近年はwebアプリケーションの一部あるいは全てにクラウドサービスを利用したり、Webサイトを公開する際にレンタルサーバ等を利用したりするシステムの企画提案を見ることが多くなりました。
そのようなシステムの導入相談を受けることも著しく多くなってきました。
クラウドサービス利用は必須になった
個人でもスマホやパソコンでクラウドサービスを利用することが当たり前になっています。
実際にはどのサービスがクラウドサービスを利用しているのかも分からない人が少なくないはず。
スマホ内のデータにアクセスしているのか、クラウドサービスで提供されているデータ保存領域にアクセスしているのかさえも分かっていない。
このように気軽に使えるクラウドサービスに抵抗感を持つこともなくなり、サービス自体もプランによっては無料や安価に利用することが出来るようになった一方、その利用契約条件として、クラウドサービスやレンタルサーバの運営会社が定めた約款に則ることが義務付けらます。
ほとんどの人は利用規約を細部まで読んでいません。
自分の大事な個人情報が、どのように利用され、だれに売られているのか、そんな事も全く気にせずに、クラウドサービスとして提供される便利なアプリを使っているのです。
運営会社の約款に同意しないと利用出来ない
個人の利用であれば、運営会社の一方的な約款に同意して、自身の情報を売ってでも無料や安価にサービスを利用出来るメリットを感じるなら利用契約すれば良いのですが、私たち組織にはどんなことがあっても守りきる必要がある重要な情報があります。
クラウドサービスやレンタルサーバを利用することは、個人レベルとは比較にならない、組織の命運を左右するような重要な情報を守るために求める情報セキュリティ対策が十分に担保されず、情報の機密性、可用性、完全性に対するリスクが高くなることを十分に認識しておく必要があります。
例えば、サーバが海外に設置されている場合は日本の国内法が適用されず、一方的に日本のユーザーが不利な条件を飲まされて利用させてもらっている場合があることも想定しておく必要があります。
組織の関わるWebサイトを作成公開する際に、ウェブサイト公開サービス（レンタルサーバ）を利用する場合やクラウドサービスとして提供されるWebアプリケーションを利用する場合、サービス運営会社の約款に同意させられると、以下に示すリスクが考えられます。これらの脅威を十分認識して、提供されるサービスでも組織の業務に支障がなく、情報セキュリティ対策上問題がないサービスを適切に選択することが必要です。
クラウドサービスやレンタルサーバの利用時に想定される18のリスク
- サービスは約款に定められた範囲でしか提供されない。
- サービス提供時間とサポート時間・方法（メール応対限定など）が限られている場合がある。
- サービス自体や運営会社のセキュリティポリシーが開示されないことが多く、我々組織の対策基準や規定を満たしているか判断が困難である。
- サービス運営会社から提供されるサービスレベルは、可用性（システムの耐久性）だけである場合が多い。
- サービス運営会社は利用者による監査(立ち入り検査）を基本的に受け入れない。
- バックアップや障害発生時のリカバリー等の実施内容やタイミング等、情報システムの運用に関する部分は約款に記載されていないことが多い。
- バックアップするデータ形式が他の運営会社のサービスに移行できずに業務が継続性出来なくなるリスクがある。
- 利用者側で情報のバックアップができない場合がある。
- 同一サーバ上で複数の業務（利用者）を実行しているケースがあり、その場合セキュリティ対策が十分に実行されていない業務（利用者）の影響を受ける可能性がある。
- 同一サーバ上で複数の利用者が情報処理を実行しているため、別の利用者情報を盗み見し、別の利用者に成りすまして処理を行う可能性がある。
- サーバ資源の利用者ごとの分割が不適切なことによる情報漏えいが発生する可能性がある。
- 情報の保管場所が特定の場所に固定されず、海外の法執行機関等による予期せぬアクセスが行われることがある。
- サービスを有期契約した場合、契約終了後の情報の取り扱い（確実な消去）が不明瞭な場合がある。
- サービス提供事業者の経営が破たんしたり、突然のサービス停止に陥ったりした場合、預けた情報の行方は保証されず、損害賠償も支払われない場合がある。
- サービス提供事業者の従業員が不正を行う可能性がある。
- 約款の内容が、サービス提供者側の都合で、利用開始後に一方的に変更される可能性がある。
- 準拠法に外国法を指定される場合がある。
- 管轄裁判所に海外の裁判所を指定される場合がある。
それでも業務に利用できるのかよく考えよう
以上のような想定されるリスクを理解したうえでクラウドサービスやレンタルサーバの利用を検討するべきですが、組織が取り扱う情報から考えると、個人情報など重要な情報を取り扱う業務システムで上記のようなリスクがあるサービスの利用は不適切です。
Webサイトであっても多数の個人情報を収集して保管利用するようなシステムに、クラウドサービスやレンタルサーバを使うという考えは捨てるべきでしょう。
個人情報など重要な情報を一切取り扱うことなく、当該業務システムやWebサイトが突然停止、閲覧不能になっても、顧客やWebサイト利用者にほとんど影響がないか、他の手段で容易に代替が可能なものについてのみ、クラウドサービスやレンタルサーバの利用を検討すべきです。
一般的に大規模な組織が提供するサービスを稼動させるシステムにおいては、サービス内容の大小に関わらず、どうなっても問題ないという条件を満たす利用目的は少ないと考えられます。
