「クラウド利用者の説明責任とプロバイダの透明性~CSAが提供するCCM/CAIQ等の有効活用~」
一般社団法人

日本クラウドセキュリティアライアンス
理事

諸角昌宏

CSAリサーチフェロー、 CCSP、CCSK、CCAK

Copyright © 2018 Cloud Security Alliance Japan Chapter

2022年5月26日

https://www.cloudsecurityalliance.jp/

責任共有モデル
クラウド事業者は、一定のリスクに対する責任を負い、クラウド利用者はその先のすべてに責任を持つ
Security In the Cloud
Security Of the Cloudクラウド利用者は、リスクを所管する最終的な責任（説明責任）を負っており、クラウド事業者にリスク管理の一部を転嫁しているに過ぎない。
（クラウドコンピューティングのためのセキュリティガイダンス V3.0から引用）
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

2

クラウドに限った話ではない！
• リスク管理プロセスはオンプレと全く変わらない！
• 資産の特定 -> リスクの特定 -> リスク評価 -> リス
ク対応 ・・・• クラウドでは、リスク管理の何が違うのか？
• クラウド固有のリスクを特定すること• 直接か間接かの違い！
• セキュリティ要求事項は、オンプレでもクラウドでも基本的に変わらない• 要求事項を満たしているかどうかの判断・対応• オンプレ： 自ら対策等を取っていく• クラウド： プロバイダ/クラウドサービスが提供する機能・情報に基づいて判断
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

引用：情報誌 ISO NETWORK Vol.22、https://www.jqa.jp/service_list/management/iso_info/iso_network/vol22/news/kikaku_3.html

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

3

説明責任に対するサービスモデルの考え方
IaaS/PaaS
プロバイダが限定されている。セキュリティ要件の統一が可能
利用形態として、オンプレからの移行、あるいは、新規システムの構築が主体利用者として、詳細リスク分析が必要

SaaS
多種多様なクラウドサービス/プロバイダ
セキュリティレベルも様々。セキュリティに関する問い合わせに無回答の場合もあり利用者として、クラウドサービス/プロバイダごとのセキュリティ評価が必要
HOW？

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

4やはり、説明責任を真剣に考えよう！
まず組織としてのセキュリティ要求事項を明確化しよう！
内部デューデリジェンス
これは、クラウドに限らず組織としての要求事項
次に、クラウドプロバイダが要求事項を満たしているかを確認しよう！
外部デューデリジェンス
クラウドサービスが要求事項を満たしているがどうかを評価

でも１からやるのは大変、難しい！-> そこで、CCM, CAIQ,CAIQ-Liteの登場。フレームワークを使おう。
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

5Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/CCM（Cloud Control Matrix）
CSAが提供するクラウドセキュリティ管理策集
17ドメイン、197の管理策（V4.0.5）
16ドメイン、133の管理策（V3.0.1）
CAIQ（Consensus Assessment Initiative Questionaire）
CCMの各コントロールの内容をブレークダウンし、チェックリスト化
質問数261個 (V4.0.2)
310個 (V3.1)
295個 (V3.0.1)
CAIQ-Lite
CAIQの縮小版で、310個を73個に削減（V3.0.1）
V4版は作成中
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

7

ドメイン

管理策の内容Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

サービスモデルとの対応

アーキテクチャの適用レイヤ

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

8対応者/部門

言語選択注）「言語選択」のフィルターにより、「日本語」「英語」あるいは「両方」の選択が可能

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/9監査者向けのガイドライン

監査者向けガイドライン

注：監査者向けのガイドラインはV4.0.5から提供。現在日本語版はV4.0.2
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/10他基準とのマッピング

他基準とのマッピング

他基準： CIS, PCIDSS, ISO/IEC27001/02/17/18, NIST SP800-53 rev5, etc.
注：他基準とのマッピングはV4.0.5から提供。現在日本語版はV4.0.2
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/11

CCMのコントロールを必要に応じて複数の質問に分解している

CSPが自己評価した結果を記載

現在、CCM WGにてVer 3.0 翻訳作業中：ボランティア募集！！
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

CAIQのカラム
CSP CAIQ Answer： 質問に対するCSPの評価結果（Yes/No）
SSRM(Security Shared Responsibility Model ) Control Ownership：責任共有モデルにおける説明責任と管理責任の所在
CSP Owned
CSC Owned
3rd-party outsourced
Shared CSP and CSC
Shared CSP and 3rd PartyCSP Implementation Description： CSPからの補足情報（オプション）
CSC Responsibilities；CSCが管理責任を果たすための概要。
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

CAIQの典型的な利用方法
1. クラウド利用者がプロバイダ/クラウドサービスのセキュリティを評価するためのチェックリスト• クラウド利用者が1からチェックリストを作成するのは厳しい• 幅広く利用されている1フレームワークであるCAIQをベースに作成のが効果的

2. プロバイダ/クラウドサービスの透明性• プロバイダがセルフアセスメント（自己評価）した結果を公開
STAR Level1:セルフアセスメント（次頁以降説明）• クラウド利用者は、公開情報に基づいてプロバイダ/クラウドサービスのセキュリティを評価• セキュリティ情報の積極的な公開＝

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapterビジネス上の差別化要因

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

STARセキュリティ認証
クラウド事業者のセキュリティとガバナンスを可視化する取り組み

STAR認証レベル
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

STARプライバシー認証
https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

15

STAR

透明性と高い保証

レベル1
プロバイダ自己評価
レベル2
第三者認証
レベル3
継続的モニタリング/監査
透明性と高い保証を実現

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

16STAR Registry：

プロバイダのセルフアセスメントの結果を公開
公開サイト（Registry）

CopyrightCopyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

プロバイダによるセルフア
セスメント

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

17

CAIQの縮小版
質問数を295個から73個に削減
現在提供されているのはV3.0.1。V4.0は計画中

以下の方針に基づく厳選された内容
1. CSA本部において、CAIQ-Liteのさまざまなバージョンを考案し、メンバー間で共有し内部研究を実施
2. クラウドサービスを評価する利用者からのフィードバックを入手
3. 600人以上のITセキュリティ専門家による統計分析を行い、クラウドサービスの評価を行う際にCAIQのどの質問が最も適切かの判断を実施

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

クラウド利用者がプロバイダ/クラウドサービスのセキュリティを評価するためのチェックリスト
CAIQによる評価を行うのが厳しいケース（中小企業等）
基本的なクラウドセキュリティの評価として利用プロバイダがCAIQ-Liteを用いてセルフアセスメントし、その情報を自身のウエブサイト等から公開
STAR Registry への公開ではなく、独自に公開
引用：https://octopus.com/docs/security/caiq
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

19

Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

1. クラウド利用者自ら1からチェックリストを作成し評価を実施
••

利点：
課題：

クラウドのリスクに基づいた詳細な評価が可能クラウドセキュリティに精通した専門家が必要

2. CASBが提供するクラウドサービスリスク評価を利用••

利点： 精度が高い。スコア付けに基づき評価が容易
課題： CASBの導入が必要。利用要件に関わらず一様の評価

3. VRM（vendor risk management）、TPRM（third-party riskmanagement）ソリューションを利用••

利点： 精度が高い。手間がかからない
課題： ソリューションあるいはサービスの購入が必要。新しい領域なので、有効性等の評価が必要
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

4. プロバイダ公開情報を利用•••プロバイダ公開情報（ウエブページ等）、STAR Registry
利点： いつでも参照可能。管理策に関する網羅性が高い
課題： 情報を公開していないプロバイダは評価できない

5. フレームワークを利用し、利用者独自にチェックリストを作成、評価•••
•

標準：
CSA：
利点：
課題：

ISO/IEC 27017, クラウド情報セキュリティ管理基準
CAIQ、CAIQ-Lite
管理策に関する網羅性が高い
クラウドセキュリティの知識が必要。やり易さはフレームワークに依存

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

IaaS/PaaS

利用者

詳細リスク分析による評価
1. 内部デューデリジェンスの実施• 組織としてのセキュリティ要求事項を明確化
2. 外部デューデリジェンスの実施• CAIQを用いてセキュリティ要求事項のチェックリストを作成• STAR Registryにプロバイダが公開している情報に基づく• STAR Registryに公開していないプロバイダの場合は直接回答を求める• CAIQでカバーされていないセキュリティ要求事項のチェックリストを作成• プロバイダに回答を求める
Copyright
Copyright©
© 20182018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

SaaS

利用者

1. CASBが提供するクラウドサービスリスク評価に基づいて評価
2. CAIQ-Liteを用いたベースラインアプローチによる評価•••

プロバイダ公開情報（ウエブページ等）に基づいて評価を実施
VRM、TPRMの利用も考慮
プロバイダが情報公開していない場合、CAIQ-Liteを直接プロバイダに送付し回答を求める

3. 詳細リスク分析による評価•CAIQを用いて詳細にクラウドサービスを評価

Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

1. CAIQ-Liteを利用し、セルフアセスメントを実施、公開•

自社ウエブサイトに公開•

クラウドセキュリティの基本要件の評価結果を公表

2. CAIQを利用し、セルフアセスメントを実施、公開STAR Registryに登録、あるいは、自社ウエブサイトに公開•••

クラウドセキュリティの詳細要件の評価結果を公表
プロバイダには、CAIQ-LiteよりCAIQによる評価を推奨

CSAジャパンでは、 STAR Registryへの登録方法を支援• STAR１日本語での登録方法• 日本語CAIQ評価レポートを公開されている企業情報 （情報提供待ち）• 日本語での評価レポートの公開方法およびLevel1セルフアセスメントの重要性について
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter（ブログ）

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/25CCM/STAR WG
CCM,CAIQ,CAIQ-Lite,STAR 資料/情報の翻訳/公開、プロモーション
ISMAPとCCMのマッピング

CASB WG
SaaS をよりセキュアに利用・運用するためのベストプラクティスの調査・研究

クラウドプライバシーWG
STARプライバシー認証のベースになる “CODE OF CONDUCT FOR GDPR COMPLIANCE”（日本語名：GDPR 準拠の為の行動規範）の翻訳/公開「個人情報の保護に関する法律準拠の為の行動規範」の作成/公開

IoT WG
IoT Control Matrixの翻訳/公開（現在、V3の作業中）

クラウドセキュリティWG
AWS/Azure/GCPのセキュリティのアーキテクチャレビュー（CCMの技術面を支援）
Copyright
Copyright©
© 2018
2018Cloud
CloudSecurity
SecurityAlliance
AllianceJapan
Japan Chapter
Chapter

https://cloudsecurityalliance.jp/
https://www.cloudsecurityalliance.jp/

26

CSAの活動 == 「場」の提供！
様々なワーキンググループ活動の「場」
自由な情報発信の「場」

https://cloudsecurityalliance.jp
info@cloudsecurityalliance.jp

ありがとうございました
Copyright © 2018 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/