BCP/DR のためのクラウド導入検討
小林 久美子, 岸 達也, 吉田 浩, 合田 憲人
国立情報学研究所

cobak@nii.ac.jp

Cloud Service Adoption for BCP/DRKumiko Kobayashi, Tatsuya Kishi, Hiroshi Yoshida , Kento Aida
National Institute of Informatics

概要
国立情報学研究所は「学認クラウド」として、クラウドの導入から利用までの各段階に対する 3 つの支援サービス（導入支援サービス、ゲートウェイサービス、オンデマンド構築サービス）を提供している。本稿では、クラウドを利用した BCP(Business Continuity Planning)/DR(Disaster Recovery) の実現形態を示し、BCP/DR のためのクラウド導入検討で活用できる学認クラウド導入支援サービスのチェックリスト推奨項目について説明する。

続性の向上」を挙げている。一方で、クラウド化して1 はじめにいない大学のうち 62.5% がその理由として「セキュリ国立情報学研究所（以下「NII」）では、我が国にクティ面・信頼性に不安」を挙げている。

ラウドを活用した高度な学術情報基盤を整備すること

導入支援サービスのチェックリストは、大学等のクを目的として、大学・研究機関（以下「大学等」）におラウド導入で考慮すべき項目をほとんど網羅している

けるクラウド導入・利活用を支援するための活動を進が、その内容から逆に、実際に利用する場合にはどのめ、「学認クラウド」[1] として、クラウドの導入から項目を重点的にチェックすればよいのか分かりにくい利用までの各段階に対する 3 つの支援サービス（導入という声も聞かれる。NII では、これまでも、クラウ支援サービス、ゲートウェイサービス、オンデマンドド調達の作業フェーズに合わせた推奨チェックリスト構築サービス）を提供している。

項目 [4] やセキュリティに着目した調達仕様を検討す

学認クラウド導入支援サービス（以下「導入支援サーる場合の推奨チェックリスト項目 [5]、クラウド上に構ビス」）は、大学等がクラウドを導入・利用する際の課築するシステムの用途 (ストレージ、LMS など) に合

題解決に役立つ情報の共有・流通を進めるサービスでわせた推奨チェックリスト項目を提示してきた。

あり、大学等がクラウドを導入する場合の着眼点（信こ の よ う な 取 組 み の 一 環 と し て 、本 稿 で は 、ク

頼性、セキュリティ、契約条件等）をまとめたチェッ

ラウドを利用した BCP(Business Continuity Plan-

クリスト [2] を策定し、クラウド事業者（以下「事業ning)/DR(Disaster Recovery) の 実 現 形 態 を 示 し 、者」）による回答に基づくクラウドサービスの検証結果

BCP/DR のためのクラウド導入検討で活用できる（以下「チェックリスト回答」）を大学等との間で共有

導入支援サービスのチェックリスト推奨項目についてしている。このチェックリスト回答は、クラウドサー説明する。

ビスの調査や仕様策定で活用することができ、クラウド導入にあたっての要件定義でも参考になる。

2 チェックリスト

教育・研究のみならず社会活動においても、情報シ導入支援サービスのチェックリストの構成を表 1 にステムの安定かつ継続的な運用は重要な課題であり、示す。チェックリストはクラウドを調達する際に考その解決策としてクラウドへの期待が高まっている。

慮すべき点を網羅的にまとめたものであり、最新の学術機関においては、平成 30 年度学術情報基盤実態

チェックリスト（Ver. 4.1）の項目は 19 種類のチェッ調査 [3] によれば、調査に参加した 87.8% の大学で情ク項目（大項目）に分類される。それぞれの大項目は報システムをクラウド化しており、そのうち 69.3% が複数の詳細チェック項目（小項目）を含み、合計で 122

クラウド化の効果として「災害・計画停電時の事業継種類の小項目が用意されている。

18

表1

チェックリスト Ver.4.1 大項目と小項目数

項番

大項目

小項目数

A

商品 / サービスの概要

4

B

運用実績

2

C

契約申込み

12

D

認証関連

3

E

信頼性

6

F

サポート関連5

G

ネットワーク・通信機能

9

H

管理機能

12

I

ソフトウェア環境

4J

スケーラビリティ

6K

データセンター

7L

セキュリティ

10

M

データ管理

11

N

バックアップ6

上記のクラウドのみでシステムを構成する場合とオO

クラウド事業者の信頼性

6

ンプレミスとクラウドでシステムを構成する場合の 2

P

契約条件

6

つについて、3.1 以降、2 つのシステム構成で共通する

Q

データの取り扱い

5

項目、クラウドのみのシステム構成で特に検討すべき

R

データの引継ぎ4

項目、オンプレミスとクラウドのシステム構成で特にS

第三者認証

4

検討すべき項目、として、推奨するチェックリスト項

図 1 クラウドを利用した BCP/DR の実現形態– データバックアップ（図 1 (b-2)）
通常利用するサーバやデータは学内に置くが、クラウド側にもデータの複製を置いておき、学内システムのデータが利用できない場
合は、クラウドのデータを利用する。

目を示す。
ここであげる推奨項目は特に注意して検討すべき項
事業者が回答を記入したチェックリストは、NII による検証を経て、導入支援サービスに参加した大学等目を挙げたもので、実際の導入では、他の項目も含めて総合的に判断する必要がある。の担当者のみがアクセスできる Web サイトにて表形

また、これらの推奨項目が現実のサービスでどの程式で閲覧することができる。大学等は、そのチェック度実現されているかを見るために、導入支援サービスリスト回答を参照し、クラウドの導入検討や調達に活に参加する事業者のクラウドサービスの対応度を公開用することができる。

しているチェックリスト回答から算出した。

3 クラウドを利用した BCP/DR の実現形態と推奨チェックリスト項目

3.1 以降の表で示す対応度とは、チェックリスト回答においてその項目に「対応している」と判断できる回答が示されている割合である。チェックリスト項目

本稿では、クラウドを利用した BCP/DR の実現形態として、以下を想定し、議論を行う。の回答方法が「Yes ／ No 回答」の場合には「Yes」としているもの、「記述回答」の場合には「具体的に」施策、実現手段などが記載されているものを「対応して• クラウドのみでシステムを構成する（図 1 (a)）
通常利用するサーバやデータを全てクラウドに置いる」と判断したが、「対応している」に含まれないものの中には、実際は対応しているがそれを公開していいて、学内からネットワーク経由で利用する。

• オンプレミスとクラウドでシステムを構成する（図 1 (b)）

ない場合も含まれる。

2019 年 6 月時点で公開しているチェックリスト回答
は、Ver.4.0 が 18 社 28 サービス（IaaS=14、SaaS=14）、– システム二重化（図 1 (b-1)）
通常利用するサーバやデータは学内に置くが、クラウド側にも複製を置いておき、学内システムが利用できない場合は、クラウドのシステムを利用する。

19

Ver.3.0 が 7 社 11 サービス (IaaS=4、SaaS=7) の合計 39 サービスである。

表2

推奨チェックリスト項目：2 つのシステム構成で共通

表 3 推奨チェックリスト項目：クラウドのみ

項番

小項目

対応度 [%]

B-1

契約法人 (大学) 数の公開

79.5

項番

小項目

B-2

サービス開始日の公開

100.0

H-7

フェイルオーバー機能の提供

64.7

E-3

データ耐久性の数値規定

5.1

N-1

バックアップサービスの有無

51.3

K-1

防犯設備

97.4

N-2

バックアップの自動化の可否

48.7

K-2

入退室管理体制

97.4

N-3

バックアップの世代管理

48.7

K-3

防災対策

97.4

N-4

複数センターへの同時バックアップ可否

20.5

K-4

電力の監視

92.3

N-5

ユーザ自身によるリストア

46.2

K-5

ネットワークの監視

97.4

N-6

バックアップデータのアクセス制限や暗号化

46.2

M-1

データの多重化

94.9

O-1

経営状況 (株式上場)

76.9

S-1

事業継続性認証取得

82.1

S-2

データセンター認証取得

84.6

S-3

セキュリティ認証取得

92.3

S-4

経営・事業認証取得

66.7

対応度 [%]（事業撤退等）によって終了してしまうと非常に影響が大きいため、事業者の信頼性を確認するという観点から、経営状況や監査等の情報、第三者認証の取得状況は導入検討の参考になる。また、事業者がデータセンターの中で行っているセキュリティ対策はユーザ側からはブラックボックスとなっており、ユーザによるセキュリティ監査も拒絶される場合が多い。しかし、多3.1 2 つのシステム構成で共通する項目
2 つのシステム構成で共通して推奨するチェックリ

くの事業者は第三者認証の取得や、ユーザが認証を取スト項目と対応度を表 2 に示す。共通項目として、利得する場合の支援を行っており、これらの確認が有用用するクラウドの安全性や信頼性を確認することが重である場合も多い。

O-1 は経営状況に関する項目で、株式上場について要である。

B-1、B-2 は運用実績に関する項目である。クラウ質問している。

ドサービスの導入検討時には、サービス内容だけでな

S-1〜S-4 は第三者認証の項目で、S-1 は ISO 20000、く、大学等における利用実績も導入検討の参考になる。

ISO 27001、ISO 22301 など、S-2 は Uptime Tier、

E-3 は信頼性に関する項目で、データの DR/BCP

JDCC FS-001、ISO 27001 など、S-3 は プライバシーを考える上で重要なパラメータであるが、データ耐久

マーク、ISO 27001、ISO 27017、ISO 27018 など、S-4性の数値規定は商用サービスではあまり公開されていは SOC1、ISO 14001、ISO20000、ISO9001 などの取ないのが現実であるので、仕様書を作成する上で注意得状況を質問している。

が必要である。

3.2

K-1〜K5 はデータセンターに関する項目で、記述回答で「対策はしているが詳細は非公開」の場合には、「対応していない」と判断したため対応していない
データセンターがあるように見えるが、実際にはほぼクラウドのみのシステム構成で特に検討すべき項目

クラウドのみのシステム構成で、特に推奨するチェックリスト項目と対応度を表 3 に示す。
クラウドのみでシステムを構成する場合は、3.1 の共通項目に加えて、クラウドだけで事業継続性を確保100% 対応していると考えられる。
クラウドサービスでは、データは事業者が管理するしなければならない。そのため、システムの耐故障性サーバやストレージに保存されるため、データの多重（フェイルオーバー）、バックアップが重要である。具化やバックアップ等について確認することが必要で体的には、H-7 は管理機能に関する項目で、N-1〜N-6ある。

はバックアップに関する項目である。

M-1 はデータ管理に関する項目である。ここでは挙げていないが、扱うデータによっては暗号化（M-3）もH-7 では「サーバ間でのフェイルオーバー機能は提供されているか」を質問している。

N-1〜N-6 では「ユーザ自身で行うバックアップ」に考慮が必要である。
大学等が利用するクラウドサービスが事業者の事情

20

ついて質問している。「No」の場合には「対応してい表 4 推奨チェックリスト項目：オンプレミスとクラウド

項番

小項目

G-1

SINET 接続状況

38.5

K-7

データセンターの設置地域

71.8

K-8

地域・ゾーンの指定

46.2

4 おわりに対応度 [%]
本稿では、クラウドを利用した BCP/DR の実現形態を示し、BCP/DR のためのクラウド導入検討で活用できる導入支援サービスのチェックリスト推奨項目について説明した。
本稿で述べたチェックリストの推奨項目は、これまない」と判断したが、その場合でも「システム側でバッでの NII 自身のクラウド調達の実践や他大学・一般クアップしている」との回答もある。

企業等の調達事例などを参考にしながら抽出したもの

3.3

オンプレミスとクラウドのシステム構成で特にであり、実際の調達作業において重要視すべき項目は検討すべき項目

クラウド上で実現する業務の性質や組織の特性によっオンプレミスとクラウドのシステム構成で特に推奨ても異なる。例えば、クラウド利用時の情報セキュリ
ティについては、個々の大学等のデータ機密保護区するチェックリスト項目と対応度を表 4 に示す。
オンプレミスとクラウドでシステムを構成する場分などに従った判断が必要である。クラウドの導入で合、3.1 の共通項目に加えて、オンプレミスとクラウは、クラウドサービスの中身をよく理解した上で、大ド間の通信性能を確保することが重要である。具体的学等の運用ポリシーに合致したクラウドサービスを選には、G-1 はネットワーク・通信機能に関する項目で、択することが重要である。
今後もチェックリストを活用した大学等のクラウ

K-7 と K-8 はデータセンターに関する項目である。
G-1 では「SINET クラウド接続サービス [6] を利ド導入検討を支援するために、クラウドの利用目的や用できるか」を質問している。「SINET クラウド接利用局面に合わせた活用ガイドの充実を進めてゆき続サービス」は、SINET に商用クラウドを直結し、たい。

SINET 加入機関とクラウド提供事業者間の L2VPN謝辞接続を提供するサービスである。クラウド接続においては、L2VPN 方式のみが利用可能で、商用ネットワー「学認クラウド導入支援サービス」にご協力いただいクを介さずにクラウド提供事業者のサービスと安全にている大学・研究機関ならびにクラウド事業者の方々接続することができる。また、新たな専用回線の調達に深く感謝いたします。

が不要となるためネットワーク費用を抑えることがで

参考文献

き、SINET バックボーン区間は十分な帯域を用意し[1] 学認クラウド、https://cloud.gakunin.jp/．ているため高速で利用できる。

K-7 と K-8 では「データセンター設置地域の公表」[2] 学認クラウド導入支援サービス チェックリスト、と「地域・ゾーンを指定できるか」について質問してhttps://cloud.gakunin.jp/foracademy/#academy-いる。「No」の場合には「対応していない」と判断し02．

たが、その場合でも「日本国内」との回答もあり、利[3] 文部科学省、平成 30 年度学術情報基盤実態調査、用するクラウドのデータセンターが日本国内にあるこhttp://www.mext.go.jp/b menu/houdou/31/06/
icsFiles/afieldfile/2019/06/28/1418398 1.pdf．とが分かるものもある。
データバックアップの場合、運用によっては、クラ[4] 小林 久美子、岸 達也、吉田 浩、合田 憲人、大ウドには学内の多種多様なデータがバックアアップさ学・研究機関におけるクラウド導入時のチェックれる可能性もあるので、特にデータセキュリティポリ

リスト活用法、大学 ICT 推進協議会 2018 年度年

シーと合わせて念入りにチェックする必要がある。ま

次大会、2018 年．

た、データを預けるという視点から、3.1 の共通項目に[5] 大学・研究機関のためのクラウドスタートアップ

ある運用実績（B-1、B-2）、経営状況（O-1）、セキュガイド、リティ（S-3）や経営（S-4）の第三者認証のチェック

https://cloud.gakunin.jp/foracademy/#academy-も特に推奨する。

02．
[6] SINET クラウド接続サービス、
https://www.sinet.ad.jp/．

21