クラウドサービス導入時のセキュリティ審査のポイント – 責任共有モデルと、参考とすべきセキュリティ認証・ガイドライン

クラウドサービスのセキュリティ上の課題とリスク

国内におけるサイバーセキュリティへの関心が日増しに高まっています。企業においては会社法上、取締役が内部統制システムを構築することが求められますが、最近では、サイバーセキュリティ体制の構築がここに含まれるとの認識が一般化しつつあります ¹。

また、政府は、サイバーセキュリティ基本法の下で法令や監督体制の整備を進めており、個人情報保護法はもちろん、金融機関・Fintech事業者、電気通信事業者、病院・診療所、地方自治体といった規制業種の監督においても、サイバーセキュリティが重要な項目となりつつあります。国民生活・経済活動の基盤となっているサービス（基幹インフラ）については、2024年5月から、経済安全保障推進法に基づき、システムの導入や管理の委託の際に、事業所管官庁に届出を行い、審査を受けなければならない制度の運用が開始されています（基幹インフラ事前審査制度 ²）。また、現在、政府は、サイバー安全保障法制の整備を進めており、クロスボーダー通信の分析（インテリジェンス）や、基幹インフラやクラウドサービスの提供者について、セキュリティ管理体制の構築とインシデント報告を正面から義務付けることも検討されています ³。このように、サイバーセキュリティへの取組みは必須であるという認識は日々浸透が進んでおり、各所で対策がとられています。

他方で、企業のシステムにおいてはクラウドサービスが果たす役割の重要性が増してきていますが、クラウドサービスは多数のユーザーにサービスを提供するという特性から、クラウドサービス提供者が独自に仕様や規約を定めており、ユーザー企業としてはそれを受け入れるか、受け入れずにサービスそのものを利用しないという選択肢しか取り得ないケースが少なくありません。しかし、そのような場合でも、ユーザー企業がセキュリティに関する義務を免れるわけではなく、十分な検討を行わないまま利用を開始してしまうと、ユーザー企業自らの法令上の義務違反や契約上の債務不履行につながるリスクがあります。

クラウドサービスの提供者とユーザーの責任

このような状況で重要となる考え方が、クラウドサービス提供者とユーザー企業の役割分担（責任共有モデルと呼ばれることがあります）を認識したうえで、信頼できるクラウドサービスを選定し、適切な設定を行うというものです。

すなわち、クラウドサービスのサイバーセキュリティのレベルは、クラウドサービス提供者のセキュリティレベルとユーザー企業のセキュリティレベルの双方に依存します。前者について、先述のようにクラウドサービス提供者による独自の仕様や規約を受け入れられるかどうかでしか判断できない場合は、信頼できるクラウドサービス提供者を選ぶことが重要になります。一方、後者については、選んだサービスをよく理解し、適切な設定を行うことが重要です。

たとえば、内閣サイバーセキュリティセンター（NISC）による「クラウドを利用したシステム運用に関するガイダンス」⁴ では、クラウドサービスを活用するうえでの注意点について、以下のとおり要約されています。

信頼できるクラウドサービスの選定

セキュリティ認証・基準

信頼できるクラウドサービスを選定するうえで、最も簡易な方法は、「ISMAPクラウドサービスリスト」⁵ に搭載されていることを確認することです。ISMAP（Information system Security Management and Assessment Program）は、政府機関が使用するクラウドサービスの候補となるものを、NISCが事前に一元的に審査する制度 ⁶ で、掲載されているクラウドサービスが備えるセキュリティ水準は、ひとまず信頼できるものと考えられます。

その他、クラウドサービスのセキュリティ水準を判断するうえで参考となる認証等としては、以下などがあげられます。

参考となる情報・ガイドライン

一方、ISMAPをはじめとした認証を取得していないようなクラウドサービスである場合は、クラウドサービス提供者からの情報提供、たとえばセキュリティホワイトペーパー等のクラウドサービス提供者が公開している文書や、クラウドサービス提供者の営業担当者、代理店、ベンダー等から共有される文書を基に信頼性を判断することになります。

クラウドサービスの信頼性を評価する観点については、総務省が公開している「クラウドサービス提供における情報セキュリティ対策ガイドライン （第3版）」⁷ が、クラウドサービス提供者がとるべき情報セキュリティに関するベストプラクティスを以下の項目ごとに整理しており、参考となります。

クラウドサービスの適切な設定方法

信頼できるクラウドサービスを選定したとしても、ユーザー企業において適切な設定がなされていなければ、セキュリティは確保されません。昨年2023年においても、設定ミスによる情報漏えい事案がいくつも発生しています。たとえば、トヨタコネクティッド株式会社が使用するクラウド環境に関する誤設定により、トヨタ自動車株式会社から取扱いが委託されていた個人データが外部から閲覧できる状態にあり、個人データの漏えいのおそれが発生した事案 ⁸ や、株式会社エイチームにおいてGoogleドライブの閲覧範囲の誤設定があり、個人情報の漏えいに発展した事案 ⁹ などがありました。

これらの事案は、いずれも公開設定や、アクセス権を付与する範囲を誤ったことに起因するものですが、そのほか、適切な設定がされていないケースとしては、識別・認証・認可が不十分である、ロギング（ログの取得）やモニタリングが不十分であるといったものが考えられます。

総務省が2022年に公開した「クラウドサービス利用・提供における適切な設定のためのガイドライン」¹⁰ は、クラウドサービス利用者のベストプラクティスを以下のような事項をあげて整理しており、参考になります。

導入後の継続的なモニタリング・見直し

設定が適切かどうかは、個別の運用状況に依存します。そのため、クラウドサービスの導入後は、利用状況にあわせた適切な設定がなされているかを継続的にモニタリングする必要があります。最近では、設定を一元的に管理するツールも普及しつつあり、リスクに応じて導入を検討する必要があります。

また、クラウドサービスの仕様変更や、自社におけるビジネスやそのやり方の変化により、新たなリスクが生じることがあります。加えて、仮に、セキュリティリスクが低下しているにもかかわらず、基準をアップデートしないとすると、生産性の低下やシャドーITを誘発する可能性があります。そのため、基準自体についても、継続的に見直す必要があります。