あなたは、クラウドサービスの安全を信じますか？
2011.05.28

デロイト トーマツ リスクサービス株式会社
パートナー
公認会計士（CPA)
公認情報システム監査人（CISA)
丸山 満彦©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

• パブリッククラウドサービスを社会インフラとして普及するための考え方• 水道• 株式市場© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

クラウド・クラウド・コンピューティング

ユーザーから見ればこんな感じ？

蛇口をひねれば水がでるようにコンセントにつなげば明かりがつくように
4 スライドに記載された事項は講演者の所属する法人、関連する団体の公式見解ではありません。

© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

蛇口の向こう側は沈殿

濾過

消毒

出典：東京都水道局ウェブページより
http://www.waterworks.metro.tokyo.jp/water/pp/hakken/h06.html
スライドに記載された事項は講演者の所属する法人、関連する団体の公式見解ではありません。

© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

5

ユーザからみたらこんな感じ？

コンピュータを買ってきて・・・

ネットワークにつなげば・・・

MailCalDoc

Sheet

スライドに記載された事項は講演者の所属する法人、関連する団体の公式見解ではありません。

がすぐに使える。。。

© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

6

クラウドの向こう側は？

• サーバーがいっぱい？
• いろいろなソフトが動いている？
• ストレージもいっぱい？

スライドに記載された事項は講演者の所属する法人、関連する団体の公式見解ではありません。

© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

7

We
don’tcare!
フッター© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

8

We care…

安定供給
品質・品質・安全性
コスト
フッター©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

9

何がポイントか？

サービスの提供（受託者の実績）

期待したサービスの提供を受けている

委託

受託

期待したサービスの提供を実施した

サービスの依頼（委託者の期待）フッター©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

10品質・品質・安全性

社会調整機能としてのリスクコミュニケーションツール（規制や開示）• 最低限基準型（Yes or No）（最低限の品質のための基準を規定する）
水道水の規制株式上場基準• 開示基準型• 情報開示基準型 （グラデーション）グラデーション）（開示する項目を規定し、その項目を開示する）
財務報告基準• 実態保証基準型 （Yes or No））（評価する基準を規定し、それを達成していることを開示する）
内部統制基準（US-SOX）

フッター© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

12

Yes or No型とグラデーション型の長所・短所• Yes or No型• 単純でわかりやすい• Yes Noを分ける基準の合意が必要だが、一意に決めるのは難しい。
• 柔軟な期待に対する対応が困難• グラデーション型は、• 尺度のメッシュが細かくなるほど• 尺度の数が増えるほど細かくなるほど素人ではわかりにくくなる。

© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

フッター©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

13

水道水が安全なのは，様々な仕組みのおかげ
水道水は、水道法第４条の規定に基づき、「水質基準に関する省令」で規定する水質基準に適合することが必要です。

法律
法律 （水道法）
水道法）• 水道水質基準
水質基準
水質基準項目と基準値（５０項目）
水質基準
水質管理目標
水質管理目標設定項目と目標値（２８項目１２９物質）
水質管理目標要検討項目要検討項目と目標値（４４項目）
要検討項目

適切な運営体制
運営体制
適切な運営設備
運営設備
適切な運営母体
運営母体

出典：厚生労働省のウェブページ
スライドに記載された事項は講演者の所属する法人、関連する団体の公式見解ではありません。
©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.
http://www.mhlw.go.jp/topics/bukyoku/kenkou/suido/kijun/kijunchi.html

14

（参考）水質基準
項目

基準

項目

基準

一般細菌

1mlの検水で形成される集落数が100以下 総トリハロメタン

0.1mg/L以下

大腸菌

検出されないことトリクロロ酢酸
トリクロロ酢酸

0.2mg/L以下

カドミウム及カドミウム及びその化合物
びその化合物

カドミウムの量に関して、0.01mg/L以下

ブロモジクロロメタン

0.03mg/L以下

水銀及びその水銀及びその化合物
びその化合物

水銀の量に関して、0.0005mg/L以下

ブロモホルム0.09mg/L以下

セレン及セレン及びその化合物
びその化合物

セレンの量に関して、0.01mg/L以下

ホルムアルデヒド

0.08mg/L以下

鉛及びその鉛及びその化合物
びその化合物

鉛の量に関して、0.01mg/L以下

亜鉛及びその亜鉛及びその化合物
びその化合物

亜鉛の量に関して、1.0mg/L以下

ヒ素及びその素及びその化合物
びその化合物

ヒ素の量に関して、0.01mg/L以下

アルミニウム及アルミニウム及びその化合物
びその化合物

アルミニウムの量に関して、0.2mg/L以下

六価クロム
六価クロム化合物
クロム化合物

六価クロムの量に関して、0.05mg/L以下

鉄及びその鉄及びその化合物
びその化合物

鉄の量に関して、0.3mg/L以下

シアン化物
シアン化物イオン
化物イオン及イオン及び塩化シアン
塩化シアン

シアンの量に関して、0.01mg/L以下

銅及びその銅及びその化合物
びその化合物

銅の量に関して、1.0mg/L以下

ナトリウム及ナトリウム及びその化合物
びその化合物ナトリウムの量に関して、200mg/L以下

硝酸態窒素及び硝酸態窒素及び亜硝酸態窒素 10mg/L以下
フッ素及フッ素及びその素及びその化合物
びその化合物

フッ素の量に関して、0.8mg/L以下

マンガン及マンガン及びその化合物
びその化合物

マンガンの量に関して、0.05mg/L以下

ホウ素及ホウ素及びその素及びその化合物
びその化合物

ホウ素の量に関して、1.0mg/L以下

塩化物イオン
塩化物イオン

200mg/L以下

四塩化炭素

0.002mg/L以下

カルシウム、カルシウム、マグネシウム等
マグネシウム等（硬度）硬度） 300mg/L以下

ジオキサン
1,4-ジオキサン
0.05mg/L以下
シス-1,2-ジクロロエチレン
ジクロロエチレン及
シス
ジクロロエチレン及びトラ
0.04mg/L以下
ンス-1,2-ジクロロエチレン
ジクロロエチレンンス
0.02mg/L以下
ジクロロメタン

蒸発残留物

500mg/L以下

陰イオン界面活性剤
イオン界面活性剤

0.2mg/L以下

ジェオスミン

0.00001mg/L以下

テトラクロロエチレン

0.01mg/L以下

メチルイソボルネオール
2-メチルイソボルネオール

0.00001mg/L以下

トリクロロエチレン

0.03mg/L以下

非イオン界面活性剤
イオン界面活性剤

ベンゼン

0.01mg/L以下

フェノール類
フェノール類

塩素酸

0.6mg/L以下

有機物(全有機炭素
有機物 全有機炭素の全有機炭素の量)0.02mg/L以下
フェノールの量に換算して、0.005mg/L
以下3mg/L以下

クロロ酢酸
クロロ酢酸

0.02mg/L以下

値
pH値

5.8以上8.6以下

クロロホルム0.06mg/L以下

味異常でないこと

ジクロロ酢酸
ジクロロ酢酸0.04mg/L以下

臭気異常でないこと

ジブロモクロロメタン

0.1mg/L以下

色度

5度以下

臭素酸フッター0.01mg/L以下

濁度© 2009Deloitte Touche Tohmatsu LLC. All rights reserved.
2度以下©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

水道水の品質

一定の品質を維持していれば、後はどのように表示してアピールするか？

景品表示法

健康のために必要と考える最低限最低限の最低限のレベル

水道法
社会に提供できない品質© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

15

クラウドサービスの品質？

一定の品質を維持していれば、後はどのように表示してアピールするか？

景品表示法

安全のために必要と考える最低限最低限の最低限のレベル？？？
社会に提供できない品質© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

結果が重要な会計データの開示
②投資

経済活動

企業

会計基準

財務報告

④経済活動の結果を報告する③投資された資金をもとに事業を行う

¥株主
投資家

①財務報告を見て投資の判断を行う⑤利益の中から配当

財務報告＝
財務報告＝経済活動を経済活動を投資家等に投資家等に伝達するための伝達するための手段するための手段
会計基準＝会計基準＝経済活動を経済活動を財務報告に財務報告に変換さるための変換さるための函数
さるための函数フッター© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

18

さらに監査による報告情報の信頼性の向上
②投資

企業

経済活動

会計基準

財務
報告

①財務報告を見て投資の判断を行う④経済活動の結果を報告する③投資された資金をもとに事業を行う

監査
活動

監査人

株主
投資家

監査
報告

⑥財務報告の適正性を監査する¥⑤利益の中から配当© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

フッター©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

19

実態保証型（US-SOX）
②投資

企業

内部統制
活動

内部統制
基準

内部統制
報告書

株主
投資家

④内部活動の結果 ①内部統制報告を見てを報告する
投資の判断を行う③投資された資金をもとに事業を行う

監査人

監査
活動

監査
報告

⑤内部統制活動の適正性を監査する

フッター© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

20

クラウドサービスのクラウドサービスの安全性を安全性を信頼する
信頼する
仕組み
仕組み

仮説１：情報セキュリティ基準を準拠しているかどうか式（よく世間で考えられる保証型情報セキュリティ監査）
Yes

期待している
期待しているレベル
しているレベル【課題②
課題②】
期待している期待しているレベル
しているレベルはレベルはグラデーションにならないかグラデーションにならないか？にならないか？

【課題①
課題①】
期待している期待しているレベル
しているレベルのレベルの合意はとれるのか合意はとれるのか？
はとれるのか？
No

フッター© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

22仮説２：最低基準方式と情報開示基準型を組み合わせた仕組み

クラウド事業者はどのレベルにあるのかを宣言する
Yes
監査人

宣言したレベル通りであることを保証する

最低限の最低限のレベル一次元のものさしにすると誤解をうけるが・・・

No

サービスを社会に提供することはできない

フッター© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

23

仮説２－１：評価の基準は会計基準のようなものが現実的ではないか• 事業者の信頼性に関する基準• サービス品質に関する基準• 実施している対策
やっていることだけでなく• 実施した結果
サービス停止時間
・・・・・• 安全性に関する基準

フッター

結果も結果も開示© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

24

実はそういう制度はすでにある• ASP・SaaS安全・信頼性に係る 情報開示認定制 by マルチメディア振興センター• http://www.fmmc.or.jp/asp-nintei/gaiyo.html
表 一定の一定の要件を要件を考慮すべき考慮すべき項目
すべき項目の項目の内容【対策・対策・措置などを措置などを行などを行っていない場合っていない場合に場合に非認定とする非認定とする項目とする項目】
項目】
コンプライアンス

情報セキュリティ
情報セキュリティにセキュリティに関する規程する規程などの規程などの整備などの整備

サービス基本特性
サービス基本特性

サービス（サービス（事業）事業）変更・変更・終了に終了に係る問合せ
問合せ先

アプリケーション、アプリケーション、プラットフォーム、プラットフォーム、死活監視（死活監視（ソフトウェア、ソフトウェア、機器）機器）

サーバ・サーバ・ストレージ等
ストレージ等

ウィルスチェック
記録（記録（ログ等ログ等）
セキュリティパッチ管理
セキュリティパッチ管理
ファイアウォール設置等ファイアウォール設置等

ネットワークＩＤ・
ＩＤ・パスワードのパスワードの運用管理
ユーザ認証
ユーザ認証
管理者認証
連絡先

サービスサポートメンテナンスなどのメンテナンスなどの一時的などの一時的サービス
一時的サービス停止時
サービス停止時の停止時の事前告知
障害・障害・災害発生時の災害発生時の通知【最低水準数値以下の最低水準数値以下の場合に場合に非認定とする非認定とする項目とする項目】
項目】

サービス基本特性
サービス基本特性

サービス（サービス（事業）事業）変更・変更・終了時の終了時の事前告知時期© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

フッター©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

25

開示すべき基準は、社会的な合意でつくるべき（一般に公正妥当）

一般に一般に公正妥当

利用者情報を理解できるほど賢くなる必要がある

フッター

提供者

提供者の不都合な情報も開示すべき（有価証券報告書をみてみろ！）© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

26

監査を有効にするための前提• 評価者についての前提• 信頼＝倫理観、客観性• 能力＝評価の対象や基準を理解し、論理的に結論を導けるのある評価者の存在を前提としている。

• 評価基準（Criteria）についての前提• 測定尺度が設定可能 （判断がぶれないようにする必要がある）
例えば、「サービス停止時間」とは何か？

• 利害関係者が同意をしている© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

27

Some more thought• 情報開示• 「守秘義務契約を締結した上で開示する情報」と「公開できる情報」と区分する• 第三者監査 （かっこ内は財務諸表監査）• 事業者を一律に監査を義務付ける必要はない （上場企業、大会社）• すべての情報を監査対象とする必要はない （有価証券報告書）• 保証水準も段階をつけれる （監査報告書、レビュー報告書）

フッター© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

28

まとめ

実は私が10年前に考えていたスキーム
eAuditor監査の種類と規準（Criteria）保証する事項保証する事項規準（Criteria）規準（Criteria）© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

課題は、監査コストを社会的に負担する覚悟があるのか• 低コストの監査 ＝＞ 監査の信頼性が低い ＝＞ 使えない
• 信頼性が高い監査 ＝＞ 高コストの監査 ＝＞ 使わない¥

信頼© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

フッター©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

31

ご静聴ありがとうございました・・・

スライドに記載された事項は講演者の所属する法人、関連する団体の公式見解ではありません。

© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.

32

トーマツグループは日本におけるデロイト トウシュ トーマツ リミテッド（英国の法令に基づく保証有限責任会社）のメンバーファーム各社（有限責任監査法人トーマツおよび税理士法人トーマツ、ならびにそれぞれの関係会社）の総称です。トーマツグループは日本で最大級のビジネスプロフェッショナルグループのひとつであり、各社がそれぞれの適用法令に従い、監査、税務、コンサルティング、ファイナンシャル アドバ
イザリーサービス等を提供しております。また、国内約40都市に約7,000名の専門家（公認会計士、税理士、コンサルタントなど）を擁し、多国籍企業や主要な日本企業をクライアントとしています。詳細はトーマツグループWebサイト（www.tohmatsu.com）をご覧ください。
Deloitte（デロイト）は監査、税務、コンサルティングおよびファイナンシャル アドバイザリーサービスをさまざまな業種の上場・非上場クライアントに提供しています。全世界150ヵ国を超えるメンバーファームのネットワークで、ワールドクラスの品質と地域に対する深い専門知識により、いかなる場所でもクライアントの発展を支援しています。デロイトの約170,000人におよぶ人材は“standard of excellence”となることを目指しています。
Deloitte（デロイト）とは、デロイト トウシュ トーマツ リミテッド(英国の法令に基づく保証有限責任会社)およびそのネットワーク組織を構成するメンバーファームのひとつあるいは複数を指します。デロイト トウシュ トーマツ リミテッドおよび各メンバーファームはそれぞれ法的に独立した別個の組織体です。その法的な構成についての詳細はwww.tohmatsu.com/deloitte/をご覧ください。
© 2010 Deloitte Touche Tohmatsu LLC

Member ofDeloitte Touche Tohmatsu Limited© 2009 Deloitte Touche Tohmatsu LLC. All rights reserved.

©2010 Deloitte Touche Tohmatsu LLC. All rights reserved.