STAR継続型
信頼と一貫性の増進へ

cloudsecurityalliance.org/star
https://cloudsecurityalliance.jp/star.html

日本語版提供に際しての告知及び注意事項
本書「STAR継続型 信頼と一貫性の増進へ」は、Cloud Security Alliance (CSA)が公開している「STARContinuous Increasing Trust and Integrity」の日本語訳です。本書は、CSAジャパンが、CSAの許可を得て翻訳し、公開するものです。原文と日本語版の内容に相違があった場合には、原文が優先されます。
翻訳に際しては、原文の意味および意図するところを、極力正確に日本語で表すことを心がけていますが、翻訳の正確性および原文への忠実性について、CSAジャパンは何らの保証をするものではありません。
この翻訳版は予告なく変更される場合があります。以下の変更履歴（日付、バージョン、変更内容）をご確認ください。
変更履歴日付
2019年6月26日

バージョン
日本語版1.0

変更内容
初版発行

本翻訳の著作権はCSAジャパンに帰属します。引用に際しては、出典を明記してください。無断転載を禁止します。転載および商用利用に際しては、事前にCSAジャパンにご相談ください。
本翻訳の原著作物の著作権は、CSAまたは執筆者に帰属します。CSAジャパンはこれら権利者を代理しません。原著作物における著作権表示と、利用に関する許容・制限事項の日本語訳は、前ページに記したとおりです。なお、
本日本語訳は参考用であり、転載等の利用に際しては、原文の記載をご確認下さい。
日本語表記の注意点
本書の翻訳において、STAR Continuousに関して以下の2つの訳を使用しています：⚫ STAR継続型
STAR Level 3のSTAR Continuousは、STAR継続型と訳しています。
⚫ STAR継続確認型
STAR Level 1およびSTAR Level 2のSTAR Continuousは、STAR継続確認型と訳しています。
これは、Level 1/2とLevel 3のContinuousの意味が異なることによります。Level1/2におけるContinuousは、クラウドプロバイダが1か月ごとに自己評価を更新するものであるのに対して、Level 3のContinuousは、管理策の検証を自動化することでより高い頻度の監査を可能にすることを意味します。

日本語版作成に際しての謝辞「STAR継続型 信頼と一貫性の増進へ」の日本語訳は、CSAジャパンの「CCM/STARワーキンググループ」に参加するメンバーを中心とした、CSAジャパン会員の有志により行われました。
作業は全て、個人の無償の貢献としての私的労力提供により行われました。なお、企業会員からの参加者の貢献には、会員企業としての貢献も与っていることを付記いたします。
以下に、翻訳に参加された方々の氏名および所属先（企業会員からの参加の場合のみ）を記します。（氏名あいうえお順・敬称略）
伊賀勝見
成川
満田誠
勉
達也
淳

cloudsecurityalliance.org/star
https://cloudsecurityalliance.jp/star.html

2

CSA STAR、クラウドにおけるセキュリティ保証のための業界で最も強力なプログラムです。
STARは、透明性、厳格な監査、他規格との調和という重要な原則をもたらします。STARプログラム
は、クラウドサービスについて、ベストプラクティスの提示やセキュリティ体制の検証など、さまざまなメリットをもたらします。
STARは、以下の3レベル 構成です。
Level 1 自己評価
Level 2 第三者認証
Level 3 継続的監査

CSA STAR継続性とは？
STAR継続型は、CSA STARプログラムを構成する一つで、CSPがクラウドセキュリティコンプライアンスおよび認定へのアプローチに、セキュリティ体制を継続的に検証するための追加機能を付加する機会を提供するものです

なぜ、現在の認証に、この付加要素を付け加える必要があるのでしょうか?
CSA STAR継続型は、あらゆる規模の企業に大きな利益をもたらします。 今日、より多くの顧客が、実施済みのセキュリティアプローチに対するより高いレベルの保証をCSPに求めているので、STAR継続型は、信頼、評判および新しい事業機会をもたらします。STAR継続型は、セキュリティ管理策の実装に対する現在の評価方法により頻繁な検証を組み込むといった、より高い保証と信頼性を提供するように構築されています。 STAR継続型には、次のような機会があります:•

頻繁に（毎月）STAR自己評価を更新：
STAR継続確認型自己評価•CSPセキュリティ体制に関する追加および更新された情報を使用して、第三者認証（STAR認証など）をサポートします：
STAR認証/評価証明+ STAR継続確認型
自己STAR継続的監査は、セキュリティ要件に基づい•

CSPセキュリティプログラムまたはたクラウドサービスの継続的なコンプライアンISMSを継続的に監査するためのプロセス評価です。 評価の範囲内で行われる管理策のスを確立し、基本的なコンプライアンス検証の中で実行される必要があるプロセスを指認証モデルを超えたISMSの証明と、シ定します。 継続的な監査のためのインフラストステムの重要な側面を継続的に監視するラクチャの実装を実現するガバナンスの構造をプロセスがあることの証明を提供しま提供します。継続的監査ベースの認証に向けた

す：STAR継続型監査アプローチの実現に必要な取り組みや条件、例
えば、セキュリティやプライバシーの要件を運STAR継続型は、さらに以下の点でCSPを用に組み入れることなどを特定して、その実施支援します:に対する信頼を確立します。
•経営陣に対して、より高い可視性を提供することで、内部統制、規制、およびクラウドセキュリティ業界標準の求めるところに対して、管理システムの有効性をリアルタイムで評価できるようにします。

cloudsecurityalliance.org/star
https://cloudsecurityalliance.jp/star.html

3

••

•

組織の目的がクラウドサービスの最適化にどのように向けられているかを反映するように設計された監査を実施します。
従来型の「ある特定の時点」という考え方を超える先進性とパフォーマンスレベルを実現します。
さらに、CSPの利用者には、STAR継続型は、実施されている統制のレベルとその有効性についてのより深い情報を提供します。

•STAR継続型は、従来の特定の時点における認証を改善します。ある特定の時点における認証は、監査が行われた直後の信頼に完全に依存していますが、継続的監査は、継続的監査プロセスが実行される全期間にわたって、いつでも遵守状況について詳細な報告を可能にします。
監査プロセスの頻度を増やして、「常に最新」の順守状況報告を実現します。
この目的のために、STAR継続型は管理それだけの労力をかける価値がありますか？
• 新しい IT投資を行う前に、クラウドオプションを最初に評価する組織がますます増えています。組織は、従来のITの複雑さとコストを減らすためにクラウドを採用しています。 しかし、サービスをクラウドに移管することを未だに多くのCIOが懸念しています。 サイバーセキュリ
ティ、データの所有権、プライバシーなどが重要な関心事です。 企業の機密データの保持、GDPRへの準拠、ビジネスに不可欠なアプリケーションの提供を行うCSPの場合は、データとシステムの保護方法に関する包括的なストーリーを持ち、そのストーリーを独立した監査によって検証することが、CSPにビジネスを移行しようとしている顧客の不安を弱める事になるでしょう。
• セキュリティ管理、コンプライアンス、およびそれらの透明性の向上を求める声は、急速にユーザー、特に企業顧客にとって基本的な期待となりつつあります。 結果の信頼性、透明性、CSPの保証レポートの使いやすさを向上させることは、今日の環境における競争上の優位性となりますが、これに投資をしなかったCSPにとっては近い将来参入障壁となるでしょう。 STAR継続型は、この増加するCSPのニーズを満たすの策の検証を自動化することに重点を置いています。自動化された管理策の比率が高ければ、より低いコストでより高い頻度の監査を可能にすることができます。

STAR継続型の認証は可能でしょうか?
はい。 CSA Open Certification Frameworkからヒントを得たSTAR継続型には、継続的モニタリングのための3つのモデルがあります。
3つのモデルそれぞれが、継続的監査のさまざまなレベルの精度の要件をカバーすることによって、異なるレベルの保証を提供します。
3つのモデルは次のように定義されています:
1. 継続確認型自己評価
2. 継続確認型自己評価を伴う拡張認証
3. 継続型認証
提案されたフレームワークは自己評価遵守報告の適時提出の簡単な認証（Level1）から始まり、統制目標の達成の継続的な認証（Level3）へとレベルアップします。 図1参照.

どのように始めればいいですか?
https://cloudsecurityalliance.org/artifacts/starcontinuous-technical-guidanceに役立ちます。

cloudsecurityalliance.org/star
https://cloudsecurityalliance.jp/star.html

4図１ Open Certification Framework

CSAについてクラウドセキュリティアライアンスは、安全なクラウドコンピューティング環境を確かなものにするためにベストプラクティスの定義と認知の向上に取り組んでいる世界をリードする組織です。 CSAは、業界の専門家、団体、政府、およびCSAの企業および個人会員による専門知識を活かして、クラウドセキュリティに特化した研究、教育、認証、イベント、および製品を提供します。 CSAの活動、知識、そして広範なネットワークは、プロバイダーや顧客から、政府、起業家、そして保証業界に至るまで、クラウドの影響を受けるコミュニティ全体に利益をもたらし、多様な関係者が信頼できるクラウドエコシステムを構築し維持するためのフォーラムを提供します。

Cloud Security Alliancewww.cloudsecurityalliance.org
General inquiries: info@cloudsecurityalliance.org
Media inquiries: pr@cloudsecurityalliance.org

cloudsecurityalliance.org/star
https://cloudsecurityalliance.jp/star.html

5