加藤さんのお話に加えて・・・

http://www.ipa.go.jp/security/cloud/cloud_sinsai_R1.html

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

1

クラウドコンピューティングにおけるクラウドコンピ
ティングにおけるセキュリティの考え方と標準化
株式会社ディアイティ セキュリティサービス事業部
河野省二, CISSP <shoji@dit.co.jp>

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

2

本日のアジェンダ• クラウドコンピューティングって安全ですか？
クラウドコンピュ ティングって安全ですか？
– クラウドコンピューティングに関する不安– クラウドコンピューティングでなにが変わるのか
クラウドコンピュ ティングでなにが変わるのか– 情報セキュリティマネジメントにおけるクラウドコンピューティ
ング• クラウドセキュリティの標準化– 経産省• クラウドサービス利用のための情報セキュリティマネジメ
ントガイドライン– SC27 WG1• Standards for Cloud Computing Security and Privacy
2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

3

クラウドコンピューティングの特性から見る安全性の確保
クラウドコンピュ
ティングの特性から見る安全性の確保

クラウドコンピューティングって安全ですか？
2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

4

クラウドコンピューティングに関する不安• クラウドに関する様々な不安は以下の３つに分けることができる– クラウドのシステム（インフラ）に関するもの• 仮想化、分散処理、ネットワーク、端末など– クラウドのサービスに関するもの• 事業継続、コスト、サービス事業者（組織、社員）など– メンタル的なもの• 新しいものに対する不安、わからないものに対する不安• クラウド以前にできてないことは、クラウド以降もできない– クラウドになったからといって何でもできるようになるわけではない– クラウドに関して正しい情報を入手することがまだまだ難しい
2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

5

クラウドコンピューティングとは？
• NIST SP800-146– 本質的な特徴• On-demand self-service• Broad network access• Resource pooling• Rapid elasticity• Measured Service– サービスモデル

http://csrc.nist.gov/publications/drafts/800-146/Draft-NIST-SP800-146.pdf

2011/10/05• Cloud Software as aService (SaaS)• Cloud Platform as aService (PaaS)• Cloud Infrastructure as aService (IaaS)

NSF 2011 in Kansai, (c) 株式会社ディアイティ

6

クラウドコンピューティングの環境

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

7

リスクマネジメントの基本は崩さずに• リスクマネジメントの基本は「脅威、ぜい弱性の特定」
リスク ネジ ントの基本は 脅威、ぜ 弱性の特定」– たとえば、会社でTwitterを使っても良いかを検討するときに「Twitterは安全か？」と考えているだけではダメ– クラウドコンピューティングは「サービス」であると考え、サービスとそれをとりまくすべての環境においてリスクアセスメントを行う• クラウドサービスに向いているか向いていないか？
クラウドサ ビ に向い いるか向い いないか
– クラウドサービスの信頼性について議論があるが、そもそもバックアップを取らなくても良いシステムなどはない• バックアップが取りやすいか？バックアップの必要性がないか？など、サ ビスの選択を正しく行うための情報収集を行うか？など、サービスの選択を正しく行うための情報収集を行う– 手元に（個別に）情報を持たないことの安全性についても考える

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

8情報化推進の方向性とクラウドのあり方
平成22年度

平成23年度イノベーションの創出

大量データを利活用した新サービス・新産業を実証

平成25年度
大量データを利活用した新サービス・新産業を創出

平成32年度
年1.5兆円(P)のクラウドサービ
ス市場を創出）広告・小売• (例) クラウド型グローバル電子決済システムの開発・国際展開• (例) 生産から流通、販売までの一貫したトレーサビリティを持クラウド型生産管理・流通システムの開発・国際展開
ウド型生産管理流通システムの開発 国際展開

ユーザの利便性向上

制度整備• エンドユーザ・サービス提供者・イ
エンドユ ザ サ ビス提供者 イ
ンフラ事業者間での責任関係を明確化するガイドライン策定• サービス品質の見える化• クラウドを利用する新サービスを交
通・農業・流通・教育・ヘルスケア・テレワーク等の分野で創出「データ」を外部へ／利活用可能に• プライバシーに配慮したデータ利活用（個人情報保護ガイドライン等）• クラウド事業者の責任制限制度• 著作権法との関係整理• データの外部保存の促進（e文書関連法見直し）• 営業機密管理の徹底

政府調達におけるクラウド調達基準の検討
調達 準 検討

政府調達におけるクラウド調達基準の策定
中小ベンダへの業態変革支援、投資インセンティブ付与

高信頼性、低環境負荷を売りにイノベーションを支えるプラットフォームを整備

高信頼性、低環境負荷を売りにイノ
ベーシ ョンを支えるﾌﾟﾗｯﾄﾌｫｰﾑを確立

基盤整備

データセンタの国内立地促進
デタセンタの国内立地促進

データセンタの国内立地環境の整備
デタセンタの国内立地環境の整備

高信頼化・環境負荷低減技術・指標の開発

高信頼化・環境負荷低減技術・指標の標準化

匿名化技術・方式の開発

匿名化技術・方式の標準化

客観的なシステム信頼性評価指標の策定

セキ ュア

低コ スト

・個々人の行動履歴・購買履歴・位置情報などの収集・蓄積・分析
Î消費者にとっては タイミング良く欲Î消費者にとっては、タイミング良く欲しい情報が入手可能となり、生活・買い物などが便利となるÎ小売・観光などのサービス事業者
にとっては、個人の趣味・嗜好に応じたきめ細かい提案型のサービス提供が可能となり、新需要が発掘される
ヘルスケア

セキ ュア

低コ スト

• ヘルスケア情報の収集・蓄積・分析・活用
Î予防医療の促進による生活習慣病の改善
Î医師の負担低減

2010-2020年で計200万人(P)の新規雇用創出
クラウドの活用により、情報処理に係るCO2排出を90年総排出量比5%相当（P）削減
日本発の信頼性水準を世界に見える化することにより、グローバルなシステム安全・安心に貢献

機器・端末側の技術の高度化

経済産業省資料より抜粋

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

9標準化のためのベースと考え方
標準化のためのスと考え方

クラウドセキュリティの標準化

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

10

クラウドセキュリティガイドラインの策定

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

11

クラウドサービス利用のための情報セキュリティマネジメントガイドライン• J
JIS
S Q 27002をベースにし00 をスにしたガイドライン– クラウド利用者が安心してクラウドサービスを利用することが出来るために、システムライフサイクルに応じた「実施の手引」を提供– ISMS認証のベースを変える
認証を変ことなくリスクマネジメントを実施できるようにしている– 事業者が実施すべき対策に事業者が実施すべき対策
ついても、利用者への情報提供として記載
2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

12マネジメントシステムを活用する

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

13

ガイドラインのサンプル

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

14

ガイドラインの国際化に向けて• IS TechnicalSpecification– ISOに向けて技術文書として策定中– 日本発の取り組みとして、国際化のリ ドを行う
際化のリードを行う• スケジュール
– 2010/10 St
Studyd P
Periodi d startt t– 2011/04 NP vote propose– 2011/10 WD start– 2012/10 PDTR
– 2013/xx published2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

15

IPA:中小企業等によるクラウド利用検討WG
クラウドの利用とセキュリティ課題に関する調査

中小企業等
ユーザニーズ調査

クラウドのセキュリティ課題調査

クラウドプロバイ
ダの情報開示実態調査

中小企業等によるクラウド利用検討WG

クラウドの安全利用チェックリスト（仮称）2011/10/05

z 中小企業のIT利活用の促進の手段として クラ促進の手段として、クラウドの利活用を促進
z 中小企業のITセキュリ
ティ向上の手段として、クラウドの利活用を促進
z クラウドの利活用促進
に際して、有効活用と安全利用をサポート
全利用をサポトクラウドの情報開示
指針（仮称）

NSF 2011 in Kansai, (c) 株式会社ディアイティ

16

本資料のお問い合わせは

株式会社ディアイティ
セキュリティサービス事業部
03-5634-7655 / ss-info@dit.co.jp

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

17

時間調整ではありません（笑）

クラウドセキュリティ言いたい放題

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

18

トークテーマ（その１）

最近気になる、クラウドに関する
最近気になるクラウドに関する「思い込みセキュリティ」ってありますか？

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

19

こんな思い込みセキュリティが・・・• SaaSとかPaaSとかIaaSというセキュリティの区分けは成り立たない– SPIスタックみたいなものは技術的なカットであって、多くの方が心配してるマネジメント視点（内部の犯罪者、データ管理の問題など）とは異なる– 実際のビジネス構造と合っていない視点で論じてもダメ• 情報が少なすぎる（煽りがほとんど・・・）
情報が少なすぎる（煽りがほとんど ）– 利用者が判断できる内容まで専門家が話せていない（たぶん使ったことがないか理解していない）– もっと前向きな考えで標準化などに取り組んだほうが良い

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

トークテーマ（その２）

クラウドサービスの困ったところってなんですか？

2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ

21

ベンダーとして困ったところ• 利用者からの要求に応えることはできるが・・・
利用者からの要求に応えることはできるが– 利用者からの要求に応じてセキュリティ対策をしていると、結果果としては使いにくいだけの基板提供となってしまう
使け板提供 なう– 一度ハードルを上げたセキュリティを緩和することは難しくなってしまう可能性がある• 一方、利用者としては– 利用者がどこまでやれば良いのかわからないので、どうしてもベンダーに頼ってしまう– 事故などの事例がなく、万が一の事故にどのように対応して事故な事例 なく、事故
う 対
良いかわからない– 情報開示をお互いにしていくのが良いのではないか
2011/10/05

NSF 2011 in Kansai, (c) 株式会社ディアイティ