クラウドコンピューティング

クラウドコンピューティング

クラウドサービスプロバイダとユーザーの役割と責任の明確化

クラウドサービスプロバイダとユーザーの役割と責任の明確化
Red Overlay
クラウドコンピューティング
クラウドコンピューティング
Red Overlay

ISO/IEC 27017 クラウドカスタマ向けベネフィット

サービス調達期間の削減、最新技術の適用、拡張の柔軟性など、ユーザーのIT投資にもたらすメリットが実現されるにつれ、組織のクラウド採用はますます増加し続けています。
しかし、クラウドを活用したビジネスを成功させるためには、役割と責任の明確化が必要不可欠です。ISO/IEC 27017の規格策定に参画した業界リーダーにも、このことは広く認識されており、クラウドサービス提供者（CSP:クラウドサービスプロバイダ）及びサービスを調達している利用者（CSC:クラウドサービスカスタマ）両者の役割と責任を組織は考慮することが大変重要になります。

ISO/IEC 27017:2015とは

ISO/IEC 27017は、「情報技術-セキュリティ技術- ISO/IEC 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範」の国際規格であり、クラウドサービスの提供及び利用に適用できる情報セキュリティ管理策のための指針を示した実践の規範です。

  • ISO/IEC 27002の実施規範に対する拡張管理策
  • クラウドサービス固有の拡張管理策（附属書A）

ISO/IEC 27017がクラウドサービスカスタマに役立つこと

ISO/IEC 27017は、クラウドサービスカスタマ（CSC）が、クラウドサービスプロバイダ（CSP）に期待すべきことについて実用的な情報を提供しています。また、クラウドサービスのユーザーとしての役割と責任についても記載がされています。クラウドに対する共通の責任を理解し、クラウドサービスを効果的に活用し、組織を保護していることを確実なものとするためにISO/IEC 27017は役立ちます。

クラウドスタック - 可視性を提供

クラウドスタックはさまざまな種類のクラウドサービスを統合し、クラウドカスタマとしての責任が、クラウドを採用する内容に応じてどのように変化するかを可視化します。一貫性のあることの1つは、お客様の情報と資産を保護し、中断から適時に復旧する責任を負うことです。

 

クラウドスタックの各レイヤーには特定の役割と責任があり、これがサービスプロバイダとカスタマの責任であることをISO/IEC 27017で明確にしています。情報の機密性、完全性、可用性を保護する責任を負いながら、クラウドサービス導入によって時間、リソース、コスト削減が実現可能になるかも知れません。

クラウドサービスカスタマの主な課題

停電、事業中断、法令違反、災害は、時として生じる事象です。クラウドにおいても同じです。そのような事象が生じた際に、貴組織はどのように対処する準備を整えているでしょうか。法律および規制要件から知的財産権および記録保護まで、これらはすべてISO/IEC 27017の中で特定の要求事項を持っています。

法的側面からは、デューデリジェンスを示すことができます。基準を適用していることが重要であり、クラウドコンピューティング環境内からデジタルの証拠や、その他の情報を提供する必要がある場合に特に重要です。
また、ベストプラクティスの枠組みとしてISO/IEC 27017に取り組み遵守することは、情報のプライバシーの観点でも、適切な準備がなされていると認識される一助となります。

クラウドの提供または採用は、いまだ誤解や不安を引き起こす可能性を持っています。重要な顧客データを第三者に委ねる組織は、権利と責任が明確に定義されていないあいまいな領域が存在することに気づきました。信頼をおくこと、それは必ずしも成功のために最善となる長期的アプローチではありません。

ISO/IEC 27017が責任を明確した今、特にそのことが明確になっています。

ISMSクラウドセキュリティ認証（ISO/IEC 27017）の信頼性

ISO/IEC 27017は、ISO/IEC 27001の情報セキュリティマネジメントシステムの枠組みと、ベストプラクティスの管理策であるISO/IEC 27002の堅固なベース上に構築されています。ISO/IEC 27017の認証は、国際的に認知されたベストプラクティスへの準拠を示し、クラウド及びより幅広い業務における組織のレジリエンシー（回復力）を構築します。
CIOとITマネージャは、規格を採用することでCSPとの関係の見直しをはかり、セキュリティの促進が進みます。また、貴社クラウドサービスのユーザーである顧客や利害関係者は、ISO/IEC 27017の採用が貴社の持つ課題を解決し、サプライヤーとしての責任を果たしていることを認識して、信頼を持ってサービスを利用することができます。

ISMSクラウドセキュリティ認証をCSCのみで認証取得する場合のメリット

まず、社内にクラウド利用におけるセキュリティルールを設けることでIT利用の実態（オンプレミス・クラウドの利用）に合わせたセキュリティ強化に繋がります。

次に、ISMSクラウドセキュリティ認証（ISO/IEC 27017）をCSCのみで認証取得を行うことは、クラウドも審査対象になり、仮想空間上もガバナンスを強化することができるため、クラウド利用の実態を把握できないシャドウクラウドの対策にも繋がります。加えて、委託先（クラウド）までセキュリティ管理を広げている組織としてステークホルダーからの信頼を受けることができます。

次のステップ

ISO/IEC 27017の主要な要求事項とその導入方法を、研修によって学ぶことができます。クラウドサービス採用の決定を行うための知識と、パートナーに対して最高のビジネスを選択し、クラウドサービスの重要性と責任の共有についてプロバイダ及びカスタマの双方で共通の理解を持つ知識を習得します。
結果的に、クラウド上で真の責任を持ち、ISO/IEC 27017のプロセスを採用することによって、潜在的な告発や訴訟から組織を守ることができます。組織のレジリエンシー（回復力）を高めることにつながり、最も重要な資産を保護することができます。