力を回復する高度人材として、未来を見据えた構想の中で制度化した割には、10年以上経った現在でも、非常に認知度が低く、その活用も不十分な状態が続いています。第213回から、この十数年の間に起こった、ITに関係する最大の環境変化の、オンプレミスからクラウドへの移行についてお伝えしています。)のセキュリティセンターが、2011年4月25日に公表した、以下ページにある2つの資料で、説明して行きます。『中小企業のためのクラウドサービス安全利用の手引き』の続きをお伝えします。・中小企業のためのクラウドサービス安全利用チェックシートとその説明クラウドサービスの導入を検討する際には、以下の両面の立場から検討する必要があります。・経営者や経営管理に携わる・クラウド利用を実際に所管するIT担当この資料には、最低限これだけは確認しておく事が望ましいと思われる項目が、以下の3つの領域に分けて整理されています。クラウドサービスの提供条件等についての確認項目(6項目)3つの領域を付録のチェックシートで確認して、チェックが付かなかった項目に関しては、クラウドサービスの導入・利用に際して、セキュリティ等に関するリスクが発生する可能性があります。きな支障が発生する恐れがないか)どうかを改めて検討します。問:クラウドサービスを提供する事業者は、信頼できる事業者ですか?そのサービスを提供するクラウド事業者について、以下を確認します。・経営が安定して信頼できるか・サービスの提供が長期間安定して行われるか経営の評価は難しいですが、以下の様な項目が判断の参考になります。(ア)株式公開企業であるか(イ)何年業務を続けているか(ウ)利用者の数が多いか(エ)事故の情報がたびたび聞かれたりしないか万一の障害対応がきちんと行われているか(オ)そのサービスを、事業実績のあるシステムインテグレータやITの販売店が代理販売しているか(カ)対象のクラウドサービスが、大手クラウド事業者が提供するプラットフォーム上で提供されているか(ア)株式公開企業であるか株式公開企業は、経営状況について審査を受け、定期的に情報を公開しています。(イ)何年業務を続けているか長年事業が継続していれば、安定性、継続性の指標になります。利用者の数が多いか多くの人が利用している事は、信頼性が高い結果である可能性が高くなります。どんなユーザがいるかが判れば、より参考になります。そのクラウドサービスを実際に利用しているユーザと話す事が可能なら、以下の様な事について悪い評価はないか確認します。・障害の対応(エ)事故の情報がたびたび聞かれたりしないか、万一の障害対応がきちんと行われているか(オ)そのサービスを、事業実績のあるシステムインテグレータやITの販売店が代理販売しているか信用や実績のある事業者が推奨、再販しているサービスは、ある程度安心して利用できます。(カ)対象のクラウドサービスが、大手クラウド事業者が提供するプラットフォーム上で提供されているかコンピュータメーカや通信事業者も、クラウドサービスを提供しています。その場合には、基盤となっているクラウドサービス部分のセキュリティや信頼性(可用性や攻撃等)への耐性は高いものと考えられます。留意点:これらはあくまで参考情報であり、これらを満たしている事は必須でありません。これらの項目に適合しているからと言って、それだけで信頼できるとは限りません。新規参入で実績はないが、利用価値の高い新事業者・サービスも登場してくるので、それらをうまく安全に活用する視点も大事になります。回復目標時間クラウドサービスは、メンテナンスや障害のために、予告して、あるいは突然止まることがあります。その対策方針等は、SLA等の文書で示されている場合が大多数です。※SLA(サービスレベルアグリーメント、またはサービスレベル契約書)以下の事を確認しましょう。予告や予測が困難な、クラウドサービス側のトラブルが発生した際の対応として、以下を確認します。・クラウド事業者側からどのような方法で連絡をしてくるか・トラブルが生じた場合には、速やかに通知が来る様になっているか(ウ)稼働率保証として示されている突然の障害等に対して、以下の項目などを総合して、稼働率保証として示されている事があります。稼働率保証の場合は、率の基礎となる計算単位が何か(通常、月単位)を確認します。※年単位の場合は、0.1%の停止でも、理論的には8時間45分連続して停止する可能性もある事になります。この稼働率保証の事を簡略化して、SLAと呼び習わしている事もあります。稼働率保証は、通常、それ以上のサービス停止があった場合には、何らかの補償をしますという条件で示される事が一般的です。※必ずしも示された稼働時間が保障されている訳ではない事が注意点です。想定外の長時間の停止に備えて、(8)で確認したようなアーカイブによる備えをする事が望まれます。(オ)現在のクラウドの情報を常時提供しているクラウド事業者によっては、ダッシュボードと呼ばれる画面等で、以下の様な現在のクラウドの情報を常時提供している場合があります。・トラブルの状況この様な事業者は、サービス稼動についての管理が充実していると期待でき、必要な時に随時運転状況を確認できるので安心です。問:クラウドサービスにおけるセキュリティ対策が、具体的に公開されていますか?多くの場合、クラウド事業者は、自社のセキュリティ対策に関する解説をウェブサイトで公開しています。以下の様な形を取るケースも多い、年次報告書を公表している場合もあります。・セキュリティに関するホワイトペーパー(レポート)以下のセキュリティ対策に関する項目について、クラウド事業者のウェブサイト等で説明されているかを確認します。ログセキュリティに関しては、以下のものも含めて数多くあります。認証これら指針等の例としては、次の様なものがあります。定める18号監査による、『内部統制に関わる監査報告』)(12)利用者サポート問:サービスの使い方がわからない時の以下の様な支援は、提供されていますか?・ヘルプデスク・FAQユーザ支援のための施策として、以下の様なものがあります。・使い方に関する質問を受け付けてくれるヘルプデスク(カスタマー窓口)これらのユーザサポート施策が、充実していて安心できるか確認します。様な手段が提供されている事を確認します。