【クラウドコンピューティング】 セキュリティは最後の難問題

　クラウドコンピューティングでは、システムに求められる5大要件、すなわち、コスト、パフォーマンス、スケーラビリティ、可用性、セキュリティのうち、セキュリティを除く要件を解決できる可能性がある。

　その根拠は、廉価なサーバ群やオープンソースの活用、ソフトウェアの開発生産性の向上がもたらす「チープ革命」。さらには、オープンソース分散システムによるスケールアウトが可能になってきたことが挙げられる。

　そういう意味で、以下の課題をクリアーするのはそれほど難しくない。

SaaS契約に潜む「10の陥穽」──“サービスとしてのソフトウェア”の隠れたコストにご注意！

　一方で、セキュリティに関しては一筋縄ではいかない。

　なぜなら、外部からの様々な不正なアクセスやウイルスを防止して個人情報や機密データの漏洩を防ぐこと、さらには以下に挙げるようなリスクも解決しなけばならないからだ。

クラウド・コンピューティングが抱える7つの“セキュリティ・リスク”

　1. 特権ユーザーによるアクセス
　2. コンプライアンス関連
　3. データの保管場所
　4. データの隔離
　5. データの復旧
　6. 調査に対する協力姿勢
　7. 長期にわたる事業継続性

　つまり、クラウドにすることで、システムインフラのコストは低くなる一方、セキュリティ管理のコストが高くなる、というトレードオフが発生することがわかる。

　例えば、自社のメールシステムをやめてGoogleAppsの導入を考えているシステム担当者がいるとしよう。
　自社のメールシステムであれば自社かアウトソーサーが責任をもつのだから話は通しやすいが、クラウドや外部サービスでは事故が起きたときに誰がどう責任とるかが問題となって話が進まなくなる。（責任とは具体的には担保があるかどうかである。つまり、単にセキュリティ対策を講じるというだけでなく事故時の損害保証が含まれる。Googleは情報漏洩はないといいつつ免責されている。）

　セキュリティという観点でいえば、もしかしたら自社で管理しているものよりGmailの方が強固なのかもしれないが、担保がなければ会社に損害を与えない理由を説明することができない。自社メールシステムでは実質的にアウトソーサーが担保しているが、Googleは担保しないので事故時のリスクを考えると自社管理を選択せざるを得なくなる。

　ではどう解決するか。

　私はクラウドコンピューティングを活用しつつ、同時にセキュリティを確保できる大きなサービス企業が登場すると妄想している。それは、iDCやインテグレータというより、銀行のような企業である。情報をお金のように大切に扱う「クラウドサービス銀行」だ。

　そう考える背景には、現状のセキュリティ対策の限界がある。今後は自社内で解決が困難な高度なセキュリティ対策が益々必要になりコストが膨らむことが予想される。「クラウドサービス銀行」はセキュリティ対策で費用が大きくなるものの、専門的に集中して対策を講じられる点で有利である。コスト競争力のあるクラウドの利用もあって、自社システムとの比較をトータルで考えると十分検討の余地があると思われる。

＜関連＞
【EC開発体験記-SaaS2-】 リスクをどう考えるか