CCM (Cloud Control Matrix)
役割と使い方一般社団法人

日本クラウドセキュリティアライアンス
CCMワーキンググループ

このセッションの内容• CCM(Cloud Control Matrix)とは何かを理解する••

CCMの位置づけと既存の規格・標準との関係
CCMとCSA Cloud Security Guidanceの関係• CCMの構造を理解する••

コントロールドメインの構成
マトリクス表の構成• CCMとCAIQの使い方••

事業者の自己評価とユーザによる事業者評価
ユーザと事業者のコンセンサス• CCMとSTAR••

STARとそのロードマップ
OCF (Open Certificate Framework）• CCM WGの活動予定•••

CCM及び関連ツールの日本語化（翻訳、レビュー）
日本国内各種基準との比較、対照、補足
CCMピアレビューへの参加と日本からの意見フィードバック

CCMの位置づけ
クラウドユーザ・事業者のためのセキュリティガイダンス
１４の領域における、クラウドセキュリティの考え方についての解説

ガイダンスの14領域におけるセキュリティコントロールのフレームワーク
他の国際標準、業界標準などとの対応付けを含むガイダンスの実装基準的位置づけ

CCM、CAI自己評価による準拠事業者登録制度（英語版のみ）

CCMとは• クラウドサービスに必要なコントロール（管理策・統制）とその実装方針の提示• 情報セキュリティ上の管理策• ITガバナンス上の統制項目（Ver 3から新たに導入）• 適用対象の明示• 各コントロールとアーキテクチャレイヤの対応付け• 各コントロ－ルと各サービスモデルの対応付け• 実施者（事業者、テナント、利用者）の明示• 各種標準との対応付け• 既存の国際標準、業界標準、政府標準における同種コントロー
ルとの対応付け• Ver3からSOC2にも対応

CCMの項目例（日本語訳版）
ドメインごとの色分け

コントロールの内容

アーキテクチャの適用レイヤ

サービスモデルとの対応

実施対象者

ガバナンス項目各種標準等との対応表
AICPA（SOC2)

COBIT
（4.1)

FedRamp

CSA
ガイダンス

HIPPA

ISMS

PCI/DSSCSAガイダンスとCCM• CCMドメインは、CSAガイダンスドメインをベースにしているが、細部で異なる点に注意• 全般的な考え方の理解→ガイダンス• 要求事項、管理策→CCM／CAIQ• CCMの対応表にはガイダンスドメインへの対応が記載されているので、要求事項の詳細は、ガイダンスを参照するとよい• 但し、実装時の要求事項が他の基準（たとえばFedRAMPやPCI/DSSなど詳しい実装に言及している基準）から持ち込まれているケースもあるCCMのドメイン••

Audit Assurance & Compliance•Business Continuity Management & OperationalResilience•

事業継続管理と運用レジリエンス

監査・保証とコンプライアンス••

Change Control & Configuration Management••

Data Security & Information Lifecycle Management••

Infrastructure & Virtualization Security••

Interoperability & Portability••

Mobile Security•

Security Incident Management, E-Discovery & CloudForensics•

セキュリティインシデント管理、Eディスカバリ、
クラウドフォレンジックス•Supply Chain Management, Transparency andAccountability•

サプライチェーンの管理、透明性、説明責任••

Threat and Vulnerability Management

アイデンティティとアクセス管理

インフラと仮想化のセキュリティ

相互運用性と移植容易性

モバイルセキュリティ

データセキュリティと情報ライフサイクル管理
Datacenter Security••

Encryption & Key Management••

Identity & Access Management

変更管理と構成管理

••

•
•

•
•

データセンタセキュリティ

暗号化と鍵管理
Governance and Risk Management
ガバナンスとリスク管理
Human Resources
人事

脅威と脆弱性の管理

CCMの使い方• クラウド固有の要求事項をおおまかにチェックする• CCM／CAIQチェックリストによるチェック• 既存の管理策でクラウド固有の問題がカバーされているかチェックする• 既存の標準コントロール →対応するCCMコントロールのチェック（CAIQチェックリスト）• 既存標準をもとにクラウド固有の実装レベルを決める• 既存の標準コントロール →対応するCCMコントロール→対応する実装基準のコントロール（例えばFedRAMP,SP800-53など）

対象規格・基準の一覧•••••••••••••••••••"AICPA TS Map"
"AICPA Trust Service Criteria (SOC 2SM Report)""BITS Shared AssessmentsAUP v5.0""BITS Shared AssessmentsSIG v6.0"
CCM V1.X
COBIT 4.1
CSA Enterprise Architecture / Trust Cloud Initiative
CSA Guidance V3.0
ENISA IAF
"FedRAMP Security Controls(Final Release, Jan 2012)--LOW IMPACT LEVEL--""FedRAMP Security Controls(Final Release, Jan 2012)--MODERATE IMPACT LEVEL--"GAPP (Aug 2009)
HIPAA / HITECH Act
ISO/IEC 27001-2005
Jericho ForumNERC CIPNIST SP800-53 R3
NZISM
PCI DSS v2.0

赤字は主要な国際、業界、政府標準
下線はCCMをより詳細に実装する際参考にできる規格（実装レベル記載）
マトリクスに記載された標準コントロールを実装する場合には、より抽象的な標準→CCM→実装基準の順に参照するといい
例： ISO/IEC27001 → CCM → SP800-53

CAI・CAIQとは• CCMの各コントロールの内容をブレークダウンし、チェックリスト化したものがCAIQ• CAI(Consensus Assessment Initiative)は、CAIQを使用してユーザと事業者が相互の対応状況を確認するもの• STAR Level1（後述） は CAIQをもとに、事業者が自己チェックを行った内容を公開する制度

CAIQ（チェック項目例）
CCMのコントロールを必要に応じて複数の質問に分解している

現在、CCM WGにてVer 3.0 翻訳作業中：ボランティア募集！！

STARとはクラウド事業者のセキュリティとガバナンスを可視化する取り組み

予定：開発中実施中

実施中
OCF: CSAが提唱している複数認証制度の組み合わせ、相互乗り入れを可能にするオープンな認証フレームワーク。これにより事業者は複数認証取得時の重複作業を軽減できるSTARのレベル• STAR Level1 （自己チェック）• CCM/CAIQを用いた自己チェック状況を事業者が自主的に登録することで、クラウド事業者としてのセキュリティ対応状況を公開する制度 （開始済み）• STAR Level2 （第三者による認証・監査制度）• ISO27001-2005 もしくはAICPA SOC2 取得事業者に対し、CCM*1等に基づく第三者評価を実施、クラウド事業者としてのセキュリティを追加認証する制度。（OCFの考え方に準拠）• STAR Level3（継続的モニタリング）• 認証取得後も、その対応状況を継続的にモニタリング*2し保証する制度。たとえば米国政府（FedRAMP）などでハイレベルの情報を扱う際に要求されており、現在、STARとしての枠組み検討が進んでいる。 （準備中）＊1 :2014/5現在、CCM v1.4 またはCCM v3 のいずれか＋ISO/IEC270012005 または AICPA SOC2 で認証。
2015/3 にCCMの部分は v3に完全移行の予定*2:現在開発中のCTP（Cloud Trust Protocol）を使用し常時モニタリングする。 CTPは、クラウド事業者がユーザに対して準拠状況を常時開示するため のプロトコル

CCMワーキングループの活動
CSAジャパンでは、CCM ワーキンググループ（CCM WG)を行い、広く日本におけるCCMの展開を推進していくことを目的として以下の活動を行っています。

1. CCM/CAIQの日本語化、および、日本語版の監修••

CCM3.0日本語版：

一般公開済みCAIQ3.0.1(draft)日本語版： 会員公開済み

2. CCMの日本の法令、標準、基準へのマッピング
3. CCMのガイドラインの作成
4. CCMの日本における啓発活動の実施
5. CSAグローバルのCCMに対する日本の視点に立ったピアレビューの実施およびフィードバックの提供

また、本WGの活動に参加していただける方を募集しています。募集要項等につきましては、以下のURLを参照してください。
http://www.cloudsecurityalliance.jp/ccm_wg.html