特集クラウドセキュリティ＜１＞クラウドのセキュリティ課題 ―CSA及び諸説に基づく整理― 日本クラウドセキュリティアライアンス理事運営委員情報発信委員長合同会社鵤パートナーズ代表日本クラウドセキュリティアライアンス理事運営委員事務局長株式会社情報経済研究所代表取締役はじめにもろずみまさひろ諸角昌宏かつみつとむ勝見勉ている。クラウドコンピューティングは、ネットワーク上にあるコ CSAガイダンスは、「クラウドコンピューティングのセキュンピューティング資源の集積を、複数の利用者が各々独立しリティを保証するベストプラクティスの使用を推進し、クラて同時に必要な量と時間だけ使用する、利用のためのビジネウドコンピューティングを使用するに当たってのあらゆるコンスモデルであり、従来の所有を前提としたITの利活用の姿をピューティング環境を安全にするための教育を提供する」と根本から変えるコンセプトとして注目されている。クラウドいうCSAのミッションをガイダンスという形で具体化したもコンピューティングの急速な浸透の結果、企業が情報システのになる。これは、クラウド利用者、クラウドプロバイダ双ムの全てをクラウドに移行する事例も急速に増えてきている。方が、クラウドのセキュリティに関する懸念点を払拭し、推一方、「クラウドを利用するに当たっての不安は？」という奨される利用ができるようにガイドする内容になっている。アンケートが様々なところで実施されているが、ほとんど全ての回答で、「セキュリティ」がトップになっている。 CSAガイダンスは、この目的を達成するために3部14章（ドメイン）に整理して解説する構成でできている。この項では、このような状況を受けて、クラウドのセキュ第1部の「クラウドのアーキテクチャ」では、基本となるクリティ課題について専門的に取り組んでいるクラウドセキュラウドコンピューティングのアーキテクチャフレームワークをリティアライアンス（CSA）から出されているレポートを中定義している。クラウドセキュリティを説明するためには、ま心に、その他の国際団体や機関のレポートも概観しつつ、クず、共通の言葉による一貫性のある検討を行うことが必要でラウドのセキュリティ課題の概要について説明する。ある。CSAガイダンスでは、National Institute of Standards and Technology（NIST、米国国立標準技術研究所）が公開しているNIST Working Definition of Cloud Computing 1．CSAガイダンス/CCMの紹介・解説 CSAは、アメリカ合衆国で法人登記された非営利活動法（NIST文書番号 SP800-145）をベースにしてクラウドコンピューティングの定義づけを行っている。人で、世界的に活動を展開している。その活動は、アメリカ第2部の「クラウドのガバナンス」では、コンピューティンを中心に非常に活発で、以下に紹介するCSAガイダンスやグを行う設備の所有者と、その機能を利用してデータを加 Cloud Control Matrix（CCM）をはじめとして、Mobileや工・処理したり保存したりする利用者が別の主体になること Big Dataといった応用領域まで20を超えるワーキンググルーに伴う、法的・制度的・商務的諸側面の課題を展開していプが活動し、レポートを発表するなどの貢献を行っている。る。クラウドコンピューティングにおいては、クラウドの内部ここでは、CSAの活動の中核を成し、また主要な出版物はプロバイダが管理しているため、利用者は契約でしか対応（output）となっているCSAガイダンスとCCMについて、そすることができない。クラウドのサービスモデルの違い（IaaS、 PaaS、SaaS）により（図1参照）、契約における双方のガバの目的及び概要を説明する。ナンス責任の範囲は異なるが、何らかの形の契約が必要になる。このため、法的・制度的・商務的諸側面にどのように（1）CSAガイダンス CSAガイダンスは、正式には「Security Guidance for Critical Areas of Focus in Cloud Computing」というタイ 1 対応していくかを説明している。第3部「クラウドの運用」では、コンピューティング、デートルの資料で、CSAのWebサイトから無償で公開されている。タ処理という「機能」を動かす部分を、他者の行為に依存その日本語翻訳版は「クラウドコンピューティングのためのすることに伴う実務上の懸念事項、障害可能性について整セキュリティガイダンス」としてCSAジャパンより公開され理し解説している。具体的課題としては、クラウド上にある 2 12 ITUジャーナル Vol. 45 No. 1（2015, 1） 3 SaaS API RFP/契約に組み込みアプリケーションデータラウドプロバイダのリスク対応が利用に当たっての要件を満プレゼン基板プレゼン様式メタデータコンテンツインテグレーション＆ミドルウェア API アブストラクション翻訳版5が、CSAジャパンより公開されている。 CCMは、CSAガイダンスの各ドメインで展開する課題に PaaS 結び付いた詳細なセキュリティ管理策（Controls）の体系をインテグレーション＆ミドルウェア構成している。また、各項目は、標準規格や規制（ISO API コアコネクティビティ& デリバリたしているかどうかを判断することもできる。CCMの日本語クラウドサービス事業者がスタックの下位レベルの提供にとどまればとどまるほど、利用者がインプリメンテーションやマネジメントに戦術的に取り組み、セキュリティを自ら確保しなければならない IaaS 27001/27002、ISACA COBIT、PCI、NIST等）にマップさコアコネクティビティ& デリバリコアコネクティビティ& デリバリれているので、これを参照することでクラウドプロバイダのアブストラクシユーザがョンアブストラクション実装ハードウェアファシリティハードウェアハードウェアコンプライアンス要件と企業の内部統制とを結び付けることファシリティファシリティができる。また、CCMは、CSAが提供するSTAR認証（クラ（『クラウドコンピューティングのためのセキュリティガイダンスV3.0』を元に作成）ウドサービスプロバイダのセキュリティに関する実践の評価図１．サービスレベルごとのセキュリティ対策と情報公開の枠組み）の評価ツールとなっており、認証、監査等に幅広く使用されている。データをどのように保護していくか、アプリケーションの移植性・相互運用性にどのように対応していくか、また、クラ CCMは、図2のような構成イメージとなっている。クラウウドに対して暗号化、ID管理、アクセス制御などをどのようドサービスプロバイダは、CCMに記述された各管理策のCon- に行っていくかを説明している。 trol Specification（コントロールの内容）に従って、対応状以上のように、CSAガイダンスでは、クラウド利用者に対況を確認する。また、その結果をSTAR認証に登録することするクラウドの利用方法のガイドラインを示すとともに、クで利用者がその情報を利用可能になる。これにより、業界にラウドプロバイダが透明性を高めて利用者から信頼されるサおける透明性を促進し、特定のプロバイダのセキュリティプービスを提供できるようなガイダンスを提供している。ラクティスを、利用者に目に見える形で提供できるようになる。（2）Cloud Control Matrix（CCM） 4 CCMは、クラウドセキュリティとして必要となる基本的な 2．各国・各機関のレポートや取組の概観/概説内容をリストアップし、それを使用してクラウドプロバイダが自社のサービスのセキュリティを自己評価できるように作クラウドコンピューティングは、そのコンセプトに内在すられている。また、クラウド利用者がこれを見ることで、クるマルチテナント性や、プロセシングおよびデータストレージ CLOUD CONTROLS MATRIX VERSION 3.0 Control Domain CCM V3.0 Cont rol ID コントロールの内容 Control Specification 日本語訳ドメインごとの色分け Relevance X X X Tenant / Consumer ガバナンス項目 IaaS X Service Provider App Data X PaaS Storage X Delivery Relationshi Model SaaS Compute Phys Network アーキテクチャの適用レイヤ X Corp Gov Relevance Application AIS- Applications and interfaces (APIs) shall be アプリケーション及びインタフェース 01 designed, developed, and deployed in & Interface （API）は、業界の認める標準（例え accordance with industry acceptable Security ばWebアプリケーションの場合、 Application standards (e.g., OWASP for web OWASPなど）に従って、設計、開発及 applications) and adhere to applicable legal, び導入しなければならない。また、 Security これ statutory, or regulatory compliance らは該当する法的及び規制上の順守義務アプリケーショ obligations. 実施対象に従わなければならない。ンとインター者フェースセキュリティ Architectural Supplier X サービスモデルとの対応 Scope Applicability AICPA BITS BITS BSI Trust Shared Shared AICPA CCM COBIT Service Assessments Assessments Germ TS Map V1.X 4.1 Criteria (SOC AUP v5.0 SIG v6.0 any 2SM Report) S3.10.0 S3.10.0 I.4 (S3.10.0) Design, acquisition, implementation, configuration, modification, and management of G.16.3, I.3 SA-04 AI2.4 他の基準類へのマッピング図２．CCMの構成イメージ ITUジャーナル Vol. 45 No. 1（2015, 1） 13 特集クラウドセキュリティ＜１＞の物理的場所が特定されない点を中心に、様々な論議がな（2）カリフォルニア州立大学バークレイ校（2009年2月）されてきた。議論が最も活発だったのは2009年であり、おおクラウドのセキュリティについてのレポートの主なもので次むね2011年頃までに、クラウドのセキュリティに関する論理に発表されたのがカリフォルニア州立大学バークレイ校的分析は一巡し、新たな指摘が出てくるという状況は収束し（ University of California, Berkeley）の “ Above the た。その後は実際上の問題に関心が移り、実用上リスクより Clouds：A Berkeley View of Cloud Computing”と題するもメリットが大きいという経験値に基づいて利用が広がってレポート8であった。これは単にセキュリティだけでなくクラきていると考えられる。ウドについての総合的な論評で、コンピューティング技術の 2009年を中心に発表された主なレポートやガイダンスをまとめると、表1のようになる。一つの核である同校の見解をまとめたものとして、当時としての意味は大きい。同レポートは、クラウドにおける「障害」として、次の10 （1）ガートナーレポート（2008年6月）項目を指摘している。世界的に著名で信頼の高いアメリカの調査会社であるガー ①サービスの可用性 ②データのロックイン ③データのトナー社は、2008年6月という比較的早い時期にレポートを機密性と監査可能性 ④データ転送のボトルネック ⑤性発表した。“ Assessing the Security Risks of Cloud 能の事前予測が不可能 ⑥ストレージの拡張性 ⑦大規模 Computing” （「クラウドコンピューティングのセキュリティ分散システムに潜むバグ ⑧迅速に拡張できるか ⑨風評責リスク評価」）と題するこのレポートでは、以下の九つの点を任の帰属 ⑩ソフトウェアライセンス 6 7 ここで「ロックイン」問題（特定の事業者のサービスを利セキュリティリスクとして挙げている。 ①特権ユーザによるアクセス ②法的要請への対応 ③ 用すると、そこから他への移行が事実上できなくなる問題）データの保管場所 ④データの隔離 ⑤システムの可用性が指摘された。また「風評責任の帰属」やソフトウェアライ ⑥災害対策・復旧 ⑦調査への協力 ⑧事業者の存続性センス問題が指摘されたのも他のレポートにはあまり見られ ⑨リスク軽減へのサポートない特徴であると言える。クラウドが話題として広まりつつあるちょうどその時に、技術面、事業者のガバナンスの問題について鋭く言及するとともに、当事者のコントロールを超える法的問題をも指摘し（3）クラウドセキュリティアライアンス（2009年4月）クラウドセキュリティアライアンス（CSA）は、結成から約半年後の2009年4月、サンフランシスコで開催されたRSA たレポートとして注目された。 Conference 2009において、 “Security Guidance for Critical 表1．各国・各機関の主なクラウドセキュリティレポート/ガイダンス発行主体タイトル時期所在調査への協力、リスク軽減へのサポートなど事業者責任への言及 2008年 http://www.gartner.com/Disp layDocument?id=685308 6月 Above the Clouds: A UC Berkeley View of Cloud Berkeley Computing ソフトウェアライセンス、風評責任などの問題を提起 2009年 2月 Cloud Security Guidance for Security Critical Areas of Focus on Alliance Cloud Computing 総合的かつ体系的展開と詳細な項目を網羅して注目される。世界の参照指針の一つに https://cloudsecurityalliance. org/download/security‐ 2009年 guidance‐for‐critical‐areas‐ 4月 of‐focus‐in‐cloud‐ computing‐v1‐0/ 連邦政府での利用促進を視野に利点と課題の整理。クラウドの定義の実質標準へ http://www.slideshare.net/cr ossgov/presentation‐on‐ 2009年 effectively‐and‐securely‐ 10月 using‐the‐cloud‐computing‐ paradigm‐v26‐3310272 Gartner Assessing the Security Risks of Cloud Computing NIST Effectively and Securely Using the Cloud Computing Paradigm ENISA Cloud Computing: Benefits, リスク評価手法によるリスクの risks and 数値化と重要度区分。クラウド recommendations for 固有要素かの評価も加味 information security 経済産業クラウドサービス利用のための情報セキュリティマネジメントガイド省ライン 14 主たる内容／特徴 ITUジャーナル Vol. 45 No. 1（2015, 1） 2009年 11月 http://www.eecs.berkeley.ed u/Pubs/TechRpts/2009/ EECS‐2009‐28.pdf http://www.enisa.europa.eu/ act/rm/files/deliverables/ cloud‐computing‐risk‐ assessment http://www.meti.go.jp/press/ ISO/IEC27002の管理策にクラ 2011年 2011/04/20110401001/20110 ウドに特有の要素を加筆した 4月 401001.html 管理策体系 Areas of Focus on Cloud Computing”を発表し、一躍注目 risks and recommendations for information security”11をを集めた。これはCSA結成に参加したセキュリティのプロた発表した12。ちがボランティアベースで分担執筆したもので、内容は上述のとおりである。 ENISAのレポートの特徴は、リスク分析のアプローチを取り入れたことである。クラウドコンピューティングにおいて起この中で、ガートナーやバークレイが複数の項目で取り上こり得るセキュリティ脅威につき、その発生の確率と発生しげているクラウドコンピューティングのアーキテクチャに内在たときのインパクトの組合せでリスクの強度を評価している。する諸課題（拡張性、分散システム、データの保管等）をひまたクラウドコンピューティングならではの要素か、通常のとまとめにアーキテクチャの課題とし、クラウドサービス事 ITでも起こり得るのかの関連性についても言及しているとこ業者のガバナンス課題や運用上の課題を広く取り上げているろがユニークである。リスク要素はこの種のレポートとして点が注目に値する。最も多い35項目を挙げているが、クラウドに潜在する脆弱性ファクターを53項目挙げてリスクとの関連を示し、また影響を受ける資産として23項目を挙げてリスクごとに紐付けてい（4）米国国立標準技術研究所（2009年10月）米国商務省の管轄下で、米国連邦政府のIT並びに情報セる点もユニークであり注目に値する。キュリティの標準作りの責任を負っている米国国立標準技術研究所（National Institute of Standards and Technology、（6）経済産業省（2011年4月） NIST）は、連邦政府によるクラウドコンピューティングの活経済産業省は2009年度に「クラウド・コンピューティング用に向けて、クラウドのメリット・デメリットやケーススタと日本の競争力に関する研究会」を設置してその活用についディなどの研究を精力的に行っていたが、2009年5月の公開て研究を進めるとともに、セキュリティ面の課題検討にも着シンポジウムでパワーポイントによる報告を行い、クラウド手し、2011年4月に「クラウドサービス利用のための情報セコンピューティングのセキュリティ課題についても指摘を行キュリティマネジメントガイドライン」を発表した。その後、った（その後10月に改訂版発表）。公式文書ではないが、多 2013年3月にはガイドラインの改訂版と活用ガイドが公表さくの研究者が参照する体系的レポートである。れている13。その際取り上げられた課題の特徴として、暗号化の問題、これはクラウドの利用が基本的に外部委託の関係になる中ハイパーバイザの問題、マルチテナントと隔離の問題等、技で、セキュリティ管理上委託先管理をどのように実現するか術的課題も多く展開すると同時に、「ハッカーにとっての魅という問題意識の下に、ベンダ、ユーザ共通の評価尺度とし力」、「大規模停電のおそれ」、「災害復旧計画」等、外部要て機能することを目指してまとめられたものである。因に起因するリスク要素も幅広く取り上げている。組立てとしては、ISO/IEC27002（JISQ27002）の管理策なお、このプレゼンテーションをベースとする議論と研究を基本に、管理策ごとにクラウドに固有の付加すべき要素がは、その後継続的に展開され、2011年1月にSP800-144 あればそれを利用者、事業者各々が留意すべき事項として記 “ Guidelines on Security and Privacy in Public Cloud 述するという形を取っている。これにより、セキュリティマ Computing”のドラフトとして正式に発表された。同時にネジメントシステムを展開している主体がクラウドの活用をクラウドコンピューティングの定義文書も正式に策定され、スムーズに、セキュリティを犠牲にすることなく実現するこ SP800-145として公表された。これが世界的にクラウドの標とが図られている。なお、このガイドラインを基に、クラウ準的な定義として参照されていることは、上述のとおりであドのマネジメントシステムとして国際標準化することが日本る。から提案され、現在ISO/IECのJTC1において標準化作業が 9 進められている。（5）欧州ネットワーク情報セキュリティ庁（2009年11月）欧州連合（EU）所管下の情報セキュリティに関する研究組織である欧州ネットワーク情報セキュリティ庁10（European Network and Information Security Agency、ENISA） 3．クラウドのメリット・デメリットの要点整理クラウドのメリット・デメリットを考えるには、その基本は、2009年11月に、クラウドコンピューティングのセキュリとなるクラウドコンピューティングのアーキテクチャフレームティ課題に関するレポート“Cloud Computing：Benefits, ワークから考える必要がある。先にも述べたように、CSAで ITUジャーナル Vol. 45 No. 1（2015, 1） 15 特集クラウドセキュリティ＜１＞ 3）リソースプーリングはNISTの定義を用いてクラウドコンピューティングの定義づけを行っている（図3参照）。この中で、五つの基本特性が定物理的なリソース（ストレージ、プロセシング、メ義されており、これがクラウドの基本的なメリットというこモリ、ネットワーク回線容量など）、仮想化リソースとができる。（仮想マシン）をダイナミックに割り当てることがで以下、この五つの特性について簡単に記述していく。き、かつ、利用者の要求に基づいて再割当てするこ 1）オンデマンドセルフサービスとができる。 4）迅速な弾力性サーバ、ネットワーク、ストレージなどのリソースを、サービスプロバイダとの人的なやり取りなしに、スケールアウト、スケールインを迅速かつ弾力性独自に割り当てることができる。を持って行うことができる。場合によっては、これを 2）幅広いネットワークアクセス自動的に行うことができる。これにより、必要な時ネットワークを通して全ての機能が使用できるとに必要な量だけ購入するということができる。 5）測定可能なサービスともに、シンクライアント、シッククライアントなど様々な機器から標準的なメカニズムでアクセスするリソース（ストレージ、プロセシング、帯域幅、アことができる。クティブなユーザアカウントなど）の使用をモニタリング、コントロール、レポートすることができる。ま幅広いネットワークアクセス迅速な弾力性測定可能なサービスオンデマンド・セルフサービスた、これらの状況をプロバイダと利用者の間で透明基本特性性を持って共有することができる。リソース・プーリングサービスモデル SaaS （Software as a Service） PaaS （Platform as a Service） IaaS （Infrastructure as a Service）クラウドのデメリットについては、独立行政法人情報処理推進機構（IPA）が公開している「クラウドコンピューティ展開モデルパブリックプライベートハイブリッドング社会の基盤に関する研究会報告書」14で詳細に検討さコミュニティれ、図4の形で様々な課題が整理されている。（『クラウドコンピューティングのためのセキュリティガイダンスV3.0』を元に作成）ここでは、これらの課題の詳細には触れないが、クラウド図３．NISTのクラウドサービスモデル技術的側面制度面・ビジネス（取引）面及びクラウドの利活用システム情報セキュリティデータセンタの管理・運用アーキテクチャ自体に関わるセキュリティ − 仮想化環境 − ハイパーバイザー − 大規模分散システム（グリッド） − プロセス間の隔離データセンター施設のセキュリティ − 立地、自然災害、ユーティリティ確保 − 物理的アクセス制御、モニタリングクラウド−ユーザ間通信のセキュリティ − 通信路の信頼性、通信品質確保 − 通信の秘匿性・セキュリティデータストレージのセキュリティ − ストレージの物理的場所（災害対応、バックアップ、地政学的リスク） − データ相互間の隔離情報のライフサイクル管理運用の管理 − オペレータのアクセス管理 − システム特権管理 − 不正アクセス対策 − インシデント対応 − パッチ・脆弱性・ウイルス対策ソフト管理 − アプリケーション管理情報のライフサイクル管理暗号と暗号鍵管理暗号化ソリューション：通信、データ、操作利用端末のセキュリティユーザ認証とアクセス管理の仕組み、モニタリング事業継続管理コンプライアンスハードウェアの信頼性・冗長性クラウド事業者の存続性災害復旧計画と災害対応クラウド事業者の経営とガバナンスシステム及びサービスの可用性・信頼性クラウド事業者のBCP 法制度的要請への対応 − 内部統制 − 個人情報保護法 −ＦＩＳＭＡ等監査可能性と対応（ユーザ、第三者、行政･司法当局）デジタル･フォレンジック対応データの保管場所と立地国の法制度・プライバシー法制の影響社員の忠実義務・善管注意義務 SLA標準／ガイドラインユーザビリティデータ及びアプリケーションのポータビリティ／ロックインサービスレベルの保証 − 処理能力・拡張性 − ストレージ要領・拡張性相互運用性と標準化（クラウド−クラウド間、クラウド−ユーザ環境間）ネットワークトラブル･データ転送のボトルネック図４．クラウドコンピューティングのセキュリティ課題 16 ITUジャーナル Vol. 45 No. 1（2015, 1） 14 のデメリットとしては、利用者のガバナンスが効かない状況在する場合には、利用者としてどのような対策を取で、どのようにセキュリティ対策を取っていくかということるかを決める必要がある。にまとめられる。企業の内部統制のクラウドにおける担保は、クラウドのセキュリティ上のデメリットに対処するために契約に基づく信頼に完全に依存することになる。通常、利用は、まず、誰がどこまで責任を持つかという責任の明確化が者は、交渉によって契約内容の修正・追加等を行い、自社重要になる。この責任範囲に基づき、必要な機能の作り込のポリシーとの連携を取っていくが、ほとんどのクラウドプみを行い、契約上明確にしなければならない内容についてプロバイダは交渉に応じることはない。そのため、利用するクロバイダと協議し、最終的に残存するリスクについての対応ラウドの適性評価をクラウドプロバイダのSLAや提供されてを検討するということが必要になる。いる情報をベースに判断することになる。クラウドのセキュリティ対策は、NISTのクラウドモデルで以上、CSAのレポートを中心に、クラウドコンピューティ定義しているサービスモデルごとに異なってくる。SaaS、ングにおけるセキュリティ課題の概要を見てきた。以下の記 PaaS、IaaSの順に利用者が行わなければならないセキュリテ事では、技術的課題、法的課題など個別の課題について簡ィの責任が増えることになる。SaaSにおいては、利用者が行単に解説するとともに、社会インフラとして定着しつつあるうセキュリティ対策はあまりなく、契約で対応していくことクラウドの社会的課題についても検討を行う。になる。反面、IaaSでは、利用者自身が作り込まなければならないセキュリティ対策と責任が多くなる。これに基づいて、それぞれのサービスモデルでのデメリットを記述すると以下のようになる。注 1 ance/ 2 1）IaaS 基本的には利用者が何でもできるため、サーバやアプリケーションのセキュリティ対策及び責任を全て利用者が持つことになる。対策の柔軟性は高くなるが、開発等のコストが増えることになる。ダが実施するので、利用者のセキュリティ対策は簡単になる。しかしながら、プロバイダが提供するAPI を利用することになるため、ベンダロックインの問題が生じる可能性がある。また、提供されるプラットフォームは、基本的にマルチテナントになるため、区画化や隔離等について、プロバイダに確認する必要がある。 3）SaaS セキュリティに関して、利用者が独自にできることはほとんどない。従って、直接セキュリティ対策にかかるコストは低くなる。しかしながら、プロバイ http://www.cloudsecurityalliance.jp/j-docs/csaguide. v3.0.1_J.pdf 3 正式名称「一般社団法人日本クラウドセキュリティアライアンス」http://www.cloudsecurityalliance.jp/ 4 https://cloudsecurityalliance.org/research/ccm/ 5 http://www.cloudsecurityalliance.jp/ccm_wg.html 6 Gartner, Inc. http://www.gartner.com/technology/home. 2）PaaS クラウドのインフラのセキュリティ対策はプロバイ https://cloudsecurityalliance.org/research/security-guid- jsp 7 http://www.gartner.com/DisplayDocument?id=685308 8 http://www.eecs.berkeley.edu/Pubs/TechRpts/2009/ EECS-2009-28.pdf 9 http://csrc.nist.gov/publications/nistpubs/800-144/ S P 8 0 0 - 1 4 4 . p d f 、邦訳 h t t p : / / w w w . i p a . g o . j p / f i l e s / 000025365.pdf 10 http://www.enisa.europa.eu/ 11 http://www.enisa.europa.eu/act/rm/files/deliverables/ cloud-computing-risk-assessment 12 同レポートについては、独立行政法人情報処理推進機構が日本語訳を発表している。http://www.ipa.go.jp/ about/press/20101025_2.html 13 http://www.meti.go.jp/press/2013/03/20140314004/ 20140314004.html 14 IPA「クラウドコンピューティング社会の基盤に関するダのセキュリティ対策について、契約やSLAに基づ研究会報告書」http://www.ipa.go.jp/about/press/ いて利用者のセキュリティポリシー上問題ないかど 20100324.html うかを確認する必要がある。また、残存リスクが存 ITUジャーナル Vol. 45 No. 1（2015, 1） 17