クラウドコンピューティングの心理的課題：なぜクラウドは「不安」なのか（前編）（1/3 ページ）

利点のみがクローズアップされがちなクラウド、企業が安心して使うには？ クラウド利用のリスクと課題を2回に分けて解説する（編集部）

[篠崎将和，NRIセキュアテクノロジーズ株式会社]

　この1年ほどですっかりと定着したキーワード、“クラウド”であるが、多くのクラウド事業者から各種のサービスが提供されている。さらに、類似のサービスでは低価格化の傾向がうかがい知れる状況となっている。

　そのような中、クラウドサービスの利用を考えている企業の中には、セキュリティ面の懸念から利用を躊躇し動向を伺っているケースもある。セキュリティに対する課題やリスクを考察する。

クラウドコンピューティングを取り巻く環境

　海外(主としてアメリカ)に引き続き、日本国内メーカーからクラウド製品やソリューションなどのクラウドサービスが矢継ぎ早にリリースされている。メール配信ニュースの新着メッセージやIT系サイトの記事で、“クラウド”というキーワードを目にしない日はないほどであり、クラウドに対する注目度は依然として高い状態が続いている。

　クラウドの先駆けであるアメリカでは、2009年にクラウドを利用している企業が増加し、「クラウドとは何か」「クラウドは利用しても大丈夫なのであろうか」といった段階から、一歩踏み出した状況といえる。

　一方、日本ではアメリカほどクラウドを積極的に利用するほどの状況には至っていない。いくつかの原因があるが、その1つに、利用者がクラウドに対する不安感を払拭できていないことが挙げられる。

　これから先、クラウドサービスの利用を推進していくために、そして利用者の不安感を取り除くために、どのようなことを明確にすべきかを整理してみたい。

クラウドコンピューティングの定義

　ご存じのように、クラウドにはさまざまなサービス形態（SaaS、PaaS、IaaSなど）が存在する。知人との会話中に、「クラウドって○○だよね」などと話す機会もあると思うが、話し手が頭の中に思い浮かべているクラウド像と、聞き手のクラウド像が実は一致していないということもあるだろう。

　クラウドに関する講演を多数行っているとある講演者が、「聴衆者とクラウドに対する認識の誤解を避けるために、講演の冒頭で話題として取り上げるクラウドは“パブリック型SaaSです”のように、クラウドのスコープを明示することが重要である」と述べていた。全世界的に共通なクラウドに対する説明や認識があればよいのだが、いまだ明確な定義が存在しないうちにサービスが広まってしまった感がある。

　世界的には、複数の組織がクラウドに関する定義づけや、標準化へ向けた取り組みが続けられている。セキュリティ関連のドキュメントで筆者がよく耳にするものとして、NIST（National Institute of Standards and Technology）、CSA（Cloud Security Alliance）、ENISA（European Network and Information Security）が公開する各ドキュメントが挙げられる。具体的なドキュメント名は、

• NIST　：NIST Definition of Cloud Computing v15
• CSA　：Security Guidance for Critical Areas of Focus in Cloud Computing V2.1
• ENISA　：Cloud Computing Risk Assessment

である。各ドキュメントにおける「クラウド」のポイントは以下の通りだ。

• ネットワーク経由でのアクセス
  サービスを利用する際は、クライアント（携帯電話やノートPC、PDA等）からネットワーク経由でアクセスする。
• オンデマンド、かつセルフサービス
  利用者が必要なときにITリソース（ネットワーク、サーバ、ストレージ、アプリケーション、サービスなど）を利用可能である。
• ITリソースプール
  ITリソースが複数のサービス利用者によって共有される形態（マルチテナントモデル）で提供され、かつ提供事業者内にはITリソースが貯蔵されている。
• 迅速な伸縮性
  ITリソースがプールされているため、急速にスケールイン、またはスケールアウトすることが可能である。利用者からはITリソースが無限に存在するように見え、必要なときに必要な量を購入することができる。
• ITリソースが計測、管理されたサービス
  ITリソースの利用状況が監視されているため、サービスの種類やレベルに応じてITリソースの配分が自動的に制御され、最適化される。ITリソースの利用状況はサービス提供事業者と利用者の双方にとって透明性があるように、監視、制御、報告される。
• ITリソースの抽象化
  仮想化技術によるITリソースの抽象化により迅速な伸縮性を実現できることや，マルチテナントモデルを効率的に実現しサービス利用料金の低価格化を実現する。
• 従量課金
  利用者はITリソースを必要なときに必要な量を購入することができ、利用した分だけ課金される。

　ここでは、それぞれのドキュメントで定義される、クラウドの特徴をリストアップした。各ドキュメントでは微妙なニュアンスの違いがあるが、大枠では同義となっている部分と、ドキュメントにより個別に取り上げられている特徴もある。

　これらの「クラウド」定義で共通しているのは、オンデマンドかつセルフサービス、ITリソースのプール、迅速な伸縮性、ITリソースが計測、管理されたサービスである。現状では必ずしも共通化が図れていないのではないかと感じるが、今後は統一されていくのではないかと考えている。

クラウドは動き続ける

　2010年3月にCSA、ENISAに加え、ISACA(Information Systems Audit and Control Association)とIEEE(The Institute of Electrical and Electronics Engineers, Inc.)の共催で国際会議としてSecureCloud2010(バルセロナ、2010年3月16-17日)が開催されるなど、クラウドに関する活動が盛んな状況である。

　国内でも2009年度から、いくつかの省庁などにて、クラウドの利用に関する課題整理などの取り組みが始まっている （総務省「スマート・クラウド研究会」、経済産業省「クラウドコンピューティングと日本の競争力に関する研究会」、独立行政法人「クラウド・コンピューティング社会の基盤に関する研究会報告書」など）。各活動の報告書が公表（パブリックコメント募集の開始も含む）されている状況である。

　上記に加えCSAでは、各国にてCSA支部(Chapter)の設立準備が始まっているようである。日本においても、CSAのJapan Chapterが立ちあがり6月8日早速シンポジウムが開催された。この活動状況はLinkedInでウォッチすることができる。ここでは、クラウドセキュリティに関する議論が行われている。

　結論としては、世界的に大枠での概念は共有化されているが、統一化された見解はいまだ整理されていない状況であるといえる。