クラウドサービス（SaaS）利用契約における情報セキュリティに関する留意点

1　情報セキュリティ

情報セキュリティとは、「情報の機密性、完全性及び可用性を維持すること」をいいます ¹。
情報セキュリティについては、相対的に「機密性」のイメージが強く持たれている場合が多いように思われます。しかし、情報セキュリティを高めるためには、情報セキュリティの3要素（機密性、完全性および可用性）を総合的に考慮して、バランスを取ることが重要となります。

２　情報セキュリティの3要素とクラウドサービス（SaaS）との関係

以下では、情報セキュリティの3要素（機密性、完全性および可用性）とクラウドサービス（SaaS）との関係について説明します。

2-1　機密性

機密性とは、「認可されていない個人、エンティティ又はプロセスに対して、情報を使用不可又は非公開にする特性」をいいます ²。

クラウドサービス（SaaS）では、インターネットを介してデータが送信されます。そのため、パッケージソフトウェアを購入して自社で使用し、インターネットを用いない場合と比較すれば、一定のリスクがあるといえます。

しかし、現在は、多くの企業が出張先等からアクセスすることができるシステムを採用しており、また近時、急速に普及したテレワークでは、インターネットを介して自社システムへのアクセスを行っていることを考慮すると、インターネットを介したデータの送受信は、企業が利用するシステム全般において行われており、クラウドサービス（SaaS）に特有のものではないといえます。

クラウドサービス（SaaS）は、多くの場合、サービスを利用する各社ごとに1台のサーバを使用するのではなく、複数のサービス利用者がサーバを使用するマルチテナント方式で運営されています。そして、この点について、自社の情報が他のサービス利用者に漏洩してしまわないか不安であるとの指摘があるようです。
しかしながら、各利用者間のデータが正確に読みだされるか否かは、物理的にどのサーバに保存されているかではなく、どのサーバにデータがあるかというラベリングが正確になされているかによります。そのため、クラウドサービス（SaaS）がマルチテナント方式で運営されているケースが多いことは、クラウドサービス（SaaS）に特有な機密性に関するリスクではないといえます。

2-2　完全性

完全性とは、「正確さ及び完全さの特性」をいいます ³。

一般的に、サーバに保存されているデータは、クラッシュ等によって消失することがあるため、完全性を高めるために、バックアップを取るのが一般的です。そして、一般的に、企業が自らバックアップを行うよりも、クラウド事業者がバックアップを行う方が効率的であり、また、バックアップに関するミスやトラブルが発生する可能性も低いと思われます。そのため、クラウドサービス（SaaS）を利用することにより完全性におけるリスクを低減することができるといえます。

特に、地理的に離れた複数のデータセンタでデータを保管する方法によれば、地震等の局所的な災害が発生した場合にもデータが失われず、速やかにクラウドサービス（SaaS）の利用を再開することができますので、クラウドサービス（SaaS）において重要なデータや、頻繁に利用するデータを取り扱う場合には、検討するべき方法であるといえます。

2-3　可用性

　

可用性とは、「認可されたエンティティが要求したときに、アクセス及び使用が可能である特性」をいいます ⁴。

クラウドサービス（SaaS）では、インターネットを介してデータを送信するため、インターネットの利用に伴うアクセス不能や、データ遅延等の事象が生じ得ます。この点、クラウド事業者は、緊急時に対応することが可能な高度なスキルを有する人員を一定程度は確保していることが多いといえます。一方、企業では、人件費の観点から、緊急時を想定した場合に必要な人員を常時確保しておくことは困難です。そのため、クラウドサービス（SaaS）を利用することにより、企業は可用性におけるリスクを低減することができるといえます。

また、クラウドサービス（SaaS）の可用性については、クラウドサービス（SaaS）の契約終了後の事業継続性に留意が必要です。より具体的には、クラウドサービス（SaaS）利用契約の終了時に、クラウドサービス（SaaS）事業者からデータを受領できる旨の条項を規定することが必要であり、特に、受領するデータのデータ形式を、汎用性が高いデータ形式（または、汎用性が高いデータ形式と互換性のあるデータ形式）とすることにより、別のクラウドサービス（SaaS）や自社システムへの移行を行いやすくすることが重要となります（詳細は、「事業継続のためにチェックすべきクラウドサービス（SaaS）利用契約の4つのポイント」をご参照ください）。

3　情報セキュリティを踏まえたクラウドサービス（SaaS）の選択

クラウドサービス（SaaS）に求める品質について検討するうえでは、SLAが重要となります。SLAとは、提供されるサービスの範囲・内容・前提事項を踏まえたうえで「サービス品質に対する利用者側の要求水準と提供者側の運営ルールについて明文化したもの」をいい、多くの場合、契約文書の一部、または、独立した文書として締結されます ⁵。

クラウドサービス（SaaS）の品質が高い方が利用者に望ましいものの、高い品質を求めるほど、利用料金が高くなっていくことになります。そのため、クラウドサービス（SaaS）に求める品質のレベルについては、情報セキュリティの3要素のバランス、および、クラウド事業者に送信し、利用等を行うデータの重要性、機密性等を踏まえて、利用料金とのバランスを考慮して決めることが必要です。

そして、この検討を進めるうえでは、情報システム部門が主体となって対応する必要がありますが、SLAは契約内容の一部であることに加えて、SLAの内容は、情報漏洩等の法的リスク、損害賠償の内容等と関連するため、法務部門と連携して進める必要があるといえます。

情報セキュリティの3要素と、SLAの主な項目の関係は以下の通りです。

情報セキュリティの3要素と、SLAの主な項目

情報セキュリティ	SLAの主な項目
機密性	通信の暗号化、ログの取得
完全性	データのバックアップ方法、バックアップデータの取得頻度
可用性	稼働保証 6、同時アクセス数

※SLAの主な項目の内容については、「クラウドサービス（SaaS）の利用契約においてSLAとして規定すべき項目と留意点」をご参照ください。

4　サービス更新にあわせ利用者がとるべき対応に関する留意点

クラウドサービス（SaaS）では、利用者の手を煩わせることなく、事業者側で、機能追加、バージョンアップ等のサービスの更新を行うことができます。そのため、クラウドサービス（SaaS）では、一般的に、利用者が頻繁にサービスの更新を受けることができるというメリットが存在します。
しかし、事業者が行う頻繁なサービス更新について、利用者側で適切な対応を行わないと、情報セキュリティに問題が生じることがあります。実際、クラウド事業者が行ったサービス更新に関する利用者による対応が不十分であったために、意図せずに、秘密とすべき情報が外部から自由に閲覧できる状態になってしまっていたという事案が発生しています ⁷。

そこで、利用者としては、クラウド事業者から提供される情報等に基づき、サービス更新に伴い利用者側で対応すべき点について、適時、かつ、適切に対応することが重要となります。
また、クラウドサービス（SaaS）を選択する際に、サービス更新への利用者の対応についてサポートが充実しているサービスや、利用者が対応すべき点について丁寧な情報提供を行っているクラウドサービス（SaaS）を選択することも考えられます。

5　まとめ

クラウドサービス（SaaS）を利用する際には、クラウド事業者に送信し、利用等を行うデータの重要性、機密性等を踏まえて、情報セキュリティの観点から必要なSLAの内容を規定することが重要となります。

情報セキュリティの検討においては、情報セキュリティの3要素（機密性、完全性および可用性）を総合的に考慮し、3要素のバランスを取ることが重要になります。特に、機密性を重視し過ぎて、3要素のバランスを失することがないように留意することが必要です。

また、クラウド事業者が行う頻繁なサービス更新への対応が不十分であることにより情報セキュリティに問題が生じることがないように、クラウドサービス（SaaS）のサービス更新に、適時、かつ、適切に対応する必要があります。

---