クラウドサービス導入時の留意点

前回はクラウドサービス導入のメリットについて書かせていただきました。

今回はクラウドサービスにはどのような形態のサービス、区分があるのかをご説明させていただき、クラウドの特徴に起因する導入の留意点についてご説明させていただきます。
まず、クラウドサービスはサービスモデルと実装モデルという二つの分類があります。

• サービスモデルはクラウドサービスの構築・カスタマイズに関する役割分担による分類

• 実装モデルはクラウドサービスの利用機会の開かれ方による分類となっています

クラウドのサービスモデルには「IaaS（アイアース）」「PaaS（パース）」「SaaS（サース）」があり、それぞれ責任分界点や、誰がどの役割を担うかに違いがあります。この３種を大まかに説明すると、以下のようになります。

１. SaaS（Software as a Service）^＊1

ソフトウェア（学校で利用するアプリケーションやコンテンツ）をサービスとして提供する形態です。

例えば、校務分野では統合型校務支援サービス、授業・学習分野では教材配信、タブレット向けのデジタルドリルサービス、授業支援ソフトなどが考えられます。利用者側がインターネットにつながる環境があれば、そのまま利用することが可能です。

２.PaaS（Platform as a Service）^＊1

プラットフォームをサービスとして提供する形態です。ここでのプラットフォームとは、クラウド利用者が利用したいアプリケーションを搭載すればすぐに利用できるように、ホスト機能のミドルウェアまでのレイヤ７を提供することを指します。　また、アプリケーションの開発環境としても利用できるため、開発目的で利用される場合も多いです。

３. IaaS（Infrastructure as a Service）^＊1

クラウド事業者がサーバやストレージ、ネットワークなどのハードウェアが提供する機能を提供するサービスです。ホスト機能のインフラ提供サービスと言えます。

ホスティングサービスと類似していますが、ホスティングサービスは、コンピュータやネットワーク機器等の物理的なハードウェアをサービス提供するものですが、IaaS では、仮想化されたコンピュータやネットワーク機器等をサービス提供するところが異なります。　利用者は、IaaS 上に自前で OS、ミドルウェア、アプリケーションを用意して利用します。

この３形態の、クラウド事業者とクラウド利用者の役割分担を見てみましょう（クラウド利用者とは、クラウドの実質的な利用者（教育委員会等）とクラウドの実質的な利用者から委託を受けて情報システムを構築・保守する事業者（Ｓ I 事業者）に分けられます）^*1
＜https://www.soumu.go.jp/main_content/000700787.pdf＞P7

図を見ていただきますと、レイヤの部分に専門用語が多いため、少しわかりづらく感じるかもしれません。IaaS、PaaS、SaaSの順に、利用者が手を加えられる部分が多くなる半面、利用・管理が難しく、手間がかかるようになると考えていただくと良いと思います。

これらを住居に例えてみると以下のようなイメージとなります。

サービスモデルでは、クラウド利用者とクラウド事業者、どちらがどの部分を管理するのか（責任分界点と言います）が非常に重要になってきます。この部分があいまいだと、セキュリティ管理が行き届かなくなる可能性があります^＊2

クラウドサービスの種類により、クラウド事業者とクラウド利用者の役割分担が変わりますので、情報セキュリティの観点からは、どのサービスモデルを利用するかで責任範囲が変わることにご留意ください。

また、クラウド利用者とは、クラウドの実質的な利用者（教育委員会等）とクラウドの実質的な利用者から委託を受けて情報システムを構築・保守する事業者（Ｓ I 事業者）に分けられます^＊1。

以上がサービスモデルの説明となります。

---

次に、クラウドサービスの実装モデルのご説明です。

実装モデルには、パブリッククラウド、プライベートクラウド、コミュニティクラウド、ハイブリッドクラウドの４種類があります。

この中で、GIGAスクール構想によって教育用に利用されるのは主にパブリッククラウド、プライベートクラウドだと考えられます。両者の説明は以下の通りです。

パブリッククラウド

名前のとおり、クラウドサービスを不特定多数の利用者が共同で利用する形態です。インターネット上には、メールサービスやストレージサービスなど登録するとすぐに利用できるサービスがありますが、これらはパブリッククラウドに相当します。　多くの利用者が共同で利用する形態のため、

• 定型的なサービス提供になりますので、クラウド利用者の個別カスタマイズ対応は原則困難です。

• どこからでもアクセス可能な「インターネット」を通信回線として利用する形が一般的です。

授業・学習分野で提供されるデジタルドリルサービスやコンテンツ配信などは、多くの学校向けにサービス提供する形態ですので、原則パブリッククラウドモデルになります。^*3

プライベートクラウド

クラウドのプライベート利用になりますので、クラウド環境を特定のクラウド利用者に専用で利用させるサービスになります。

スケールメリットを活かせる規模の大きな自治体等が利用するケースが多く、パブリッククラウドよりもカスタマイズ要望に沿ったサービス提供が可能な点があると考えられます。^＊3

これらがパブリッククラウド、プライベートクラウドの基本的なご説明となります。

これらのクラウドサービスのサービスモデル、実装モデルの特長を考慮すると、以下の点が留意すべき点として挙げられます。

設備老朽化に伴うデータ移管の際に、きちんとデータ消去処理をしているか

クラウド利用者が利用する仮想環境を構成する物理環境に障害が発生した場合や、物理環境の老朽化等の理由により、仮想環境を別の物理環境に移設する場合があります。

この物理環境の故障対応に伴い、ハードディスクの交換が行われる場合がありますが、データを消去しないまま交換を行うと、格納されたデータが流出するリスクがあります。^＊4

日本の法令が及ぶ場所にあるか

利用者データの物理的な保管先がどこにあるかについて、はっきりしない場合や海外のデータセンターに保管される場合があります。

日本の法令が及ばない場所にデータセンターがある場合には、データ保護に支障をきたす場合がありますので、クラウドサービスを利用する場合には、データ保管先が日本の法令が及ぶかどうかを確認する必要があります。^＊4

仮に日本の法令が及ばない場所で、必要なデータ消去処理を行っていないクラウドサービスを利用した場合、最悪個人情報が消去されずに残っているが、日本の法令が及ばないため削除することもできない等という最悪の事態にもつながりかねません。

データベースは共用されているか

クラウドの性質上、１つのアプリケーション、データベースを多くの利用者が共用する場合があります。

利用者単位でデータベースを分離している場合は安全ですが、同じデータベースを他の利用者と共用している場合、他の利用者の振る舞いの影響を受ける可能性があります。^*5

外部委託先のセキュリティレベルは十全か

クラウドサービスは、サービス提供元のクラウド事業者内のみでサービス運営が完結している訳ではなく、クラウドサービスはサービスの開発・提供に関する一部業務を取引先や子会社等に外部委託していることがあります。

このような場合、クラウドのセキュリティレベルは、外部委託先のセキュリティレベルにも依存します。どれだけクラウド事業者が入念なセキュリティ対策を行っていても、外部委託先のセキュリティレベルが低ければ、そこからセキュリティリスクが発生する可能性があります。^*5

自組織の情報セキュリティポリシー等との適合性

クラウド利用者による直接監査ができなかったり、再委託先の管理状況が曖昧な場合など、クラウド事業者のサービス提供ポリシーが自組織の情報セキュリティポリシーや個人情報保護法制を満たしてないリスクがあると考えられます。その場合は、情報セキュリティポリシーの見直しや個人情報保護法制をクリアする手続きを考える必要があります。^*6

責任分界点・役割分担

契約や利用規約で示されるクラウド事業者の責任分界点が曖昧であると、クラウド利用者との役割分担上、セキュリティに関する一部の管理が行き届かなくなってしまい、必要なセキュリティ要件への不適合をもたらす場合があり得ます。

クラウド事業者側の責任分界点を確認して、クラウド利用者のセキュリティ対策との組み合わせで補完関係が築けるかを確認する必要があります。

ベンダロックイン（サービス利用終了後に他のサービスに移行することができるか）

クラウド事業者のサービス仕様により、データフォーマットや処理方法等が限定され、他のクラウド事業者にデータを移行できないリスクがあります。ベンダロックインとは、一旦導入したクラウドサービスを簡単に移行できず囲い込まれることを意味します。

ベンダロックインを完全に避けることは難しいのですが、検討段階において、サービス終了後にはどのようなデータフォーマットで返却されるのかを確認しておくことが望ましいです。画像データの場合には圧縮保管される場合もありますので、注意が必要です。^*7

サービス提供の継続性

クラウド事業者の経営不振や経営方針変更などに起因して、一方的にサービスを停止する場合があります。クラウド事業者選定の際には、その点を充分に留意したうえで、サービス停止リスクに対しては、契約のなかで「サービス停止の○〇ヶ月前に通告する義務」を課すなどを織り込むことが考えられます。^*7

これらの点が、主な留意点として挙げられます。

また、サービス利用型外部委託では、サービス提供条件は原則提供事業者側で定めるため、条件の中身を充分に確認する必要があります。特に SaaS・パブリッククラウドサービスは、多数の利用者向けに同一コンテンツやアプリケーション提供を想定しており、利用者はあらかじめ定められたサービス提供条件に原則沿った形で利用することになります。

そのため、サービス利用者の内部統制基準や情報セキュリティポリシーに沿ったセキュリティ運用を委託交渉しても難しい場合が考えられます。その場合は、別の SaaS を選定するか、SaaS から IaaS(PaaS) に切り替えてアプリケーション等を自前で構築するか、利用者専用の環境を用意するプライベートクラウドやオンプレミス10でシステムを構築するなどの代替手段が考えられます。

以上のような状況を踏まえたうえで、複数の候補のなかで最も適した事業者のサービスを選定し、その提供ポリシーが利用者として受け入れ可能かを検討することになります。^＊6この点にもご注意いただければと思います。

ここまでお読みくださいまして、ありがとうございました。クラウドサービスは導入にあたって注意しなければいけない点も多く、個人情報保護の観点からも、越えなければならないハードルが多くあります。

しかし、それらを乗り越えて上手く必要な機能を導入することができれば、前回ご説明させていただいたような、沢山のメリットを学校教育に取り入れることができます。

学校へクラウドサービスを導入検討の一助となることができれば幸いに思います。

＜出典＞

*1 総務省　教育クラウド調達ガイドブック　参考編　P7
https://www.soumu.go.jp/main_content/000700787.pdf (最終閲覧日2021年12月2日)

*2 総務省　教育クラウド調達ガイドブック　参考編　P13
https://www.soumu.go.jp/main_content/000700787.pdf (最終閲覧日2021年12月2日)

*3 総務省　教育クラウド調達ガイドブック　参考編　P9
https://www.soumu.go.jp/main_content/000700787.pdf (最終閲覧日2021年12月2日)

*4 総務省　教育クラウド調達ガイドブック　参考編　P11
https://www.soumu.go.jp/main_content/000700787.pdf (最終閲覧日2021年12月2日)

*5 総務省　教育クラウド調達ガイドブック　参考編　P12
https://www.soumu.go.jp/main_content/000700787.pdf (最終閲覧日2021年12月2日)

*6 総務省　教育クラウド調達ガイドブック　参考編　P13
https://www.soumu.go.jp/main_content/000700787.pdf (最終閲覧日2021年12月2日)

*7 総務省　教育クラウド調達ガイドブック　参考編　P14
https://www.soumu.go.jp/main_content/000700787.pdf (最終閲覧日2021年12月2日)