学術機関におけるクラウド化成熟度モデルに関する検討
渡邉 英伸 1), 晏 康庄 2), 西村 浩二 3), 相原 玲二 1),合田 憲人 4), 吉田 浩 4), 岡田 義広 5)1) 広島大学 情報メディア教育研究センター
2) 広島大学 大学院総合科学研究科
3) 広島大学 情報メディア教育研究センター／国立情報学研究所
4) 国立情報学研究所 クラウド基盤研究開発センター
5) 九州大学 附属図書館付設教材開発センター
h-watanabe@hiroshima-u.ac.jp

A Study on Maturity Model for Using Cloud Services in Academic Institutes
Hidenobu Watanabe 1), Kangzhuang Yan 2), Kouji Nishimura 3) , Reiji Aibara 1) ,Kento Aida 4) , Hiroshi Yoshida 4) and Yoshihiro Okada 5)1) Information Media Center, Hiroshima University.
2) Graduate School of Integrated Arts and Sciences, Hiroshima University.
3) Information Media Center, Hiroshima University/National Institute of Informatics.
4) Center for Cloud Infrastructure Development, National Institute of Informatics.
5) Innovation Center for Educational Resource, Kyushu University Library.

概要
近年，文部科学省を中心に学術機関におけるクラウド化の実態調査が定期的に実施されているが，その調査報告書の多くは，クラウドサービスの利用状況・運用実績・導入計画の実態のみが報告されており，学術機関が今後の戦略を考えるための判断材料となる情報が十分に提供されていない．戦略の糧になるのは，現状を正しく把握することであるため，本論文では，クラウド化の現状を 5 段階で評価し，段階に応じた評価指標を定義した学術機関におけるクラウド化成熟度モデルを提案する．

1

はじめに大学等の学術機関におけるクラウド化の推進致しない場合も珍しくない．すなわち，回答した学術機関はこれらの調査結果から有益なフィードバック情報を得ることが難しい状況にある．

ならびにクラウドサービス利用の在り方を検討す

我々は，学術機関におけるクラウド化の実態調る目的で，文部科学省をはじめ，クラウド化に関査結果は，文部科学省が目的としている学術機関する実態調査が実施されている．本研究では，こ全体のクラウドサービスの利用状況・運用実績・れまで実施された学術機関におけるクラウド化実導入計画の実態の把握というマクロな視点と個々態調査の現状を整理し課題について議論してきたの組織が自身のクラウド化の進捗状況とクラウド[1]．

に対する理解力や実行力を客観的に把握するミク学術機関におけるクラウド化の実態調査報告

ロな視点の両方の結果が重要と考える．加えて，

書は，クラウドサービスの利用状況・運用実績・調査の実施団体や依頼先の部署の違いがあったと導入計画に関する報告だけとなっている．一方で，しても，共通の評価軸・評価基準によってバイア一般公開されているこれらの調査報告書では，クスのない調査結果になるべきと考える．

ラウド化の推進やクラウドサービス利用の在り方

本論文では，各学術機関に対してクラウド化のに対する具体的な解決策は示されていない．また，プロセスをより適切に管理するための実態調査の実施する調査団体や調査の依頼先の部署がバラバ枠組みを実現することを目的に，情報セキュリテラであるため，類似の質問に対する回答結果が一ィガバナンスの観点を取り入れたクラウド化成熟度モデルを提案する．

している組織も点在する一方で，IT に精通してい以下，論文構成について述べる．2 章では，学ない管理者も少なくない．学会などで不特定多数

術機関におけるクラウド化成熟度モデルの評価軸の人の出入りや情報端末の持ち込みも多く，専門および評価基準について説明する．3 章および 4的な研究用途として想定外の使用となる可能性も章では，これまでの実態調査結果に対して提案モ高い．このように，学術機関は一般企業に比べてデルを適応した場合における評価基準および検討

組織全体としての統制は容易ではなく，社会環境しなければならない質問事項について考察する．の変化に対して相対的な組織の意思決定スピード

最後に，5 章で本稿のまとめを述べる．

も遅い現状[5]がある．
したがって，目まぐるしく変化する今日のク

2 学術機関におけるクラウド化成熟度
モデル
クラウド化に関する成熟度モデルは，いくつか存在する[2][3]．ただし，いずれも企業を対象にしたモデルであり，クラウドの利用価値をビジネスとしてどのように捉え考えているかを評価している．すなわち，学術機関におけるクラウド化成熟度モデルは，現時点でどこからも提供されていない．クラウド化の成熟度が高い企業は，コスト削減・業務の効率化ではなくビジネス強化のための基盤・収益増大のビジネス戦略と捉えている傾向が高く，IT とビジネス間の障壁や部門間の文化的抵抗を取り除き，ビジネス成長・企業文化の変革の考え方をもつ傾向も高いことが報告されている．一方，クラウド化の成熟度が高い企業ほど当然ながらクラウドで求められるデータ・ガバナンスへの対策は講じているとしながらも，ガバナンス強化への取り組みやプライバシー，セキュリティ，コンプライアンスは，成熟度に関係なく課題であり続けると指摘している．
学術機関におけるクラウド化の成熟度の指標は，ガバナンスが組織全体に効いているか否かが重要であると考える．平成 25 年度に国立大学法人九州大学が文部科学省科学技術試験研究委託事
業による委託業務として実施した「コミュニティで防ぐ次世代大学 ICT 環境としてのアカデミッククラウド」の成果報告書[4]より，クラウド利用にあたって，大学は企業と比べてセキュリティに対する不安が大きいことがわかっている．ここで述べられているセキュリティに対する不安とは，他者に運用を任せることでガバナンスが効かなくなることに対する不安である．特に，大学などの学術機関は構成員や組織的な構成が一般企業とは異なる．例えば，構成員は教職員だけでなく年齢や国籍がバラバラな学生も含まれ，入れ替わりも激しい．研究室単位などで IT システムを運用管理

ラウド時代において，学術機関におけるクラウド化成熟度モデルの評価指標には，情報セキュリティガバナンスの観点を取り入れることは必須条件であると考えられる．すなわち，ISMS(Information Security Management System)や PDCA ライフサ
イクルの概念が重要であり，単に導入・運用の実績(Do)だけを調査するのでなく，情報セキュリティガバナンスの事前準備(Plan)と実績(Check，Act)の評価が高い組織こそクラウド化に対する理解力や実行力を備える組織と評価されやすい実態調査が提供されるべきと考える．
2.1 評価軸
図 1 に学術機関におけるクラウド化成熟度モデ
ルの評価軸を示す．提案モデルでは，クラウド化に対する成熟した組織的アプローチの現状を判断する評価軸として，以下の 5 つの成熟度ステージを定義する．
ステージ 1：個人的クラウド化
クラウドサービスの導入 ・運用ならびに制御・管理を個人に任せているクラウド初心組織となるステージ．
ステージ 2：限定的クラウド化
組織としてクラウド化に対する指針が示され，限定的にクラウドサービスの導入・運用を実施しているクラウド試行組織となるステージ．
ステージ 3：標準的クラウド化
クラウド化に対する組織の指針に基づいたクラウドサービスの導入・運用を実施し，加えて組織的な統制がとれているクラウド利用組織となる
ステージ．
ステージ 4：総合的クラウド化
クラウド化に対する組織の指針をもとに複数のクラウドサービス形態の導入ならびに連携による運用を実施し，加えて組織的な統制がとれているクラウド活用組織となるステージ．
ステージ 5：統括的クラウド化
クラウド化に対する組織の指針をもとに複数

表1

学術機関におけるクラウド化成熟度モデ
ルの成熟度ステージ毎の評価基準表

図1

学術機関におけるクラウド化成熟度モデルの評価軸(5 つの成熟度ステージ)のクラウドサービス形態の導入ならびに連携による運用を実施し，加えて組織的な統制がとれ，標準化ができているクラウド先進組織となるステー
ジ．
2.2 評価基準
2.2.1 大項目要件
表 1 に提案モデルにおける成熟度ステージ毎の評価基準表を示す．提案モデルでは，各成熟度ステージを判定するために，4 つの大項目要件と 16個の小項目要件を基準に評価する．
評価基準 1：組織的制度・体制の有無
トップダウンの情報セキュリティガバナンスを推進可能な組織的体制状況やクラウドの導入・見送り・取り止めを適切に判断するための準備状
況を判定する評価基準．
評価基準 2：組織的導入・運用の有無
クラウドサービスの導入・運用の実績を判定する評価基準．これまで実施されてきた学術機関向けのクラウド化実態調査結果がここに該当する．
評価基準 3：組織的管理・統制の有無



組織の指針やリスク管理の成果から定めた情Information Security Officer)等を中心とする情報セキュリティ管理組織の整備CSIRT(Computer Security Incident ResponseTeam)等の情報セキュリティ対応体制の設置



情報の格付けや外部委託の手続き等の文書化

報セキュリティガバナンスのプロセスを組織全体として協調的に運用した実績を判定する評価基
準．
評価基準 4：内部監査・外部評価等の有無
クラウド化に対する組織的な管理統制の最適

情 報 セ キ ュ リ テ ィ 委 員 会 や CISO(Chief

評価基準 2：組織的導入・運用の有無

化・標準化が可能な能力を判定する評価基準．



外部委託による情報システムの学外運用

2.2.2 小項目要件

パブリッククラウドサービスの導入

今回，小項目要件は，ISMS[6]および情報セキュ

大規模クラウドサービスの導入

リティガバナンス[7]の重要事項を参考に最低限必

複数クラウドサービス形態の導入要と思われる要件を定めた．各評価基準の小項目

評価基準 3：組織的管理・統制の有無

要件は以下のとおりである．



リスクアセスメントやリスク管理の実施評価基準 1：組織的制度・体制の有無



研修・教育・訓練の実施

インシデント発生時の対応

情報セキュリティポリシーの制定



クラウドサービス利用ガイドラインやセルフ組織全体にガバナンスが無効としてステージは 2

チェックリスト等の文書化となり，以後昇格することはない．

評価基準 4：内部監査・外部評価等の有無

評価基準 4 の内部監査・外部評価等の有無にお

内部監査の実施

いては，4 つの小項目要件の内「内部監査の実施」



情報セキュリティガバナンスに対する総合的「情報セキュリティガバナンスの評価・改善」「クな評価および継続的な改善

ラウド導入前後の評価」のみ満たす場合はステークラウド導入前後の評価

ジ 4，すべて満たす場合をステージ 5 と判定する．

ISO/IEC27017 ISMS クラウドセキュリティ認

それ以外は，ステージ 3 止まりとなる．本基準に証の取得おいても，情報セキュリティガバナンスをベース

2.3 判定方法とする概念を取り入れており，内部監査や情報セ判定方法としては，基本的に評価基準 1 から昇キュリティガバナンスの評価に加えてクラウド導順に実態調査の回答結果を照合しながら要件を満入前後の評価や ISMS クラウドセキュリティ認証たすか否かを確認する．なお，表 1 の黄色の範囲の取得などのクラウド特有の要件を追加適用しては，各ステージが定める必須要件の範囲である．

いる．

評価基準 1 の組織的制度・体制の有無において

なお，評価基準 2 でクラウドサービス運用の実は，4 つの小項目要件をすべて満たす場合はステ績が乏しいステージ 2 と判定された場合に，評価ージ 2 に昇格する．すべて満たさない場合はステ

基準 3 や評価基準 4 のステージ昇格条件を満たしージ 1 となり，以後ステージが昇格することはなてもステージは昇格しないが，ガバナンスの素質い．評価基準 1 の小項目要件は，クラウド化に限や標準化の素質があると判断することは可能であった要件ではなく，ICT を扱う組織として当然満る．

たすべき一般的要件である．したがって，この要件を満たさない組織は，クラウド化よりも先に情報セキュリティの制度・体制を早急に構築しなければならない．

3 提案モデル適応例
本章では，クラウド利用と情報セキュリティガバナンスの観点で既存のクラウド化実態調査の評価基準 2 の組織的導入・運用の有無において結果を抽出し，提案モデルの評価基準をベースとは，4 つの小項目要件の内「情報システムの学外した場合に検討しなければならない要件や質問事運用」「パブリッククラウドサービスの導入」のみ項を明確にする．

満たす場合はステージ 2 のままとなり以後昇格す

3.1 対象とする既存のクラウド化実態調査ることはない．一方，「大規模クラウドサービスの今回，平成 25 年度に国立大学法人九州大学が導入」も満たす場合はステージ 3，すべて満たす実施した「コミュニティで防ぐ次世代大学 ICT 環

場合はステージ 4 に昇格する．

境としてのアカデミッククラウド」のセキュリテ

評価基準 3 の組織的管理・統制の有無においてィ分野の調査報告書，国立情報学研究所が平成 26

は，4 つの小項目要件をすべて満たさない場合は年度に実施した「クラウドコンピューティングのステージ 2 に降格となる．逆にすべて満たす場合運用状況及び導入計画等」に関する調査データ，はステージが維持される．今回の提案モデルは，国立大学法人情報系センター協議会の平成 28 年

一般的な情報セキュリティガバナンスを様々な対度の調査報告書を対象とした．

象に当てはめられることを考慮し，情報セキュリ

3.1.1 平成 25 年度調査

ティガバナンスの要件をベースに特定対象の細か調査の目的は，調査結果の分析に基づき，アカい基準を追加で適用できる設計とした．したがっデミッククラウドシステム構築に向けた課題を具て，リスクアセスメント，教育関連，インシデン体化・明確化するとともに，アカデミッククラウ

ト対応などが情報セキュリティガバナンスで最低ドシステムの将来像の提案ならびに標準仕様案の限必要と思われる要件，クラウドサービス利用ガ策定である．調査対象となる組織は，全国の国公イドラインなどがクラウド化特有の要件となる．

私立大学と研究機関の 783 校（平成 24 年度時点）

これにより，例えば，評価基準 2 でクラウドサーであり，10 の分野（コンテンツ，大学経営，シスビス運用の実績が豊富であるステージ 4 と判定さテムアーキテクチャ，セキュリティ，事務支援，れた場合でも，本基準の要件を満たさない場合は，教育支援，認証連携，データプライバシー，ネットワーク，研究支援）についてアンケートを実施
している．
セキュリティ分野のアンケート調査の目的は，対象機関の現状を把握し，学術機関が（自組織以研究基盤，その他 ICT 基盤）
2-C) クラウド運用している情報システムの種類
2-D) 情報システムの学外運用の有無
3.1.3 平成 28 年度調査外の）クラウドサービスをデータの保管場所とし

この調査は国立大学法人情報系センター協議て利用する際に求められるセキュリティ要件を定会が参加組織の国立大学法人総合情報処理センタめることである．以下にクラウド利用と情報セキー及び情報処理センターを対象に毎年度実施するュリティガバナンスの観点で抽出したセキュリテ調査であり，各組織のセンター運営やネットワー

ィ分野のアンケートで得られる結果を示す．

ク・計算機システム等の情報基盤の現状と今後の1-A) 情報システムの運用に関して定めている諸規計画の把握を可能にする．平成 24 年度からプライ則の有無

ベートおよびパブリッククラウドの利用・検討状

1-B) 情報の格付けに関して定めている事項の有無

況についての調査も実施されている．なお，旧帝

1-C) 情報処理を外部委託する場合に関して定めて大 7 校を含む 12 校は参加していないため，74 校いる事項の有無．
1-D) 情報システムの運用に関する諸規則を構成員に周知するための教育の有無
1-E) 情報セキュリティマネジメントシステムの認
証取得の有無1-F) 過去 1 年間に発生したセキュリティインシデ
ントの有無のみの調査結果となる．また，調査報告書は一般公開されておらず，参加校のみ閲覧が可能となっている．以下にクラウド利用と情報セキュリティガバナンスの観点で抽出した平成 28 年度調査のアンケートで得られる結果を示す．
3-A) セキュリティポリシー制定の有無
3-B) 情報セキュリティマネージメントにおいて中1-G) 利用しているクラウドサービスの種類
1-H) パブリッククラウドサービス利用の有無

1-I) 構成員のパブリッククラウドサービス利用状
況の把握の可否
3.1.2 平成 26 年度調査
この調査は国立情報学研究所が整備・運営している学術情報ネットワーク（SINET）の更新・機能強化に伴い，SINET を活用したクラウドコンピューティングの導入・活用を推進することを目的に，国立大学 86 校におけるクラウドコンピューテ
ィングの導入状況や運用状況，今後の導入計画等について行われたものである．大学で運用中または導入を予定している全てのシステムについて，クラウドの利用状況や今後の利用計画等を，「管理運営基盤」，「教育・学習基盤，図書館」，「研究基盤」，「その他 ICT 基盤」の 4 つの用途に区分された欄にシステム名を記述させる方式となっている．
なお，調査結果は一般公開されていない．以下にクラウド利用と情報セキュリティガバナンスの観点で抽出した平成 26 年度調査のアンケートで得られる結果を示す．
2-A) 利用しているクラウドの種別（プライベートクラウド，パブリッククラウド，コミュニティクラウド）
2-B) クラウド運用している情報システムの用途（管理運営基盤，教育・学習基盤・図書館，心となる組織の有無
3-C) CSIRT などの専門組織の構築の有無，または既存の組織による対応の可否
3-D) 標的型攻撃対策として特別に実施した訓練の有無
3-E) 利用しているクラウドの種別（パブリックク
ラウド，プライベートクラウド，学外ネットワークからの利用）
3-F) クラウド運用している情報システムの用途（管理運営基盤，教育・学習基盤・図書館，研究基盤，その他 ICT 基盤）
3-G) クラウド運用している情報システムの種類
3-H) 導入前後のパブリッククラウド・プライベー
トクラウドの評価（ハードウェアコスト，ソフトウェアコスト，管理者の負担，システムの消費電力，障害復旧に要する時間，データの安全性）
3.2 各調査結果と評価基準の対応関係
3.1.1 項，3.1.2 項，3.1.3 項で紹介した 1-A)～3-H)の各調査結果は，提案モデルの 16 個の小項目要件の内 12 個に該当した．内訳は以下のとおりである．


情報セキュリティポリシー：1-A),3-A)

情報セキュリティ管理組織：3-B)

情報セキュリティ対応体制：3-C)

情報格付け・外部委託関連文書：1-B),1-C)

情報システムの学外運用：2-D)

パブリッククラウドサービスの導入：1-H)



大規模クラウドサービスの導入：2-B),2-C),
3-F),3-G)
複数クラウドサービス形態の導入：1-G),2-A),
3-E)
研修・教育・訓練の実施：1-D),3-D)

インシデント発生時の対応：1-F),1-I)

情報セキュリティガバナンスの評価・改善：
1-E)
クラウド導入前後の評価：3-H)



表2

ステージ判定の流れ（広島大学の場合）

ならびに既存のクラウド化実態調査結果と評価基準の対応関係表

これまでのクラウド化実態調査では，クラウドサービスの導入に関して得られる結果は多い傾向にあるものの，情報セキュリティガバナンスに関して得られる結果は少ない．また，「リスクアセスメント・管理の実施」「クラウド化確認項目の文書化」，「内部監査の実施」「ISO/IEC27017 取得」の 4個の小項目要件に対して得られる結果は無かった．
3.3 提案モデル適応事例
表 2 に広島大学を例としたステージ判定の流れ
ならびに 3.2 節で述べた各調査結果項番と提案モデルの評価基準の対応関係を示す．広島大学は，学術機関において最初にクラウドサービス利用ガイドラインを整備した組織であり，財務会計システムなどの管理運営基盤や機関リポジトリなどの教育・学習基盤もパブリッククラウド上で運用している．また，2016 年には ISMS を取得した実績を有する大学である．したがって，2016 年 10 月の時点において，広島大学は提案モデルの小項目要件の ISO/IEC27017 取得以外はすべて満たす．
まず，評価基準 1 の 4 つの小項目要件はすべて満たすことから，ステージ 2 となる．次に，評価基準 2 の小項目要件もすべて満たすことになるため，ステージ 4 となる．加えて，評価基準 3 の小項目要件もすべて満たすため，ステージ 4 を維持することになる．最後に，評価基準 4 の ISO/IEC27017 取得の小項目要件のみ満たせないことから，最終的にステージ 4 と判定される．このように，提案モデルは，現状の成熟度ステージとのステージに昇格するために必要な要件を把握することができる．なお，この判定結果はあくまで仮定の上で評価した結果であり，アンケートの質問が適切な回答を導く内容になっていなければ判定結果が変わることは十分にあり得る．

4 考察
今回，提案モデルの評価基準は，参考文献[6][7]をベースに最低限必要と思われる要件を定めているが，3.2 節で述べた通り 16 個の小項目要件の内12 個に該当したことから，全く見当違いの要件にはなっていないことが確認できた．したがって，既存のクラウド化実態調査をまとめて不足要件を補ったものが提案モデルという捉え方もでき，評価基準の解釈に矛盾や無理はなかったと考えられる．
一方で，評価基準 3 の「リスクアセスメント・管理の実施」「クラウド化確認項目の文書化」，評価基準 4 の「内部監査の実施」「ISO/IEC27017 取得」の小項目要件に対して，調査が行われていない現状があることが分かり，新たに検討しなければならない質問事項が明確になった．リスクアセスメントや内部監査などは情報セキュリティガバ

ナンスにおいて一般的な要件であるため，情報セキュリティマネージメント関連の実態調査が不十分であることは新たな発見であった． なお，「 ISO/IEC27017 取 得 」 に 関 し て は ， ISO/IEC
27017:2015 の ISMS クラウドセキュリティ認証サービスが 2016 年 9 月に開始したばかりであるため，現時点では実態調査が行われていない．ただし，
ISO/IEC 27001:2013 の ISMS 認証取得の実態調査は行われているため，ISMS クラウドセキュリティ認証取得の実態調査についてもいずれは実施されるものと考えられる．

5 おわりに
本論文では，学術機関におけるクラウド化実態調査結果から有益なフィードバック情報を得ることが難しい現状に対して，学術機関のクラウド化の現状を 5 段階で評価するクラウド化成熟度モデルを提案した．提案モデルの特徴は，学術機関がクラウドサービスに対して最も不安視する情報セキュリティガバナンスの観点をベースにクラウドサービスの導入実績を調査する評価軸および評価基準を定めている点である．
今後の課題は，実際に学術機関のクラウド成熟度を評価するためのアンケートの作成，アンケートシステムの構築が挙げられる．加えて，クラウドサービスの導入実績と情報セキュリティガバナンスの制度の充実との関係性を数学的に分析することも課題と考えている．

参考文献[1] 晏康庄，渡邉英伸，西村浩二，近堂徹，相原玲二，合田憲人，岡田義広，学術機関におけるクラウドサービス利用に関する調査結果の分析，情報処理学会研究報告，Vol.2016-IOT-34，
No.10，pp.1-7，2016．
[2] IDC Japan 株式会社，国内クラウドの成熟度ス
テージ分布，2016，
http://www.idcjapan.co.jp/Press/Current/2016091
5Apr.html[3] IBM，クラウド成熟度曲線のマッピング，2016，
http://www-01.ibm.com/common/ssi/cgi-bin/ssial
ias?htmlfid=KUL12355JPJA[4] 国立大学法人九州大学，コミュニティで紡ぐ次世代大学 ICT 環境としてのアカデミック
クラウド成果報告書，2013，
http://www.icer.kyushu-u.ac.jp/docs/ac/ac_report.
pdf[5] Alvin Toffler and Heidi Toffler，Revolutionary
wealth: how it will be created and how it willchange our lives，Crown Business，2006，[6] JIPDEC ， ISMS ユ ー ザ ー ズ ガ イ ド -JIS Q
27001:2014(ISO/IEC 27001:2013)対応- リスク
マネジメント編，2015，
http://www.isms.jipdec.or.jp/std/index.html[7] 経済産業省，情報セキュリティガバナンス導入ガイダンス，
http://www.meti.go.jp/policy/netsecurity/secgovdocuments.html