6. クラウドサービスの情報セキュリティ管理

この章では、ISO/IEC27036 Part4[1]をベースに、クラウドサービスの情報セキュリティ管理をサプライチェーンの１つとして見て行きます。その前に、まず現在のクラウドサービスに関するISOでの標準化の状況を俯瞰しておきましょう。

6.1 クラウドサービスの情報セキュリティマネジメントに関連したISO規格の体系

図９にクラウドサービスの情報セキュリティマネジメントに関連したISO規格の関係を示します。まず、情報セキュリティマネジメントを議論する枠組みとして、クラウドサービスの定義、参照アーキテクチャに関しては、ISO/IEC 17788[2], 17789[3]で行われています。これに従って、クラウドカスタマとクラウドサービスプロバイダとの間で必要となるSLA(Service Level Agreement)のフレームワークは、ISO/IEC 19086の４つのパートで述べられています[4][5][6][7]。

これらの規格に基づいて、クラウドサービスカスタマ、クラウドプロバイダ双方に要求される情報セキュリティの要求条件と管理策がISO/IEC 27001, 27002に対して補足、追加する形でISO/IEC 27017[8], ISO/IEC 27018[9]としてまとめられました。ISO/IEC27018は特にパブリッククラウドサービスにおける個人情報（PII: Personally Identifiable Information）保護に着目した規格になっています。

以上の規格化の動きと並行して、ISO/IEC27036 Part4がまとめられています。これは、クラウドサービスカスタマとプロバイダをサプライチェーンの関係として捉え、Part3まででとられている考え方を踏襲して、システムライフサイクルプロセスに対応した情報セキュリティ管理のガイドラインを示しています。特に、ISO/IEC 27017との差分としては、クラウドサービスの提供機能による類型（アプリケーション、プラットフォーム、インフラストラクチャ）に対応した一般的なリスク分析とそれぞれのサービス提供にあたって必要なクラウドサービスプロバイダが具備すべき標準的なセキュリティ管理機能がまとめられています。

図9. クラウドサービスの情報セキュリティマネジメント関連ISO規格

6.2 クラウドサービスの類型

以下では、ISO/IEC 17788, 17789で示されているクラウドサービスの定義、類型と特徴、およびこれに対応したISO/IEC 27017でまとめられている情報セキュリティに対する要求条件、管理策について概要をまとめておきます。

まず、クラウドコンピューティングとは、“セルフサービスのプロビジョニング（provisioning）およびオンデマンド管理を備える、スケーラブルで伸縮自在な共有できる物理的または仮想的なリソース共用へのネットワークアクセスを可能にするパラダイム”と定義されています。ここで、リソースの例としては、サーバ、OS、ネットワーク、ソフトウエア、アプリケーションおよびストレージが含まれており、

1. 物理的または仮想的なコンピュータリソースにネットワークを介して接続、
2. ユーザーはリソースのプロビジョニング、オンデマンドの管理が可能、リソースは自由に拡張、縮退可能、
3. これらの機能は、定義されたインタフェースを介して呼び出される、とされています。

また、クラウドサービスの類型を見ていくと、物理的または仮想的なリソースの管理および共有によって体系づける方法として、パブリッククラウド、プライベートクラウド、コミュニティクラウド、ハイブリッドクラウドに分けることができます。表８にその特徴を示します。

• 1: ここでクラウドサービスカスタマとは、クラウドサービスを利用する契約主体を意味します。実際にクラウドサービスを利用するユーザーをクラウドサービスユーザーと呼ぶことにします。

クラウドサービスプロバイダが提供するアプリケーション、アプリケーション実行環境（アプリケーションはカスタマが配置、実行）、基盤リソース（OS、データベース、ストレージ、ネットワーク）などクラウドサービスの提供機能によって分類することもできます。また、実際のさまざまなクラウドサービスはこれらの提供機能の組み合わせによって提供することも可能です。この考え方に基づく類型を表９²に示します。

• 2: ISO/IEC 17788 Annex A[2]等を参考に作成。クラウドサービス区分はここで示しているもの以外にもさまざまなものが存在し得ます。クラウドサービスは現在まだ進化の途上にあることから、今後新しいクラウドサービスのパラダイムも出てくると考えられます。

6.3 クラウドサービスの特性と関連する一般的リスク

クラウドサービスには従来のオンプレ型のITシステムには無い、さまざまな特性が存在します。これらの特性によって、クラウドサービスの利活用を便利にする判明、サービス固有のリスクも発生します。以下ではISO/IEC 17788で取り上げられている代表的な特性を述べるとともに、これに付随したリスクの例をまとめます。

クラウドコンピューティングの一般的特性と付随するリスク

1. 幅広いネットワークアクセス： 標準的に利用可能な、多様なネットワークサービスを介してリソースに接続することが可能です。利用可能なネットワークがありさえすれば、携帯端末、タブレットPC、ノートブックPC、ワークステーションなど多様な電子機器を用いて，ユーザーはどこからでも物理的または仮想的リソースにアクセスできる、という利便性が向上します。
   付随するリスク：サイバー攻撃等のセキュリティ侵害を起こしやすくしてしまうリスクが発生します（Attack Surfaceの拡大）。また、クラウドサービスユーザーはさまざまなクラウドサービスへのアクセスが容易となることから、組織としては認可されていないサービスにアクセスすることで、情報漏えいやマルウエアの侵入といったリスクを拡大してしまう恐れがあります。
2. オンデマンド、セルフサービス：クラウドサービスカスタマが、必要に応じて、自動的またはクラウドサービスプロバイダとの最小限の対話型操作でコンピューティング能力を用意できる能力を意味しています。これによって、クラウドサービスユーザーが、他者とのやりとりおよびオーバーヘッドを必要とすることなく、必要なときに必要なことを実行することが許容されコンピューティング資源の利用に係るコスト、時間および努力を相対的に削減することを可能としています。
   付随するリスク：アクセス制御の不備による不正アクセス等で、不正にコンピュータ資源を使用されてしまうリスクが発生します。
3. サービス利用の計測性：クラウドサービスではクラウドサービスカスタマの使用量を計測しこれを配信することで、使用量ベースの課金が可能となります。カスタマは使用量の計測結果に基づいた利用の制御が可能となり、リソースの効率的な利用も可能となります。
   付随するリスク：クラウドカスタマ側での使用量の監視が不十分な場合、サービスの不正利用により、想定外の課金が行われるリスクが発生する。
4. マルチテナンシーとリソースプール：クラウドサービスでは複数のテナントに割り当てられたそれぞれのコンピュータリソースおよびデータが分離され互いにアクセスできないように，物理的または仮想的なリソースが配置されています（マルチテナンシー）。一方で、クラウドサービスプロバイダの物理的または仮想的リソースは、複数のクラウドサービスカスタマで共用できるように集約されています（リソースプール）。これは、ユーザーごとの個別のリソース要求をプロバイダ側で隠蔽し、リソースの柔軟な割り当て制御（地理的な違いも含めて）を行っていることを意味しています。これにより、クラウドサービスプロバイダ側での複数のクラウドサービスカスタマ間で必要になるリソースを効率的に収容することを可能としており、クラウドサービスカスタマからのソソース要求に対して弾力的に拡張性持って対応することを可能としています。
   付随するリスク：クラウドサービスカスタマからは、リソースの供給手段および供給場所の制御を知ることができず、関知できるのは「サービスが稼働している」ということだけです。従って、実際のデータや処理が行われている地理的な場所（国、データセンタ等）により法規制等の要求条件が管理できなくなる恐れがあります。また、マルチテナンシーの制御が不十分な場合、情報漏えいやセキュリティ侵害が発生する可能性があるが、クラウドサービスカスタマにはこれを隠蔽されてしまう恐れがあります。

クラウドコンピューティングに求められる横断的特性

クラウドコンピューティングに求められる横断的な特性とは、個別に提供されるサービスに対して共通に求められる特性を意味します。具体的には以下のようなものが挙げられます。

① ガバナンスおよび監査能力（Auditability）

ここで言うガバナンスとは、クラウドサービスカスタマとプロバイダの間で締結されたSLAおよび他の契約に基づいてプロバイダがサービスを継続的に提供するための経営指針と、その実行の透明性の確保を意味します。透明性の確保のためには適切な監査能力が必要になります。

② セキュリティ対策、個人を特定できる情報(PII)の保護、法規制への対応

セキュリティ対策やPIIの保護はクラウドサービスの処理が実際に行われる国、地域の法規制に制約されることに注意が必要となります。

③ サービス性能の維持、保守およびバージョニング、可用性、回復性、可逆性（Reversibility）

ここでいう可逆性とは、クラウドサービスの契約終了時にクラウドカスタマに関連した中間生成物、クラウドサービス派生データおよびすべてのカスタマデータを削除して契約開始前の状態に復帰させることを意味します。

④ 相互運用性、可搬性（Portability）

相互運用性は、クラウドサービスカスタマが定められた方法でクラウドサービスと情報交換を行い期待した結果を得る能力を意味します。また、可搬性はクラウドサービスカスタマが、低コストかつ最小の中断によって、複数のクラウドサービスプロバイダ間でそれらのデータまたはアプリケーションを移動させる能力を指します。これはクラウドサービス間のポータビリティの保証をプロバイダに求めることを意味します。

⑤ サービスレベルおよびサービスレベル合意書

提供されるクラウドサービスの品質や上記に示した横断的特性を、1）クラウドコンピューティング（ビジネスおよび技術上）に特有な測定可能な性質のセット、2）クラウドコンピューティングのロールのある与えられたセット（クラウドサービスカスタマ、クラウドサービスプロバイダ、および関連したサブロール）に関して明確化し、文書化しクラウドサービスカスタマとプロバイダの間で合意されるものです。クラウドサービスではサービス品質の維持能力をプロバイダに移転することから、特に重要となります。

6.4 クラウドサービスの情報セキュリティ要求条件と管理策

ここまでまとめてきたクラウドサービスの特性と関連するリスクに対応した情報セキュリティに対する要求条件および管理策がISO/IEC 27017[8]³でまとめられました。これは、ISO/IEC 27001, 27002で整理されているISMSに対する要求条件と管理策を拡張したものになっています。表10にISO/IEC 27002に対する追加部分の概要を示します。セキュリティ管理策の追加は、クラウドサービスカスタマに対するものとクラウドサービスプロバイダに向けたものに分けられます。管理策の項番は、27002の対応する項番を示しており、これはISO/IEC 27001 Annex Aの管理策一覧と一致しています。表では、追加が行われている管理策を抽出すると同時に、新たに追加された管理策を赤枠で示しています。既存の管理策に対する追加要件はここでは割愛しています
追加された管理策は、主に先に述べたクラウドサービスのさまざまな特性から派生するリスクに対処するものが中心になってまとめられていると見ることができます。

• 3: パブリッククラウドにおけるPIIの保護に対する要求条件と管理策についてはISO/IEC 27018[9]でまとめられていますが、ここでは割愛し別の機会に紹介したいと思います。

参照文献

• [1] ISO/IEC, 27036 Part4, Information technology — Security techniques — Information security for supplier relationships Part4-Guidelines for security of cloud services, 2016.
• [2] ISO/IEC, 17788, Information technology — Cloud computing — Overview and vocabulary, 2014.
• [3] ISO/IEC, 17789, Information technology — Cloud computing — Reference architecture, 2014.
• [4] ISO/IEC, 19086-1, Information technology — Cloud computing — Service level agreement (SLA) framework — Part 1: Overview and concepts, 2016.
• [5] ISO/IEC, 19086-2, Cloud computing — Service level agreement (SLA) framework — Part 2: Metric model, 2018
• [6] ISO/IEC, 19086-3, Information technology — Cloud computing — Service level agreement (SLA) framework — Part 3: Core conformance requirements, 2017.
• [7] ISO/IEC, 19086-4, Cloud computing — Service level agreement (SLA) framework — Part 4: Components of security and of protection of PII, 2019.
• [8] ISO/IEC, 27017, Information technology — Security techniques — Code of practice for information security controls based on ISO/IEC 27002 for cloud services, 2015.
• [9] ISO/IEC, 27018, Information technology — Security techniques — Code of practice for protection of Personally Identifiable Information (PII) in public clouds acting as PII processors, 2019.

Writer Profile

NTTデータ先端技術株式会社 フェロー
工学博士、CISSP, CISA
三宅 功

• セキュリティソリューション