ークラウドSLAの共通参照モデルー＜別冊＞
CRM要件・クラウドSLA事例集
2018年5月18日

一般社団法人 日本クラウドセキュリティアライアンス
SLAイノベーションWG

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

CRM要件Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

2

CRMエレメント（要件）30項目の概要 1/9
GroupGeneral

項番

Name of CRM
element

Description

1

SLA URL

URLからSLAの参照が容易

2

Findable

CSPのWebサイト上での見つけやすさ

3

Choice of law

準拠法の選択4

Roles and
responsibilities

役割と責任（CSC／CSP）

5

Cloud SLA
definitions

クラウドSLA上の定義

出典：SLA-Ready, “A Common Reference Model to describe, promote and support the uptake of SLAs - Final report”, Table 2, pp.18-20より要約
Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

3

CRMエレメント（要件）30項目の概要 2/9GroupFreshness

項番

Name of CRM
element

Description

6

Revision date

改訂日付（変更点の確認）

7

Update Frequency 更新頻度

8

Previous versions
and revisions

旧バージョン・リビジョンの保管

9

SLA duration

SLAの有効期間

出典：SLA-Ready, “A Common Reference Model to describe, promote and support the uptake of SLAs - Final report”, Table 2, pp.18-20より要約
Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

4

CRMエレメント（要件）30項目の概要 3/9
Name of CRMelement

Group

項番

Readability

10

SLA language

SLA記載の複数言語対応

11

Machine-readableformat

コンピュータ読取り書式（SLA管理の自動化）

12

Nr. of pages

頁数（最大2頁までを推奨）

13Contact details

問い合わせ先の詳細な記載

14

Contactavailability

ヘルプデスクの可用性

SupportDescription

出典：SLA-Ready, “A Common Reference Model to describe, promote and support the uptake of SLAs - Final report”, Table 2, pp.18-20より要約
Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

5

CRMエレメント（要件）30項目の概要 4/9GroupCredits

項番

Name of CRM
element

Description

15

Service Credit

SLAに満たない場合のサービス料金返還率

16

Service credits
assignment

サービス料金返還率の割り当て（CSC／CSP）

17

Maximum service
credits (Euroamount) provided
by the CSP

CSPによるサービス料金返還率の上限（ユーロ建て）

出典：SLA-Ready, “A Common Reference Model to describe, promote and support the uptake of SLAs - Final report”, Table 2, pp.18-20より要約
Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

6CRMエレメント（要件）30項目の概要 5/9
GroupChanges

項番

Name of CRM
element

Description

18

SLA change
notifications

SLAの変更通知（大規模／小規模）

19

Unilateral change

一方的変更（ベータテスター）

出典：SLA-Ready, “A Common Reference Model to describe, promote and support the uptake of SLAs - Final report”, Table 2, pp.18-20より要約
Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

7

CRMエレメント（要件）30項目の概要 6/9
GroupReporting項番Name of CRM
element

20

Service Levels
reporting

サービス品質の報告（合意されたSLOとの比較）

21

Service Levels
continuous
reporting

サービス品質の継続的報告

22

Feasibility ofspecials &customisations

特殊化・カスタム化の実現可能性

Description

出典：SLA-Ready, “A Common Reference Model to describe, promote and support the uptake of SLAs - Final report”, Table 2, pp.18-20より要約
Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

8

CRMエレメント（要件）30項目の概要 7/9
GroupReporting項番
23

Name of CRM
element
General Carveouts

Description
一般的な事業分離

出典：SLA-Ready, “A Common Reference Model to describe, promote and support the uptake of SLAs - Final report”, Table 2, pp.18-20より要約
Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

9

CRMエレメント（要件）30項目の概要 8/9
Name of CRM
element

Group

項番

Description

SLOs & Metrics

24

Specified SLO
metrics

SLO指標の明記

25

General SLOs

一般的なSLO（可用性など）

26Cloud Service
Performance
SLOs

クラウドサービス性能に関するSLO

27

Service Reliability
SLOs

サービス信頼性に関するSLO

出典：SLA-Ready, “A Common Reference Model to describe, promote and support the uptake of SLAs - Final report”, Table 2, pp.18-20より要約
Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

10

CRMエレメント（要件）30項目の概要 9/9
Name of CRM
element

Group

項番

Description

SLOs & Metrics

28

Data Management
データ管理に関するSLO
SLOs

29

Security SLOs

セキュリティに関するSLO

30

Personal Data
Protection SLOs

個人データ保護に関するSLO

出典：SLA-Ready, “A Common Reference Model to describe, promote and support the uptake of SLAs - Final report”, Table 2, pp.18-20より要約
Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

11クラウドSLA事例集

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

12SMEに向けたクラウドSLA事例（Use Case 1） Fintech Early Stage Seeking IaaS (Financialsector)＜事例概要とSME像＞＜留意事項＞

・Fintech初期検討段階のSME（金融 ・初期段階評価での、導入サービス業）が、IaaS事業者のサービス導入 の検討対象の明確化＜セキュリティ・プライバシー要件＞
・見込顧客より要求される一般的要件レベル

・多様な選択肢の中から、注意深く適切な事前の展望が必要

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

13SMEに向けたクラウドSLA事例（Use Case 2） Governmental Cloud (Small Public
Administration using Governmental Cloud)＜事例概要とSME像＞＜留意事項＞

・小規模行政機関（エストニア政府）
による政府系クラウドサービス提供

・政府系クラウドシステムでは、市民の個人識別データを非管理＜セキュリティ・プライバシー要件＞

・提供ソリューションとSLAにおいて、・ISO/IEC 27001、27002等の標準規 高い可用性と十分な柔軟性が必須
格、ベストプラクティスの活用

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

14SMEに向けたクラウドSLA事例（Use Case 3） ConsultLess, SME for using SaaS
＜事例概要とSME像＞＜留意事項＞

・小規模コンサル事務所（コンサルレ ・顧客の機微情報データの流出は、ス社）のソフトウェア（SaaS）導入
事務所の評判や経営に深刻な影響＜セキュリティ・プライバシー要件＞

・CIOが在籍し、クラウド関連技術へ・保管資産の物理的な安全確保、適 の経験と習熟が見込める事例
切なパッチ・更新・バックアップなど

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

15

SMEに向けたクラウドSLA事例（Use Case 4） SME migrating from one SaaS CSP to theother＜事例概要とSME像＞＜留意事項＞

・後継SaaSサービス導入を意図する ・SME事業にとり生き残りと成功に必
SMEによる、別のCSPへの移行
要不可欠となる特定CSPへの移行＜セキュリティ・プライバシー要件＞
・適用事項なし

・移行判断時期の遅延は、SME事業拡大の機会を損失

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

16SMEに向けたクラウドSLA事例（Use Case 5） Cloud Brokering: Cloud Chargeback andShowback＜事例概要とSME像＞＜留意事項＞・クラウドブローカーによる、SMEへのCSPサービス仲介と課金管理

・クラウドエコシステムにおける、料金請求面のCSP間の相互運用性＜セキュリティ・プライバシー要件＞

・CSC側から、ブローカー及びCSPの・CSCは、契約部署単位で利用状況 サービス内容が可視的で選別可能を追跡し適切に社内請求処理可能

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

17SMEに向けたクラウドSLA事例（Use Case 6） Distribution of SME Training Material to Mobile
Employees＜事例概要とSME像＞＜留意事項＞

・自社モバイルワーカー（外勤）への、 ・研修資料配布等で検討される、NWSMEによる遠隔アクセスの提供
トラフィック負荷とクラウドへの移行＜セキュリティ・プライバシー要件＞

・ストリーミング動画等、動的コンテン・アクセス認証と承認のための、従業 ツ配信における通信帯域保証
員のアイデンティティ管理

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/18

SMEに向けたクラウドSLA事例（Use Case 7） EasyAgriSelling, SME using IaaS/PaaS＜事例概要とSME像＞＜留意事項＞

・農家向け産直Webショップ事業者（EasyAgriSelling）のIaaS/PaaS利用

・ソフトウェアの脆弱性は農家の支払状況や個人情報に関わる重大リスク＜セキュリティ・プライバシー要件＞

・二要素認証プロセスの取り入れや・保管資産の物理的な安全確保、適ベンダーロックインの回避
切なパッチ・更新・バックアップなど

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/19

SMEに向けたクラウドSLA事例（Use Case 8） SME video storage and streaming from theCloud＜事例概要とSME像＞＜留意事項＞

・新製品紹介に動画ストリーミング配 ・大容量のオンデマンド配信動画を信等を検討する金融投資事業者
預けるクラウド側で堅固な管理必要＜セキュリティ・プライバシー要件＞
・新製品公開までの期間は、製品詳・認定代理店のみへの視聴限定、監細についての機密保持を制約
査可能なアクセス管理

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

20

SMEに向けたクラウドSLA事例（Use Case 9） Cloud-based Development and Testing＜事例概要とSME像＞＜留意事項＞・クラウド基盤上の開発・試験環境を ・開発者ツールやソースコードDBの検討するオンライン小売業者提供、新アプリと異機種の相互作用＜セキュリティ・プライバシー要件＞
・ソースコードや試験計画に対するア・暗号化、エンドポイントセキュリティ、クセス管理
アイデンティティ管理など

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

21SMEに向けたクラウドSLA事例（Use Case 10） Logistics and Project Management in theCloud＜事例概要とSME像＞＜留意事項＞

・小規模建設業者がPJスケジュール ・GAE（Google App Engine）データスの最適化や雇用コスト管理等を検討
トアが提供するアプリ向けDB支援＜セキュリティ・プライバシー要件＞
・顧客はRDF-OWLオントロジーをデ・アプリ要件に依拠するデータ格納
ータ検証のために利用
庫毎に分離してセキュリティを適用

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

22SMEに向けたクラウドSLA事例（Use Case 11） Local Government Services in a Hybrid Cloud＜事例概要とSME像＞＜留意事項＞

・地方自治体による霞が関クラウド（政府のハイブリッドクラウド）連携

・プライベートとハイブリッドクラウドを相互接続したサービス利用＜セキュリティ・プライバシー要件＞

・地方自治体のサーバーコスト・エネ
・安全に集中管理されたインフラを有
ルギー消費・ITスタッフ削減に寄与する中央政府によって要件定義

Copyright © 2018 Cloud Security Alliance Japan Chapterhttps://www.cloudsecurityalliance.jp/

23

SMEに向けたクラウドSLA事例（Use Case 12） Payroll processing in the Cloud＜事例概要とSME像＞＜留意事項＞

・給与計算処理をクラウド移行し、効 ・同期した4つのVM（Virtual率化と拡張性向上を検討するSMEMachine）上で給与計算アプリを実行＜セキュリティ・プライバシー要件＞
・当該VMが連携するDBサーバーを・適用事項なし
利用のため、アプリ構成設定も変更

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

24

SMEに向けたクラウドSLA事例（Use Case 13） CSP specifying carve-outs in its cloud service
terms (General Carve-outs)＜事例概要とSME像＞＜留意事項＞

・CSPがクラウドサービス条件に「事業分離」を明示

・SMEは当該事業分離の合理性、許容性、また帰結影響の評価が必要＜セキュリティ・プライバシー要件＞
・データセンターのセキュリティが事業分離に関わる場合、要件に留意

・また事業分離の対象範囲や、CSPの管理が及ぶ範疇の評価が必要

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/25

SMEに向けたクラウドSLA事例（Use Case 14） CSP changing SLA at operation time (Change
Notifications & Unilateral Change)＜事例概要とSME像＞＜留意事項＞

・CSPによる、SLAやサービス条件の ・SMEがWeb契約時、当該条項を十CSCの同意なき一方的変更（権利）分に留意する余裕がないこと＜セキュリティ・プライバシー要件＞
・SaaS SMEにとり、そのエンドユーザ・適用事項なし
ーとの契約関係に深刻な影響

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/26

SMEに向けたクラウドSLA事例（Use Case 15） CSP providing services under different
regulations (Choice of Law)
＜事例概要とSME像＞＜留意事項＞

・相異なる規則の下でのCSPサービスの提供（準拠法の選択）

・SMEは、データの所在地やSLAの準拠法（国・地域）を知る必要性＜セキュリティ・プライバシー要件＞

・SMEは法的紛争時、エンドユーザ・個人データがデータ保護規則・法令への大きな責任を強いられるリスクに関わる場合などに適用

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/27

SMEに向けたクラウドSLA事例（Use Case 16） CSP providing data services for the healthsector (Customer Back-Up and Encryption)＜事例概要とSME像＞＜留意事項＞

・ヘルスケア分野向けデータサービス（SME側のバックアップと暗号化）・バックアップ、認証、暗号化等の対策で、CSPを完全に信頼するリスク＜セキュリティ・プライバシー要件＞
・個人保護規則に基づき、適切なセキュリティや暗号化対策を実施

・機微個人データを扱う上で、業界標準等に基づくSME独自の対策を推奨

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/28

SMEに向けたクラウドSLA事例（Use Case 17） A SME terminating a contract with a CSP(Data deletion and data retention)＜事例概要とSME像＞＜留意事項＞

・SMEによるサービス契約終了（デー ・契約終了時、CSPがデータ消去をタの消去と保持）（どの程度）実施しうるかは不透明＜セキュリティ・プライバシー要件＞
・データ「消去」「保持」各要件は、相・データ保護法に準拠し消去、例外と異なる法・規則に準拠（期間設定等）して7年間の金融データ保持規則等

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/29

SMEに向けたクラウドSLA事例（Use Case 18） CSP migrating data between different
jurisdictions (data location)＜事例概要とSME像＞＜留意事項＞

・CSPによる異なる管轄区間のデー
タ移行（データの所在地）

・データが保管・処理される各地域（各国）の相異なる法・規則への準拠＜セキュリティ・プライバシー要件＞

・SMEは複数の国で、有効なデータ・個人データやサーバー所在地がデ対象物を分割管理・運用する必要性
ータ保護規則・法令に関わると適用

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/30

SMEに向けたクラウドSLA事例（Use Case 19） CSP providing data portability vendor Lock-inof SaaS CRM applications＜事例概要とSME像＞＜留意事項＞・CSP提供の顧客管理アプリ（SaaS） ・CSPとの契約上の、データ移転ののデータ移転とベンダーロックイン障壁となる制約（ベンダーロックイン）＜セキュリティ・プライバシー要件＞
・SMEは、実行可能な方法で別の・GDPR（EU一般データ保護規則）のCSP環境へのデータ移転を図るべき
個人データ保護規定に留意

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/31

SMEに向けたクラウドSLA事例（Use Case 20） SME looking for Information Security IncidentManagements＜事例概要とSME像＞＜留意事項＞

・金融サービス分野のSMEによる、情報セキュリティインシデント管理

・SMEは、GDPRなど重いペナルティが課される新しい規則への対応急務＜セキュリティ・プライバシー要件＞

・SMEは、CSPのインシデント管理方
・CSPはインシデント管理を徹底すべ法や再発防止策を評価する必要性
きも、当局への全件通知は不要

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/32

SMEに向けたクラウドSLA事例（Use Case 21） CSP allowing data access for law enforcement(Law enforcement access)＜事例概要とSME像＞＜留意事項＞

・法執行機関（警察当局等）に対する、 ・CSPが当局要請の許容を最低限のCSPのデータアクセス許容範囲に留めているかチェック＜セキュリティ・プライバシー要件＞
・SMEはCSPに、詳細なデータアクセ
・CSPは、当局の要請範囲とその法スポリシーを要求すべき的根拠をチェックする必要性

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/33

SMEに向けたクラウドSLA事例（Use Case 22） SME migrating to IaaS with several duration
periods in the agreement (duration of different terms of the SaaSapplication)＜事例概要とSME像＞＜留意事項＞

・SME（SaaS CSC）が、有効期間を規 ・SaaSアプリ利用で適用される、有効定した契約に基づきIaaSへ移行
期間やデータ保持期間を文書化＜セキュリティ・プライバシー要件＞
・SMEは、CSPやエンドユーザとの間・適用事項なし
で有効期間の始期等の合意が必要

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/34

SMEに向けたクラウドSLA事例（Use Case 23） SME setting up its own hybrid cloudecosystem(Cloud SLA Definitions)＜事例概要とSME像＞＜留意事項＞

・技術志向スタートアップによるハイブリッドクラウドのエコシステム構築

・多様なCSPに対する明確な「共通定義」が、システム構築を効率化＜セキュリティ・プライバシー要件＞
・適用事項なし・グローバル市場を視野に入れる場
合、言語の多様性の問題も想定要

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/35

お問合せ・ご質問はこちらまで info@cloudsecurityalliance.jp

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/