クラウド関連の各種ガイドラインの取組み（情報開示、情報セキュリティ、医療、地方公共団体、教育など）とASPICの活動状況
２０１１年７月２０日
ASP・SaaS・クラウド コンソーシアム（ASPIC） （注）会長 河合 輝欣
（注）旧法人名称「ASP・SaaSインダストリ・コンソーシアム」から変更申請中

ASPICのご紹介
活動の目的
ASP・SaaS事業者とデータセンター事業者が一体となって、様々な分野において、クラウド・ ASP・SaaSの普及・促進を行っているNPO法人で、ICT分野の革新により社会に貢献しています

主な沿革• 1999.11 任意団体として設立 （2002年にNPO法人の認証取得）• 2002.4 行政機関から受託事業を開始。以降、活動範囲を拡大• 2006.11 日韓共同ASPワークショップをソウルにて開催• 2007.2 国内初の｢ASP･ITアウトソーシングアワード2006｣を開催• 2007.4 総務省と合同で｢ASP･SaaS普及促進協議会｣を設置• 2008.5 「ASP・SaaSイノベーション・シンポジウム（ASIS）2008」開催• 2008.6 平成20年度「情報通信月間」にてASP・SaaSの普及促進に貢献したことで、『総務大臣表彰』を受賞• 2008.4 FMMCの「ASP・SaaS情報開示認定制度」を運用開始• 2009.2 「ASP・SaaS データセンター促進協議会」を設置
Copyright © 2011, ASP-SaaS Industry Consortium2

ガイドラインを支えるASPICの活動《５本柱》
NPO法人として11年を迎えるASPICでは、新たに以下の5本柱を掲げ、ASP・SaaSの啓発と普及促進、市場創造にさらに注力していく所存である。
１２４３

５Copyright ©2010, ASPIC All rights reserved.

3

ASPICの活動概要 （ASPICの５本柱）
1. 分野別市場拡大研究会の積極的な展開– 分野・業種ごとの健全な市場形成と市場拡大に向けた研究会活動を推進する
マーケティング研究会／建設・不動産研究会／医療・福祉研究会／教育研究会／
ビジネス連携事例研究会／クラウドマイグレーション研究会／地方行政研究会
現在、会員数十社が参加して積極的な活動を行っており、今後、上記以外の分野についても、一層拡大する

2. ASP・SaaS普及促進の推進（総務省との連携）– 「ASP・SaaS普及促進協議会」は前記研究会と連携し、ASP・SaaS市場の拡大に努める– 分野・業種ごとの普及のための課題、問題点について具体的検討し、対策及び提言を行う

3. ASP・SaaSサービスの安全・信頼性に係る情報開示認定制度の普及– 利用者が安心してASP・SaaSを利用できるよう「ASP・SaaSサービスの安全・信頼性に係る情報開示認定制度」について、一層の普及を図る

4. ASP・SaaS データセンター促進協議会の推進– データセンター促進のための委員会活動を推進する
データセンター情報開示委員会／クラウドコンピューティング・国際戦略委員会

5. 会員サービスの推進– シーズン／アライアンスミーティング、ASP・SaaS・ICTアウトソーシングアワード、 ASP・SaaSイノベーション・シンポジウム（ＡＳＩＳ）等を通して、会員ビジネスの拡大を積極的に推進する
Copyright © 2011, ASP-SaaS Industry Consortium

4ASPICの活動組織

・・・・

平成１９年度から協議会により推進

Copyright © 2011, ASP-SaaS Industry Consortium

各種分野別のガイドライン作成等

5官民による普及促進の動き
 「クラウドサービス利用者の保護とコンプライアンス確保のためのガイド」の公表
 その他のASPICの取り組み
 「ASP・SaaS・クラウド アワード」で優秀事例を表彰
「クラウドASP・SaaSイノベーション・シンポジウム」の開催
「ASP・SaaS安全・信頼性情報開示認定制度」の推進

Copyright © 2011, ASP-SaaS Industry Consortium

6ASP・SaaS・クラウド関連のガイドライン・指針策定の動き
分野
対象

分野共通

地方公共団体データセンターの安全・信頼データセンターの安全・信頼性に係る情報開示指針
性に係る情報開示指針 第1第1版(総務省、2009.2)
版(総務省、2009.2)

ASP・
SaaS・
クラウド事業者
向け

ASP・SaaS事業者が医ASP・SaaS事業者が医療情報を取り扱う際の安療情報を取り扱う際の安全管理に関するガイドラ
全管理に関するガイドラ
インイン (総務省2009.7，(総務省2009.7，2010.12改定)
2010.12改定)

ASP・SaaSにおける情報セ
ASP・SaaSにおける情報セ
キュリティ対策ガイドライン
キュリティ対策ガイドライン(総務省、2008.1)(総務省、2008.1)

医療情報を受託管理
医療情報を受託管理する情報処理事業者
する情報処理事業者
向けガイドライン
向けガイドライン(経産省、2008.3)(経産省、2008.3)

データセンター利用ガイド
データセンター利用ガイド(ASPIC、2010.10)(ASPIC、2010.10)

中小企業のためのクラウドサービス
中小企業のためのクラウドサービス
安全利用の手引き（IPA、2011.4)
安全利用の手引き（IPA、2011.4)
クラウドサービスの利用のためクラウドサービスの利用のための情報セキュリティマネジメントの情報セキュリティマネジメント
ガイドライン
ガイドライン (経産省、2011.4)(経産省、2011.4)

SaaS向けSLAガイドライン
SaaS向けSLAガイドライン(経産省、2008.1)(経産省、2008.1)

校務分野における校務分野におけるASP・SaaS事業者向
ASP・SaaS事業者向けガイドライン
けガイドライン
（総務省、2010.10）（総務省、2010.10）(総務省、2010.12)(総務省、2010.12)

クラウド事業者による情報開示
クラウド事業者による情報開示の参照ガイドの参照ガイド (IPA、2011.4)(IPA、2011.4)

利用者
向け

教育

ASP・SaaS事業者が医ASP・SaaS事業者が医療情報を取り扱う際の安療情報を取り扱う際の安全管理に関するガイドライ
全管理に関するガイドラインに基づくSLA参考例
ンに基づくSLA参考例

ASP・SaaSの安全・信頼性に
ASP・SaaSの安全・信頼性に係る情報開示指針
係る情報開示指針 第1版
第1版(総務省，2007.11)(総務省，2007.11)

クラウドサービス利用者の保クラウドサービス利用者の保護とコンプライアンス確保のた護とコンプライアンス確保のためのガイド
めのガイド (ASPIC、2011.7)(ASPIC、2011.7)

分野別の策定
医療・介護

地方公共団体におけ地方公共団体におけるASP・SaaS導入活るASP・SaaS導入活用ガイドライン用ガイドライン
(総務省、2010.4)(総務省、2010.4)

医療情報システムの医療情報システムの安全管理に関するガ安全管理に関するガイドライン第4.1版
イドライン第4.1版(厚労省、2010.2改版)(厚労省、2010.2改版)

総合情報化計画の一
総合情報化計画の一環としての校務情報環としての校務情報化に関するガイドライ化に関するガイドライン（APPLIC、2009）
ン（APPLIC、2009）

公共ITにおけるアウト公共ITにおけるアウトソーシングに関するソーシングに関するガイドライン
ガイドライン(総務省、2003.3)(総務省、2003.3)

Copyright © 2011, ASP-SaaS Industry Consortium

学校情報セキュリティ
学校情報セキュリティ
推奨仕様書
推奨仕様書 第1.0版
第1.0版（CEC、2010）（CEC、2010）

凡例：

ＡＳＰＩＣ作成協力
ＡＳＰＩＣ作成協力

7

「クラウドサービス利用者の保護とコンプライアンス確保のためのガイド」の公表
クラウドサービスを利用する企業に対し、サービス利用で生じうるリスクとそれへの対応方法を示し経営判断に役立てていただくためのガイド
総務省とASPICが合同で設立した「
ASP・SaaS・クラウド普及促進協議会」にて、2010年度に設置した「クラウドサービス利用者の権利保護のあり方検討委員会」の取り組み結果に基づき策定

本年7月12日にASPICから公表
http://www.aspicjapan.org/information/
publish/Copyright © 2011, ASP-SaaS Industry Consortium

8

「クラウドサービス利用者の保護とコンプライアンス確保のためのガイド」

ガイドの構成第1章

クラウドサービスを安心して利用していただくために .............................1

1. 本ガイドの読み方 ..................................................................................................................1
2. さまざまな利点があるクラウドサービス ..................................................................4
3. リスクマネジメントがなぜ必要か.................................................................................5
4. 利用者の権利保護とコンプライアンス確保のカバー範囲について ..............6
第 2 章 サービスの利用サイクルとリスクマネジメント ............................................7
1. 事前準備 .....................................................................................................................................82. 事業者及びサービスの比較選定 .....................................................................................93. 利用申込み ............................................................................................................................ 104. サービスレベルマネジメント ...................................................................................... 10
5. 継続利用またはサービス利用の終了 ........................................................................ 11
第 3 章 重点的に確認すべき留意事項について ........................................................... 12
1. 利用者の権利保護とコンプライアンス確保のチェックについて ............... 12
2. 海外にデータを置く場合等について ........................................................................ 17
3. 利用者とクラウドサービス事業者の意識のずれを防止するために .......... 18
参考資料 1 技術用語の解説 ................................................................................................... 20
参考資料２
参考資料 3

クラウドサービス関連のガイドライン・指針 ..................................... 22
利用者の権利とコンプライアンスに係る資料 ..................................... 24※主としてパブリッククラウド利用者を読み手と設定
Copyright © 2011, ASP-SaaS Industry Consortium

9

「クラウドサービス利用者の保護とコンプライアンス確保のためのガイド」

利用サイクルと利用者保護のための必要な対応事項

事前準備
現状調査の指示とレビュー
クラウドサービスの導入
目的の承認
サービス比較と利用申込時の経営層の意志決定のルール作り等の指示と承認ガバナンスの喪失リスク（参考資料１参照）の監視と対処を行う

コンプライアンス喪失リスク、再委託リスク、サービス提供の急な終了リスク、特定の事業者に囲い込まれるリスク、海外拠点にデータを置くことのリスク（参考資料１参照）等への対処を行う事業者及びサービスの比較選定
判断材料の比較整理の指示
便益とリスク許容度とコストのバランス評価の指示
重点的に確認すべき留意事項の確認の指示（第３章）

利用申込み
導入の経営判断
クラウドサービス

クラウドサービスの利用サイク
ルは、事前準備、事業者及びサービスの比較選定、利用申込み、サービスレベルマネジメント、継続利用、サービス利用の終了から構成される。
それぞれのフェーズにおけるリスク対応の留意事項を解説した。

経営層が自らの経営判断に対して説明責任を果たせるように事前準備を行う

継続利用
外部委託先の監督状況の承認

サービス利用の終了
サービス終了時の不完全なデータ削除リスク（参考資料１参照）への対処を行う

Copyright © 2011, ASP-SaaS Industry Consortium

利用者データの返却と完全な削除の確認指示と承認

利用規約とSLA締結の承認
利用申込み時の特記確認事項の確認
指示と承認

サービスレベル
マネジメント
利用者のモニタリン
グで発見された重大な課題への対応指示

不測事態への対応の指揮と経営判断

10

「クラウドサービス利用者の保護とコンプライアンス確保のためのガイド」権利保護とコンプライアンス確保のための重点チェックポイント
利用者の権利を保護するための対応（営業秘密）、利用者がコンプライアンスを確保するための対応（内部統制関連、個人情報保護、技術情報の輸出規制、国税関連帳簿書類の電子保存）について重点チェックポイントを記載。
クラウドサービスに記録する計画の情報種別
利用者の権利保護

営業秘密

利用者の取締役の職務執行に係る情報・財務報告に係る電子的記録（内コンプライアンス部統制関連）

確保

個人情報
技術情報
国税関連帳簿書類※上記は第１版のカバレージであり、今後さらにカバレージを拡大していく計画としている。

Copyright © 2011, ASP-SaaS Industry Consortium11

「クラウドサービス利用者の保護とコンプライアンス確保のためのガイド」

海外にデータを置く場合等について契約時の注意点（適用法と管轄裁判所の場所、日本法人との契約）、海外の公権力の捜査等が及んだ場合の連絡対応とサービス継続能力、紛争国にデータを置くことを避けることなどが主たる注意点となる。
対応のポイント

４ データセンター資産の所有権が、紛争による略奪やクーデター等により非合法に侵害されるリスクもある。
紛争国にデータを置くことは避けること。

※利用者の責任分界におけるコンプライアンス確保や各種ガイドラインへの準拠は利用者の自己責任となる。

海外データセンター

５
利用者

データ

２

データの保存国は利用者が選択できること。

３

契約は日本法人と締結すること。
我が国の公権力による監督権限や捜査権限が確保される。

我が国の裁判所

日本法人

１

紛争時には日本国法に従い、管轄裁判所も国内とすることが望ましい。

※海外裁判所での裁判となると、開示強制（電子証拠開示）を受けたり、弁護士費用が高額になったりというリスクが存在する。

Copyright © 2011, ASP-SaaS Industry Consortium

海外本社※外国法が適用されると海外公権力による想定外のデータ取得（証拠提出命令）が発生しうる。

海外本社が、本社が存在する国の公権力による営業停止命令や捜査による証拠提出命令・差し押さえを受けると、サービスの長時間停止や重要データの思わぬ流出が生じる恐れがある。
こうした場合でも、BCPが機能してサービス継続が可能なのかを確認しておくこと。
※捜査や証拠提出命令を受ける等の事態になった場合に、クラウドサービス事業者はどのように対応するのかを確認しておくこと。
事業者から連絡を受け、海外公権力と直接対話する機会が与えられるのが望ましい姿。

12

「クラウドサービス利用者の保護とコンプライアンス確保のためのガイド」

契約に先立ち事前確認しておくべき重要ポイント
利用者とクラウドサービス事業者の間で、基本方針レベルで責任に対する意識がずれている場合がある。このずれは大きな潜在リスクとなるので、サービスを選択する前に慎重に確認すべき。主要なチェックポイントは以下の7つ。
コンプライアンスに対する認識の違い
個人情報や営業秘密が漏れる等の「重要インシデント」が発生した場合の説明責任の果たし方に対する認識の違い
損害賠償と稼動保証違反に対する認識の違い
事業者側からの要請でサービス内容を変更する場合の手続きに対する認識の違い
事業者側の都合でサービス終了する場合の手続きに対する認識の違い
データのオーナーシップと取扱いについての認識の違い ⇒ データの２次利用への影響
利用者データの完全な消去
・・具体的な対応としては、クラウドサービス事業者の考え方を十分に聴取して意識のずれをなくした上で比較検討し、利用者のポリシーやニーズを満足する事業者を選択する。
Copyright © 2011, ASP-SaaS Industry Consortium

13

ASPIC 「ASP・SaaS クラウドアワード」で優秀事例を表彰
優秀なASP・SaaS、IDCに係るサービスの発掘と公表
審査方法： エントリーシート（書類）による一次審査、事業者プレゼンテーションによる二次審査。 有識者による審査委員会を設置
アワード実施年度（表彰日）
２００６年度（2007年2月9日表彰）

２００７年度（2008年1月25日表彰）

２００８年度（2009年2月19日表彰）

２００９年度（2010年2月19日表彰）

総合グランプリのサービス名称 （事業者名）

エントリー
事業者数

ASP・SaaS部門

90 社

Salesforce(㈱セールスフォース・ドットコム)

122 社

＠プロパティ
(プロパティデータバンク㈱)館林データセンター(富士通㈱)

137 社@Tovas（あっととばす）(コクヨＳ＆Ｔ㈱)エヌ・ティー・ティー・スマートコネクト
データセンター（エヌ・ティー・ティー・スマートコネクト㈱)113 社

オンデマンド・アプリケーション・サー
ビス『Applitus （アプリタス）』（㈱ネオジャパン）門前仲町 データセンター（㈱NTTPCコミュニケーションズ)

CECTRUST電子契約サービス

２０１０年度（2011年6月5日表彰）

IDC部門

143社

（㈱コンストラクション・イーシー・ドットコム、㈱NTTデータ）

東京第５データセンター（ＮＴＴコミュニケーションズ㈱）＜新設＞ユーザ部門： 建設サイト・シリーズ （大成建設株式会社）
Copyright © 2011, ASP-SaaS Industry Consortium

14

「クラウドASP・SaaSイノベーション・シンポジウム」（ＡＳＩＳ２０１１）の開催
今年で４回目

7月5日（火）【来賓挨拶】

7月6日（水）【特別講演】

総務省 政策統括官（情報通信担当 原 正之氏【ASPIC会長講演】「クラウド ASP・SaaSの現状と今後」
ASPIC 会長 河合 輝欣【基調講演】「創発的破壊～震災後のパラダイム・チェンジ」
一橋大学イノベーション研究センター長・教授
米倉 誠一郎氏【パネルディスカッション-1】「広がるクラウドの領域～ユーザーから見た可能性」（コーディネーター）中島 洋氏
株式会社MM総研 代表取締役 所長 国際大学 教授（パネリスト）ASP・SaaS・クラウドアワード2011「ユーザ部門」
受賞企業より４団体「クラウドで成功するための戦略」－Strategy for Success in the CLOUD－
Amazon最高技術責任者（CTO）
ヴァーナー・ボーガス（Werner Vogels）氏【パネルディスカッション-2】「災害危機管理・事業継続に向けたクラウド活用」（コーディネーター）小柳 建彦
日本経済新聞社 デジタル編成局 編成部 編集委員
（パネリスト）ASP・SaaS・クラウドアワード2011「ASP・SaaS部門」分野別グランプリ
受賞企業より４団体

Copyright © 2011, ASP-SaaS Industry Consortium【協賛企業講演】
32講演（協賛企業27社による）

15

「ASP・SaaS安全・信頼性情報開示認定制度」の推進
総務省から公表された「ASP・SaaS安全・信頼性に係る情報開示指針（第1版）」（2007年11月）に基づき、2008年4月1日よりスタートした（財）マルチメディア振興センター（FMMC）の認定制度は４年目を迎えた。
ASPICは、 ASP・SaaS業界団体として協力するとともに、認定制度に係る事務を受託している。 2011年6月時点で131サービス（93事業者）が認定取得。
認認定定機機関
関（財）マルチメディア振興センター（財）マルチメディア振興センター
認定審査委員会

認定事務局

委員： 学識経験者、民間有識者等

申請

認定証と認定マークを発行

ASP・SaaSサービス
ASP・SaaSサービス
ASP・SaaSサービス
ASP・SaaSサービス
ASP・SaaS事業者
Copyright © 2011, ASP-SaaS Industry Consortium

協力

ASPIC
ASPIC

事務の受託
・必須開示項目の記述内容
認定サービスの・選択開示項目の記載の有無
申請内容の公表 ・認定日及び認定の有効期間

ASP・SaaS利用者
ASP・SaaS利用者
最適なサービス選択が可能になる

ASP・SaaS利用者
ASP・SaaS利用者

16

ご参考： サービス種別ごとの認定サービス数
サービス種別認定サービス数（注）サービス種別の説明

業界特化型

３３

企業、組織の主たる活動を可能とする業種・業界に依存するサービス（建設・不動産、交通・物流、医療・介護、行政・公務等）

財務・会計

９

経理業務を支援するサービス

人事・給与

１１

採用を含む人事・給与に関する業務を支援するサービス

教育

１１

ｅラーニング、人材育成などのサービス

ＳＦＡ・営業支援

５

顧客の性別・年齢・役職や、顧客との接触履歴を中心に蓄積し、マーケティングに活用するサービス

CRM・顧客管理

２４

商品の売買から維持管理サービスなどの幅広い顧客接点から得られる詳細な顧客情報を蓄積し管理するサービス

生産・販売・仕入・物流

１２

生産・仕入・物流に関わる業務（見積、受注、売上、請求、回収、発注、仕入、支払、在庫管理など）をサポートし、業務を効率化するサービス

社内・グループ間情報共有

１６

グループウェア、ＷＥＢ会議、社内ファイル管理などのサービス

WEBサイト構築

５

ＣＭＳ（コンテンツ管理システム）、ＷＥＢサイト構築テンプレートなどを提供する
サービス

EC関連

２

インターネット上におけるショッピングを支援する、ショッピングカート、ショッピン
グサイト開設、ＷＥＢサイトなどのサービス

メール配信

１６

メールマガジン、メールマーケティングなどのサービス

セキュリティ

１３

ウィルスチェック、ＷＥＢフィルタリング、認証、ログ管理などのサービス

SNS・ブログ３

ＳＮＳ、ブログなどのコミュ二ティ支援に関わるサービス

その他

２０

上記に分類できないサービス（ASP・SaaS基盤、ASP・SaaS向け共有サービス、アウトソーシング業務も含む）

Copyright © 2011, ASP-SaaS Industry Consortium（注） 複数の種別の関わるサービスは重複カウントしています。

17