基礎知識
データ主権？第三者認証？国産クラウド選定時に確認したいセキュリティの勘どころ
近年、ガバメントクラウドをはじめ、官公庁や金融業界などの高いセキュリティ要件を求められる分野での積極的なクラウド活用が進んでいます。
一方、こうした分野では、セキュリティインシデントが発生した場合の影響が大きくなる可能性があるため、クラウド化にあたっては特に慎重な検討が必要です。そのため、セキュリティやガバナンスの観点から、適切なクラウドサービスを選定することが重要です。
クラウドサービスは大きく、提供元が海外企業であるものと国内企業であるものに分けられますが、その中でも国内企業が提供する「国産クラウド」は、高いセキュリティ要件への対応を検討する上で注目したい特長があります。そこで今回は、国産クラウドを選定する際に確認したいセキュリティのポイントを、実際の導入事例とあわせて解説します。
国産クラウド選定時に見るべきセキュリティの観点
国産クラウドを選定する際には、さまざまな確認項目がありますが、ここでは特に次の2つの観点について紹介します。
データ所在地や適用法域を把握できること
まず1点目は、クラウドサービスが提供されているデータ所在地や適用法域を確認・把握できることです。特に機密性の高い情報をクラウド上で取り扱う場合、データ所在地だけでなく、クラウドサービス事業者に適用される法令や司法管轄についても確認することが重要です。
たとえば米国では「CLOUD Act（クラウド法）」が制定されており、米国の管轄下にあるクラウドサービス事業者は、適法な法的手続きにもとづき、事業者が保有・管理するデータについて、データが米国外に保存されている場合でも開示を求められる可能性があります。
金融機関等の情報システムにおける安全対策の指針として広く参照されている「FISC安全対策基準」においても、クラウドサービスを利用する際のリスク管理が求められており、重要な業務や機密性の高い情報を取り扱う場合には、適用される法令を特定できる範囲でデータの所在地域を把握する考え方が示されています。
その点、国産クラウドは日本国内に本拠地を置く企業がサービスを提供しているため、基本的に日本の法律が適用されます。そのため、データ主権の観点でも安心して利用できる点が特長です。
富士通が提供する国産クラウドサービス「FJcloud-V」では、東日本リージョン・西日本リージョンを国内に設置しており、データが日本国の排他的な法的保護の対象となることを保証しています。
このように、データ主権や法規制への対応を重視し、データが特定の国・地域の法制度のもとで保護されるクラウドサービスは「ソブリンクラウド」と呼ばれます。ソブリンクラウドは他国の法規制による影響を受けにくいため、高いセキュリティ要件やガバナンスが求められるシステムでも利用しやすい点が特長です。
なお、FJcloud-Vにおけるソブリンクラウドの実現に向けた取り組みについては、「ソブリンクラウドについて」をご覧ください。
日本のセキュリティ評価制度への登録や第三者認証を取得していること
2点目は、公的なセキュリティ評価制度への登録や、第三者機関による認証の取得状況を確認することです。
クラウドサービス事業者自身が公表しているセキュリティ対策だけでなく、第三者機関による客観的な評価や認証の有無を確認することで、サービスのセキュリティ管理体制を判断する材料になります。
日本の代表的なセキュリティ評価制度としては、政府が求めるセキュリティ基準への適合性を評価する「政府情報システムのためのセキュリティ評価制度（ISMAP）」があります。ISMAPは、政府が求めるセキュリティ要求を満たしているクラウドサービスを評価・登録する制度で、政府機関等がクラウドサービスを調達する際の重要な判断材料となっています。
FJcloud-Vは2021年12月にISMAPのクラウドサービスリストへ登録され、現在もISMAPに対応しています。そのほか、企業が情報セキュリティを適切に管理・運用していることを認証する「情報セキュリティマネジメントシステム（ISMS）」や、クラウドサービス向けの認証である「ISMSクラウドセキュリティ認証」も取得しています。
なお、FJcloud-Vが対応しているセキュリティ評価制度・認証については、「セキュリティ対策（第三者認証）」をご覧ください。
金融業界における「FJcloud-V」の導入事例
ここからは、高いセキュリティや信頼性が求められる金融業界でFJcloud-Vが採用された事例を紹介します。
「三島信用金庫様と蒲郡信用金庫様の補完業務システムを全国で初めてクラウド化」は、2021年に全国の信用金庫で初めてクラウド化した事例となります。
この事例では、クラウド化によってセキュリティやBCPへの対応に加え、コストや運用負荷の軽減、環境負荷低減などの効果につながっています。
高セキュリティ環境とBCP対策の実現
FJcloud-V上で構築した環境から各信金様とセキュアなネットワークで閉域接続することで、高いセキュリティ水準での運用を実現しました。また、国内最高レベルの堅牢性を有するファシリティと万全の災害対策を備えたデータセンターで運用することにより、事業継続性の向上にもつながっています。
こうした事業継続性を支えるため、FJcloud-Vでは高い可用性を実現する仕組みを提供しています。仮想サーバー1台から月間稼働率99.99%をSLAで保証しているほか、仮想サーバーを稼働させている物理サーバーに障害が発生した場合には、約5分以内を目安に別の物理サーバーへ切り替えて再起動する自動フェイルオーバー（HA）機能を標準で提供しています。
さらに、システムの重要度や求められる可用性に応じて、複数台のサーバーによる冗長化や複数ゾーン・複数リージョンを活用した構成を組み合わせることも可能です。詳細については、「可用性向上への取り組み」をご覧ください。
システムの初期導入コスト低減・運用負荷の軽減
システムを所有する形態からクラウドサービスを利用する形態へ移行したことで、初期導入コストの低減につながりました。また、ハードウェアの更新を意識することなく、必要なリソースを必要なときに利用できるようになり、運用負荷の軽減にもつながっています。
サステナビリティへの貢献
電力効率を考慮したデータセンターでシステムを運用することにより、消費電力やCO2排出量の削減にもつながっています。
さらに富士通は、2022年度にデータセンターでの運用に必要な全電力の100%再生可能エネルギー化を実現しており、環境への負荷軽減に、より一層貢献できるようになりました。
サステナビリティに関するより詳しい取り組みについては、「参画企業のGX実現に向けた取組」をご覧ください。
高い安全性と信頼性を満たす国産クラウドという選択肢
今回は、高いセキュリティとガバナンスが求められるシステムにおいて、国産クラウドが選択肢となる理由と、選定時に確認したいポイントについて解説しました。
クラウドサービスを選定する際には、「国産か海外製か」だけで判断するのではなく、
- データがどこに保管されるのか
- どの国・地域の法令や司法管轄の影響を受ける可能性があるか
- 公的なセキュリティ評価制度や第三者認証に対応しているか
- 自社が求める可用性やBCPの要件を満たせるか
といった観点から、自社の要件に適したサービスかを確認することが重要です。
富士通の国産クラウドサービス「FJcloud-V」は、データ主権や法規制への対応を重視した環境に加え、日本のセキュリティ評価制度・認証にも対応しており、高い安全性や信頼性が求められるシステムにも適したクラウドサービスです。
セキュリティやデータ主権、ガバナンスを重視してクラウドサービスを検討する際には、ぜひFJcloud-Vをご検討ください。
