「リスク管理アプローチに基づくSaaSクラウドサービスのセキュリティ評価」
Japan Security Summit 2023
一般社団法人

日本クラウドセキュリティアライアンス
理事

諸角昌宏

CSAリサーチフェロー、 CCSP、CCSK、CCAK

Copyright © 2018 Cloud Security Alliance Japan Chapter

2023年10月

https://www.cloudsecurityalliance.jp/

プロフィール• 一般社団法人日本クラウドセキュリティアライアンス

理事• Cloud Security Alliance リサーチフェロー• CSA Authorized Instructor• CCSK,CCSP,CCAK ～クラウドセキュリティ・ファンのページ～フェー
スブックグループ
https://www.facebook.com/groups/264458864908859/

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/2

本日のアジェンダ

1. クラウドセキュリティの基本である責任共有モデル
2. クラウドのリスク管理とCSAツール
3. STAR Registryとは？
4. まとめCopyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/3

1. クラウドセキュリティの基本である責任共有モデル

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

クラウドセキュリティの基本
責任共有モデル
クラウド事業者は、一定のリスクに対する責任を負い、クラウド利用者はその先のすべてに責任を持つ
Security In the Cloud
Security Of the Cloudクラウド利用者は、リスクを所管する最終的な責任（説明責任）を負っており、クラウド事業者にリスク管理の一部を転嫁しているに過ぎない。
（クラウドコンピューティングのためのセキュリティガイダンス V3.0から引用）
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

5

責任共有モデルにおける責任範囲
責任共有モデルの3つのカテゴリ① すべてのサービスモデルにおいてクラウド利用者が責任を持つ② クラウド利用者とクラウド事業者がサービスモデルによって責任範囲が決まる③ すべてのサービスモデルにおいてクラウド事業者が責任を持つ
引用：https://learn.microsoft.com/ja-jp/azure/security/fundamentals/shared-responsibility
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

6責任共有モデルのカテゴリ ①すべてのサービスモデルにおいてクラウド利用者が責任を持つ
カテゴリ①に含まれるもの
データ、情報ガバナンス
アイデンティティ、アクセス管理（IAM)
クライアントセキュリティ

クラウドを利用するにあたって、クラウド利用者が設定、管理、監視等の責任を持つ。
クラウド事業者は、環境を用意
右図：Salesforceの例
引用：https://help.salesforce.com/s/articleView?id=000389698&type=1
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

7

責任共有モデルのカテゴリ ②
クラウド利用者とクラウド事業者がサービスモデルによって責任範囲が決まる
IaaS/PaaS
クラウド利用者は、独自にセキュリティを作り込む必要がある境界防御で守られている環境から、クラウド環境に移行するにあたってのセキュリティの作り込みが必要
クラウド利用者は、クラウド事業者が提供するクラウドサービスのセキュリティを評価する必要があるSaaS
基本的に、クラウド利用者は、クラウド事業者が提供するクラウドサービスのセキュリティを評価する必要がある

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

8

責任共有モデルのカテゴリ ③
すべてのサービスモデルにおいてクラウド事業者が責任を持つ
基本的に、クラウド利用者は、クラウド事業者が提供するクラウドサービスのセキュリティを評価する必要がある
インフラストラクチャセキュリティ
右図：AWSの責任範囲

引用：https://aws.amazon.com/jp/compliance/shared-responsibility-model/
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

9責任共有モデルにおけるクラウド利用者の２つの課題
1. クラウド利用者のセキュリティ対応における課題
2. クラウド利用者がクラウドサービスのセキュリティを評価する
際の課題
今回はこちらに焦点を当てる。特にSaaSにおいては重要

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

10

2.

クラウドのリスク管理とCSAツール

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

クラウドセキュリティのリスク管理方法
リスク管理における考慮点
1. リスク管理プロセスは同じ
2. リスク特定において、クラウド固有のリスクを特定
3. リスク対応において、クラウド固有のリスクへの対応を実施① クラウド利用者としてのセキュリティ対応② クラウド利用者として、利用するクラウドサービスのセキュリティを評価 ➔ ここではこちらを対象

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapterコミュニケーショ
ン及び協議組織の状況の確定

リスクアセスメント
リスク特定
リスク分析

リスク評価
リスク対応

モニタ
リン
グ及びレビ
ュ
ー

出典 「ISO/IEC 31000:2010 リスクマネジメント―原則及び指針」

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

12クラウドセキュリティのリスク特定 ー CSAツール
クラウド固有のリスクを特定
クラウド固有のリスクとは？
ENISAのリスクレポート
クラウドサービスにおけるリスクと管理策に関する有識者による検討結果
Etc.
➔ なかなか理解するのが大変

CCM（Cloud Controls Matrix）の利用
CCMがリストアップしているクラウド固有の管理策を利用し、クラウド固有のリスクを特定する。セキュリティ要求事項を明確化する。
CCMの管理策を理解することでクラウド固有のリスクを理解する。
CCMのImplementation Guidanceが参考になる。

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

13CCM、CAIQ、CAIQ-Lite： 一言でいうと！
CCM（Cloud Controls Matrix）
CSAが提供するクラウドセキュリティ管理策集
17ドメイン、197の管理策（V4.0.5）
16ドメイン、133の管理策（V3.0.1）
CAIQ（Consensus Assessment Initiative Questionaire）
CCMの各コントロールの内容をブレークダウンし、チェックリスト化
質問数261個 (V4.0.2)
310個 (V3.1)
295個 (V3.0.1)
CAIQ-Lite
CAIQの縮小版で、310個を73個に削減（V3.0.1）
V4版は2023年9月公開。日本語版の作成中。
Copyright
Copyright©
© 20182018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

14CCM、CAIQ、CAIQ-Liteの利点（4つのポイント）
1. タダ（無料）•••

商用利用でない場合、無料で利用可能
CSAのウエブサイトから自由にダウンロード可能
日本語版はCSAジャパンのウエブサイトから自由にダウンロード可能

2. グローバル••

グローバルに通用する。グローバルに同じ内容で提供（CCM V3.0.1やCAIQ V3.0.1は10か国語に翻訳提供）
グローバルに展開している企業は、統一したセキュリティ基準で評価した内容を各国で提供可能

3. クラウドセキュリティに特化••提供されている管理策などは、すべてクラウドサービスおよび関連する技術
チェックリストを作成する際、チェックリストの網羅性を高めることが可能

4. 透明性•

自己評価結果を公開するサイト（STAR Registry）を用意。STAR Registryも無償で利用可能
CopyrightCopyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

15

CCMの内容 (1)ドメイン

管理策の内容Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

サービスモデルとの対応

アーキテクチャの適用レイヤ

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

16

CCMの内容 (2)
対応者/部門言語選択注）「言語選択」のフィルターにより、「日本語」「英語」あるいは「両方」の選択が可能

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

17

CCMの内容 (3)実装者向けのガイドライン

実装者向け
ガイドライン

注：日本語V4.0.6で日本語訳を提供
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

18

CCMの内容 (4)監査者向けのガイドライン

監査者向け
ガイドライン

注：日本語V4.0.6で日本語訳を提供予定
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

19

CCMの内容 (5)他基準とのマッピング

他基準とのマッピング

他基準： CIS, PCIDSS, ISO/IEC27001/02/17/18, NIST SP800-53 rev5, etc.

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

20

クラウドセキュリティのリスク特定 ー CSAツール
CCMを使ったリスク特定方法
1. 利用するクラウドサービス（候補）に対するセキュリティ要求事
項をCCMの管理策からリストアップする① クラウドに移行する資産を特定② 資産に対するセキュリティ要求事項を確認③ セキュリティ要求事項に対して、該当するCCMの管理策をリストアップ• その際、Implementation Guideline を参考にし、クラウドセキュリティとして必要となる実装・設定等を理解する④ CCMでカバーされていないセキュリティ要求事項の明確化• CCMでほぼ100%カバーされるが、業界/業種固有の要求事項がある場合にはこれを明確化しておく。

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

21

クラウドセキュリティのリスク対応 ー CSAツール
クラウドサービスのセキュリティ評価
CAIQ（Consensus Assessment Initiative Questionaire）の利用
1. 利用しようとしているクラウドサービスのCAIQ評価レポートを以下のどちらかの方法で入手• STAR Registryのサイトよりダウンロード（STAR Registryについては後述）• CAIQをクラウドサービス事業者に送付し、評価結果を入手する

2. リスク特定において要求事項として洗い出されたCCMの管理策に該当するCAIQの評価レポートを参照し、要求事項を満たしているかどうかを評価・判断

CCMでカバーされていないセキュリティ要求事項については、クラウド事業者に質問し、明確化
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

22

CAIQの内容 (1)CCMのコントロールを必要に応じて複数の質問に分解している

CSPが自己評価した結果を記載

現在、CCM WGにてVer 3.0 翻訳作業中：ボランティア募集！！
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

CAIQの内容 (2)CAIQのカラム
CSP CAIQ Answer： 質問に対するCSPの評価結果（Yes/No）
SSRM(Security Shared Responsibility Model ) Control Ownership：責任共有モデルにおける説明責任と管理責任の所在
CSP Owned ：CSPが管理責任。CSPが説明責任

CSC Owned ：CSCが管理責任。CSCが説明責任
Shared CSP and CSC ：CSCとCSPが管理責任と説明責任を共有
3rd-party outsourced：サードパーティが管理責任。CSPが説明責任
Shared CSP and 3rd Party：サードパーティとCSPが管理責任を共有。CSPが説明責任

CSP Implementation Description： CSPからの補足情報（オプション）
CSC Responsibilities；CSCの管理責任の概要
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

CAIQの内容 (3)CAIQの典型的な利用方法
1. クラウド利用者• プロバイダ/クラウドサービスのセキュリティを評価するためのチェックリスト• クラウド利用者が1からチェックリストを作成するのは厳しい• 幅広く利用されている1フレームワークであるCAIQをベースに作成するのが効果的

2. クラウドプロバイダ• クラウドサービスの透明性• プロバイダがセルフアセスメント（自己評価）した結果を公開: STAR Level1:セルフアセスメント（次頁以降説明）• クラウド利用者は、公開情報に基づいてプロバイダ/クラウドサービスのセキュリティを評価• セキュリティ情報の積極的な公開 ＝ ビジネス上の差別化要因• クラウド利用者からの問い合わせを統一化可能
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

CAIQの内容 (4)CAIQの典型的な利用方法（続き）
3. クラウド監査者• 被監査者に対する的確な質問の作成• 内部監査者• 内部評価のための質問のガイドとなる• 外部監査者• クラウドプロバイダの監査における評価内容として使用• 認証/監査証明の補完（クラウド部分の評価）として使用

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

CAIQ-Liteとは？
CAIQの縮小版
質問数を295個から73個に削減
現在提供されているのはV3.0.1。V4.0は開発中

以下の方針に基づく厳選された内容
1. CSA本部において、CAIQ-Liteのさまざまなバージョンを考案し、メンバー間で共有し内部研究を実施
2. クラウドサービスを評価する利用者からのフィードバックを入手
3. 600人以上のITセキュリティ専門家による統計分析を行い、クラウドサービスの評価を行う際にCAIQのどの質問が最も適切かの判断を実施

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

CAIQ-Liteの利用方法
クラウド利用者がプロバイダ/クラウドサービスのセキュリティを評価するためのチェックリスト
CAIQによる評価を行うのが厳しいケース（中小企業等）
基本的なクラウドセキュリティの評価として利用

プロバイダがCAIQ-Liteを用いてセルフアセスメントし、その情報を自身のウエブサイト等から公開
STAR Registry への公開ではなく、独自に公開
引用：https://octopus.com/docs/security/caiq
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

28

クラウドセキュリティのリスク対応 ー CSAツール
CAIQ評価レポート等を用いてクラウドサービスのセキュリティ評価を行った後の対応① クラウドサービスのセキュリティが要求事項をすべて満たしている場合➔ そのクラウドサービスを利用② クラウドサービスのセキュリティが要求事項を満たしていない場合➔ リスク許容可能かどうかを判断。可能であればそのクラウドサービスを利用➔ 許容可能でない場合➔ そのクラウドサービスは利用せず、別のクラウドサービスを評価する OR➔ 追加のセキュリティ対策を利用者として行い、要求事項を満たすようにして利用する

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

29

4.

STAR Registryとは？

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

STARプログラム (1)STARセキュリティ認証
クラウド事業者のセキュリティとガバナンスを可視化する取り組み

STAR認証レベル
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

STARプライバシー認証
https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/31STARプログラムSTAR(2)透明性と高い保証

レベル1
プロバイダ自己評価（セルフアセスメント）
レベル2
第三者認証/監査証明
レベル3継続的モニタリング/継続的監査➢ 透明性と高い保証を実現➢レベル1＋レベル2

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/32

STARプログラム
STAR Registry：(3)

プロバイダのセルフアセスメントの結果を公開
公開サイト

プロバイダによるセルフアセス
メント

引用： Microsoft AzureのStar1
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

33

クラウドプロバイダへ、積極的な公開へのお願い！
1. CAIQ-Liteを利用し、セルフアセスメントを実施、公開•

自社ウエブサイトに公開•

クラウドセキュリティの基本要件の評価結果を公表

2. CAIQを利用し、セルフアセスメントを実施、公開STAR Registryに登録•••

クラウドセキュリティの詳細要件の評価結果を公表
プロバイダには、CAIQ-LiteよりCAIQによる評価を推奨

CSAジャパンでは、 STAR Registryへの登録方法を支援• STAR１日本語での登録方法• 日本語CAIQ評価レポートを公開されている企業情報• 日本語での評価レポートの公開方法およびLevel1セルフアセスメントの重要性について
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter（ブログ）

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

34

5.

まとめ

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

まとめ
1. クラウドセキュリティの中核はクラウドサービスのセキュリティ評価

2. クラウドのリスク管理におけるCSAツールの有効性
3. STAR RegistryへのCAIQ評価レポートの公開の重要性

Copyright
Copyright©
© 2018
2018CloudCloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

CSAの活動 == 「場」の提供！
様々なワーキンググループ活動の「場」
自由な情報発信の「場」
https://cloudsecurityalliance.jp
mmorozumi@cloudsecurityalliance.jp

ありがとうございました
Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/