目的別クラウド導入チェックリストの拡充- オンライン会議サービス・セキュリティポリシ 小林 久美子 1),2) , 岸 達也 2) , 吉田 浩 1),2) , 合田 憲人 1),2)
1) 国立情報学研究所 クラウド基盤研究開発センター
2) 国立情報学研究所 クラウド支援室
cobak@nii.ac.jp

Expansion of Purpose-Oriented Checklists for Cloud Service
Adoption - Online Conference Service and Security Policy Kumiko Kobayashi1),2) , Tatsuya Kishi2) , Hiroshi Yoshida1),2) , Kento Aida1),2)
1) Center for Cloud Research and Development, National Institute of Informatics.
2) Cloud Promotion Oﬃce, National Institute of Informatics.

概要
国立情報学研究所は「学認クラウド」として、クラウドの導入から利用までの各段階に対する 3 つの支援サービス（導入支援サービス、ゲートウェイサービス、オンデマンド構築サービス）を提供している。本稿では、2020 年7 月に改訂された学認クラウド導入支援サービスのチェックリスト Ver.5.0 を紹介するとともに、目的に合わせたチェックリスト活用範囲の拡充として、オンライン会議サービス用チェックリストの提供とセキュリティポリシ策定への活用について説明する。

1 はじめに国立情報学研究所（以下「NII」）では、我が国にクラウドを活用した高度な学術情報基盤を整備することラウド導入で考慮すべき項目をほとんど網羅したものである。しかし、その網羅性から逆に、実際に利用する場合にはどの項目を重点的にチェックすればよいのか分かりにくいという声も聞かれる。

を目的として、大学・研究機関（以下「大学等」）におこのような課題に対応するために、利用目的に合わけるクラウド導入・利活用を支援するための活動を進せてチェックリストのどの項目を重点的にチェックすめ、「学認クラウド」[1] として、クラウドの導入からればよいかを提案することによって利用者の利便性を利用までの各段階に対する 3 つの支援サービス（導入向上させる目的で、クラウド調達の作業フェーズに合支援サービス、ゲートウェイサービス、オンデマンド

わせた推奨チェックリスト項目 [3] 、BCP/DR のた構築サービス）を提供している。

めのクラウド導入検討で活用できるチェックリスト推

学認クラウド導入支援サービス（以下「導入支援サー

奨項目 [4]、セキュリティに着目した調達仕様を検討すビス」）は、大学等がクラウドを導入・利用する際のる場合の推奨チェックリスト項目 [5]、クラウド上に構課題解決に役立つ情報の共有・流通を進めるサービス

築するシステムの用途 (ストレージ、LMS(Learningで、大学等がクラウドを導入する場合の着眼点（信頼Management Syste) など) に合わせた推奨チェックリ

性、セキュリティ、契約条件等）をまとめたチェックスト項目などを提示してきたが、今後も拡充していく

リスト [2] を策定し、クラウド事業者（以下「事業者」）予定である。

による回答に基づくクラウドサービスの検証結果（以下「チェックリスト回答」）を大学等との間で共有して大学等におけるクラウド導入の最近の課題として、以下のようなものがあげられる。

いる。このチェックリスト回答は、クラウドサービス

まず、新型コロナウイルス感染症対応への取組みとの調査や仕様策定で活用することができ、クラウド導して、多くの大学等において、在宅勤務、遠隔授業、学入にあたっての要件定義でも参考になる。

会のオンライン開催などの取組みが進められており、導入支援サービスのチェックリストは、大学等のクオンライン会議サービス（Web 会議サービス）のニーズが高まっている。SaaS として提供されているオンライン会議サービスは、すぐに利用できることが利点

表1

チェックリスト Ver.5.0 大項目と小項目数

項番

大項目

A

商品 / サービスの概要

4

B

運用実績

2

C

契約申込み

8

D

認証関連

3

E

信頼性

4

F

サポート関連5

G

ネットワーク・通信機能

9

H

管理機能

12

I

ソフトウェア環境

4J

スケーラビリティ

5K

データセンター

7L

セキュリティ

11

M

データ管理

9に、目的に合わせたチェックリスト活用範囲の拡充とN

バックアップ

6

して、オンライン会議サービス用チェックリストの提O

クラウド事業者の信頼性

6

供とセキュリティポリシ策定への活用について説明

P

契約条件

6

する。

Q

データの取り扱い3R

リソースの引継ぎ

4S

第三者認証

4であるが、大学等で導入する場合には、チェックリスト項目の他、LMS 等運用中のシステムとの連携やオンライン会議サービスの要件についても確認が必要である。
また、クラウドの導入にあたって、セキュリティポリシの策定は必須となっているが、法律やセキュリティ技術等に関する専門知識が求められるため、作成作業の負担は大きい。さらに、セキュリティポリシに従って実際にクラウド導入を行う場合には、クラウドサービスの中身をよく理解した上で、大学等のセキュリティポリシやガイドラインに適合したクラウドサービスを選択することが重要である。
このような背景から、本稿では、2020 年 7 月に改訂されたチェックリストの Ver.5.0 を紹介するととも

2 チェックリスト

小項目数

導入支援サービスのチェックリスト構成を表 1 に示す。チェックリストは、2015 年 9 月に Ver.1.0 が策定された後、毎年改訂されている。2020 年 7 月に改訂された最新のチェックリスト（Ver.5.0）は、19 種類のチェック項目（大項目）に分類される。それぞれの大項目は複数の詳細チェック項目（小項目）を含み、合計で 112 種類の小項目が用意されている。

Ver.5.0 改訂の主な理由として、大学等でのクラウド利用が増えていく中で、これまで述べてきたような多様な利用目的に対してチェックリストを適用したい、また、新しい技術要件やサービス動向に対応して欲しいといった要望があり、チェック項目の追加やチェック内容・チェック観点の変更が必要であったこと、その他、これまでの改訂で項目追加や欠番等があり整理が必要であったこと、などが挙げられる。
今回は大きな改訂となったため、旧版（Ver.4.1）項目との紐づけはチェックリストに旧版の対応項番を表記することで対応した。

Ver.5.0 で追加された項目を以下に示す。
• F4：システム構築・F5：運用支援サービス
人員不足などにより、大学等がシステムの構築や運用を外部委託する事例が増えている。

クラウド導入時のシステム構築、導入後のシステム管理や運用業務について、外部委託を検討する場合、参考になる。

• L10：ログ分析・脅威検出
セキュリティ対策の高度化に伴って、防御機能のみならず、不正侵入など脅威の検知や自動検出が重要となっており、これらを検討する場合、参考になる。

• O2：プライバシポリシ
大学等のセキュリティポリシやガイドラインには、個人情報の取扱いについて定めることが求められるが、これらに適合するクラウドサービスを導入するためには、確認が必要になる。
事業者が回答を記入したチェックリストは、NII による検証を経て、導入支援サービスに参加した大学等の担当者のみがアクセスできる Web サイト（以下「導入支援サービス参加機関専用サイト」）にて表形式で閲覧することができる。大学等は、そのチェックリスト回答を参照し、クラウドの導入検討や調達に活用することができる。

3 目的に合せたチェックリスト活用範囲の表2

拡充

チェックリスト項目と対応度 (5 社)

項番

小項目

ここでは、目的に合わせたチェックリスト活用範囲

A1

タイトル（提案サービス名）

100の拡充として、オンライン会議サービス用チェックリ

A2

提案者（ベンダー名あるいは代理店名）

100

ストの提供とセキュリティポリシ策定への活用につい

A3

製品概要

100て説明する。

C3

トライアルの有無

100

C5

問合せ・申し込み先

100

C7支払方法（請求書払い）

100

C11

ライセンス体系

100

D1

SAML 認証連携（Shibboleth 利用可否）

60

D3

多要素認証

60

E5

サービス停止の通知手順（計画停止）

80

F1

サポート窓口100

F2

サポート受付時間帯

100

G4通信の暗号化100

G10

E2EE 可否20

Security Agency) の評価レポート（セキュリティ上のH11

利用統計

100

注意点）[7] や有識者（大学教員）からの意見も参考

I1

利用可能 OS

100にした。大学等でのオンライン会議利用を想定した追K7

データセンターの設置地域

80

加項目としては、G10、OA1〜3、および OB1〜5 の 9

L1セキュリティポリシ

100項目がある。

L6

インシデント対応方法

40

3.1

オンライン会議サービス用チェックリストの提供

新型コロナウイルス感染症対応への取組みとして、大学等におけるオンライン会議サービスのニーズが高まったことから、NII では、2020 年 5 月に急遽、オンライン会議用チェックリスト Ver.1.0[6] を策定し、調査を実施した。本チェックリストは、その時点で最新であったチェックリスト Ver.4.1 をもとに表 2 に示す34 項目から構成されている。
策定に当たっては、大学等におけるオンライン会議サービスに特化した項目に焦点を当て、NSA(National対応度 [%]（クラウド事業者管理のリソース）

本チェックリストを用いて、オンライン会議サービスを提供する事業者 6 社に協力を依頼し、以下のサーM4ログ

100

ビスについて調査した。

M6

ログ利用

100

M7

ログ閲覧可能期間の確認方法

100

P4

準拠法

100

P5

管轄裁判所

100

Q1

データの所有権 / 利用権80

Q3

契約終了後のユーザデータ

100

OA1

LTI 対応60

OA2

LMS 連携80

OA3

ライセンス連携80

OB1同時参加可能人数100

OB2

通信利用帯域

100

OB3

録画機能

100

OB4

出席確認機能100

OB5

出席制限機能100• Amazon Chime• Cisco Webex Meetings• Google Meet
• Microsoft Teams• NTT ビ ズ リ ン ク SMART Communication ＆Collaboration Cloud• Zoom
通常のチェックリストの場合、チェックリスト回答は、導入支援サービス参加機関専用サイトでのみ公開しているが、オンライン会議サービス用チェックリス
トは、大学等のニーズが高いことから学認クラウドの公式サイトで一般公開している。
また、本チェックリスト項目が現実のサービスでどの程度実現されているかを見るために、5 社（Webex,**

チェックリスト項目の回答方法が「Yes ／ No 回答」の場合には「Yes」

Meet, Teams, SMART, Zoom) の対応度をチェックとしているもの、「記述回答」の場合には「具体的に」施策、実現手段リスト回答から算出した。その結果を表 2 に示す。などが記載されているものを「対応している」と判断したが、「対応し対応度とは、チェックリスト回答においてその項目に「対応している」と判断できる回答が示されているている」に含まれないものの中には、実際は対応しているがそれを公開していない場合も含まれる。

割合である。

これらの項目を検討するとよい。

ここでは、どれだけのサービスがチェックリストの

ここでは、オンライン会議サービス用チェックリス各項目に対応できているかを示しながら、オンライントとして、特に注意して検討すべき項目を挙げたが、会議サービスの現状を俯瞰することが目的であり、特選定時には、個々の大学等の利用目的や要件に合わせ定のサービスを推奨することが目的ではない。以下、て総合的に判断する必要がある。

サービス選定時の注意点と特に対応度に差がある項目

3.2について説明する。
サービスのトライアル (C3) および請求書払い (C7)は、全社で対応している。

セキュリティポリシ策定における活用

高等教育機関の情報セキュリティ対策のためのサンプル規程集（2019 年度版）[9] （以下「サンプル規程集」）が、2020 年 2 月に公開された。

大学のアカウントを使って認証する場合、SAML 認

サンプル規定集では、大学等でセキュリティポリシ証連携 (D1) はそれを実現する方法の 1 つであり、学やクラウドサービス利用時のガイドラインを策定する

認 [8] でも採用しているが、3 社が対応している。多際に検討すべきことを例示している。したがって、大要素認証 (D3) を使って、より強固な認証を実現でき学等はサンプル規定集を参照してそれぞれの事情に合るものも 3 社で対応している。

わせて、セキュリティポリシやガイドラインを策定す通信の暗号化 (G4) で、ユーザ端末とオンライン会ることができる。

議サービスのサーバ間のネットワーク暗号化 (TLS 等)

クラウドサービス利用時の情報セキュリティについは全社で対応している。一方、高度な暗号化機能であても、個々の大学等のデータ機密保護区分などに従っるエンドツーエンド暗号化 (G10) に対応しているのて、クラウドサービスやその利用に対する要件をセは、今のところ 1 社だけであることが分かる。このよ

キュリティポリシやガイドラインに盛り込む必要があうな対応度が低い項目を仕様に選ぶ時には、現実に調る。また、実際にクラウドサービスを利用する際には、達可能であるかを確認して検討する必要がある。

そのクラウドサービスのサービス内容や契約条件をよクラウドサービスでは、データせンターが国内に設く理解した上で、個々の大学等のセキュリティポリシ置されているかどうかがしばしば問題となるが、デーやガイドラインに適合したものを選択することが重要

タセンターの設置場所 (K7) は 4 社で公開している。

である。

インシデント対応方法 (L6) では、事業者側のリソー

上記の作業に関して、サンプル規定集に対応しつつ、スで仮にインシデントが発生した場合の対応手順が公より現実のクラウドサービスの内容や技術に即して記開されているかを質問している。これについては 2 社

述・構成されたチェックリストができれば、大学等のが公開しており、残りの 3 社では対応は決めているがセキュリティポリシやガイドラインの策定に活用するセキュリティ維持のためにあえて公開していないといことができる。また、これらに適合するクラウドサーう状況である。

ビスの導入検討に活用することもできる。

なお、K7 や L6 のように、情報を公開していない場

以下に、サンプル規定集に対応したセキュリティポ合でも契約時に情報を得られることもあるので、選定リシやガイドラインの策定およびこれらに適合するク時の重要なポイントになる。

ラウドサービスの導入検討に、現在のチェックリスト

契約条件で準拠法 (P4) や管轄裁判所 (P5) に関してVer.5.0 がどのように適用できるかという一例を示す。

は、かつては外資系サービスでは国外であったものが、サンプル規定集の D2101 情報セキュリティ対策基

最近では国内で対応できる事業者が増えており、全社準、第七章 外部委託、第四節 クラウドサービスの利で日本法と国内の裁判所に対応している。

用、第七十一条（D2101-71）の第 1 項は、クラウド大学で既に LMS 等のシステムを運用中で、それサービスを利用するに当たり、サービスの中断や終了とオンライン会議サービスを連携したい場合に、時に際し、円滑に業務移行するための対策実施を求めLTI(Learning Tools Interoperability) 対応 (OA1) でる規定である。

きるのは 3 社、LMS 連携 (OA2) できるのは 4 社あり、具体的に動かした事例を回答している事業者もあ

この第 1 項に対応するチェックリスト Ver.5.0 の項目を表 3 に示す。

る。また、オンライン会議サービスのライセンスを複表 3 のチェックリスト項目を参考にすることで、サ数持っている場合、連携 (OA3) できるのは 4 社ある。

ンプル規定集の第 1 項に対応し、さらにより具体的な実際に学内のシステムと連携して運用する場合には、記述を含むセキュリティポリシやガイドラインを策定

表3

サンプル規定集に対応するチェックリスト項目例

ル規程集のクラウド関係個所に対応したチェックリス
ト項目を抽出し、サンプル規程集対応版チェックリス

D2101-71 第 1 項

チェックリスト項目

一 取り扱う情報の可用性区分

E1:サービス稼働率の規定の格付に応じた、サービス中断

E2:サービス稼働率の実績時の復旧要件

E3:データ耐久性の規定
E4:計画停止の有無
F2:重要情報の通知
H6：フェイルオーバー機能の提供

二 取り扱う情報の可用性区分

P2:契約条件・SLA の変更手続きの格付に応じた、サービス終了P6:事業終了の告知時期又は変更の際の事前告知の方法

R1:契約終了時のデータの移行支援

・期限及びデータ移行方法

R2:サービス利用終了時のデータ確保
R4：ユーザデータの移行性

トの策定を進めているところである。

4 おわりに
本稿では 2020 年 7 月に改訂されたチェックリストの Ver.5.0 を紹介するとともに、目的に合わせたチェックリスト活用範囲の拡充として、オンライン会議サービス用チェックリストの提供とセキュリティポリシ策定への活用について説明した。
オンライン会議サービス用チェックリストは、事業者 6 社にご協力いただいた回答とともに学認クラウド公式サイトで公開中である。
セキュリティポリシ策定における活用としては、サンプル規程集のクラウドサービス関係個所に対応したサンプル規定集対応版チェックリストおよび解説や推することができる。また、導入を検討しているクラウ奨策を追加した活用ガイドを 2020 年 12 月に公開するドサービスが、サンプル規定集の第 1 項に対応したセ予定である。

キュリティポリシやガイドラインに適合するかどうか

NII は、今後もチェックリストを活用した大学等のは、これらの項目について事業者のチェックリスト回

クラウド導入検討を支援するために、クラウド利用の答を確認すればよい。

目的や局面に合わせた活用ガイドを拡充していく予定

サービス中断時の復旧要件としては、クラウドサー
ビスの信頼性 (E1-3) を確認しておくことが重要であり、多くの事業者では SLA(Service Level Agreement)である。

謝辞を提示しているので、サービスの信頼性に関する指標「学認クラウド導入支援サービス」にご協力いただいとして参考になる。ている大学・研究機関ならびにクラウド事業者の方々

また、システム保守や法定停電による計画停止 (E4)も想定しておく必要があり、その確認も重要である。
さらに、サービス停止、障害、保守実施、非互換をに深く感謝いたします。

参考文献

伴う仕様変更なども想定しておく必要があり、このよ[1] 学認クラウド、https://cloud.gakunin.jp/．

うな重要情報の利用者への通知方法 (F2) の確認も重[2] 学認クラウド導入支援サービス チェックリスト、要である。

https://cloud.gakunin.jp/foracademy/#academy-02．

フェイルオーバの機能を提供 (H6) する事業者もあ[3] 小林 久美子、岸 達也、吉田 浩、合田 憲人、大り、システムの安定運用を実現する手段として参考に学・研究機関におけるクラウド導入時のチェックなる。

リスト活用法、大学 ICT 推進協議会 2018 年度年

サービス終了又は変更の際の事前告知の方法・期限

次大会、2018 年．

については、契約期間中に事業者が契約条件や SLA[4] 小 林 久 美 子 、岸 達 也 、吉 田 浩 、合 田 憲 人 、の変更を行う場合の手続きが文書で定められているか

BCP/DR のためのクラウド導入検討、大学 ICT(P2)、事業者が事業を終了する場合、何か月前に終了

推進協議会 2019 年度年次大会、2019 年．

を告知されるかが契約書や約款などの文書に定められ[5] 大学・研究機関のためのクラウドスタートアップているか (P6) を確認しておくことが重要である。
また、データ移行方法については、データ等の移行支援に関する情報 (R1, R2, R4) が参考になる。

ガイド、
https://cloud.gakunin.jp/foracademy/#academy-02．

[6] オンライン会議サービス用チェックリスト一覧、

ここでは一例を示したが、NII ではこのような検討

https://cloud.gakunin.jp/cas/online-conference/．

をさらに進めて、チェックリスト Ver.5.0 からサンプ[7] Selecting and Safely Using Collaboration

Services for Telework、
https://www.nsa.gov/News-Features/News-Stories/
Article-View/Article/2163484/working-from-homeselect-and-use-collaboration-services-more-securely/．

[8] 学術認証フェデレーション「学認（GakuNin）」、
https://www.gakunin.jp/．
[9] 高 等 教 育 機 関 の 情 報 セ キ ュ リ テ ィ 対 策の た め の サ ン プ ル 規 程 集（2019 年 度 版 ）、

https://www.nii.ac.jp/service/sp/．