クラウドセキュリティに焦点を当てる：デジタル化された世界で企業の機密データを保護するための戦略、アーキテクチャ、契約モデル

データは、現代のデジタル経済におけるツールであり、企業（民間部門）だけでなく国家（公共部門）にとっても「新たな金」とも言えるものです。今日のデジタル化された世界では、とどまるところを知らないほど膨大な数の新しいデータセットが生まれ、その多くがインターネット上に流出しています。 その中には、デジタルアイデンティティを構成する個人データも含まれています。企業にとって真の課題は、こうしたデータを慎重に選別し、何よりもまず、それらを適切に保存することにあります。本論文では、企業の視点から、クラウド上のデータおよびその処理について考察します。 さらに、本小論文では、自社のデータ処理のための強固な基盤を築くために、産業界がどのような契約形態やアーキテクチャを採用し、サイバー攻撃に対する適切なセキュリティ対策を講じているかについても明らかにする。

クラウドセキュリティというテーマに本格的に入る前に、まずはいわゆる「クラウドコンピューティング」の基本情報、その仕組み、およびクラウドの構成について理解しておく必要がある。 「クラウドコンピューティングとは、必要に応じていつでもどこからでも、ネットワークを介して、構成可能なコンピューターリソース（ネットワーク、サーバー、ストレージシステム、アプリケーション、サービスなど）の共有プールに手軽にアクセスできるデータ処理モデルです。 これらは、迅速かつ最小限の管理負担、あるいはサービスプロバイダーとのやり取りを最小限に抑えて提供される。クラウドは、3つの形態（Infrastructure as a Service（IaaS）、Platform as a Service（PaaS）、Software as a Service（SaaS））で利用することができる。 クラウドの種類は、提供形態（プライベートクラウド、コミュニティクラウド、パブリッククラウド、ハイブリッドクラウド）によって異なります。」 [1]

クラウドコンピューティングの分野では、クラウドプロバイダーがユーザーにクラウドサービスを提供する方法として、さまざまな提供形態が存在します。クラウドコンピューティングに関連する主なモデルは4つあります：

1. パブリッククラウド

パブリッククラウドでは、すべてのユーザーが、 サブスクリプション方式または従量課金制に基づき、ハードウェア（OS、CPU、メモリ）やソフトウェア（アプリケーションサーバー、データベース）などのコンピューティングリソースにアクセスできます 。 実際のユースケースとしては、ミッションクリティカルなアプリケーションの開発・テストから、ファイル共有や電子メールサービスといった非ミッションクリティカルなタスクまで多岐にわたります。

2. プライベートクラウド

プライベートクラウドは通常、単一の組織によって排他的に利用され、内部で管理されるか、外部のITサービスプロバイダーによって運用されます。プライベートクラウドは、導入や保守にかかる投資のため、パブリッククラウドよりもコストが高くなる場合が多いものの、組織が抱えるセキュリティやデータ保護に関する懸念に対してより効果的に対処できます。

3. ハイブリッドクラウド（物理データセンター、外部のプライベートクラウド、および／またはパブリッククラウドを組み合わせた形態）

ハイブリッドクラウドは、プライベートクラウドとパブリッククラウドの両方のインフラストラクチャを活用します。企業は、必要に応じてITインフラを迅速に拡張するためにこのモデルを選択します。例えば、オンライン小売業者は、繁忙期にパブリッククラウドのリソースを利用して、プライベートクラウドの容量を補完したり、負荷を分散させたりすることができます。

4. コミュニティクラウド

コミュニティクラウドは、コンピュータリソースを 共同で利用する 複数の組織を支援します。これには、特定の 研究分野で協力する 大学 や、郡内の警察署など、リソースを共有する公的機関などが 含まれます 。コミュニティクラウドへのアクセスは、そのコミュニティのメンバーに限定されています。

パブリッククラウドの場合、通常、エンドユーザーにとってコストは低く抑えられ、多額の投資も必要ありません。一方、プライベートクラウドは 投資 が必要ですが 、自社インフラの運用コストと比較すると、 基本的にコスト削減 につながります 。 また、プライベートクラウドは パブリッククラウドよりも高いセキュリティと コンプライアンスへの対応を保証します 。そのため、一部の組織では、ビジネスに不可欠なデータや機密性の高いデータ、アプリケーションにはプライベートクラウドを、アプリケーション開発、テスト環境、メールサービスなどの基本的なタスクにはパブリッククラウドを利用しています。[2]

ハイブリッドクラウドソリューションは、サイバー攻撃のリスクを軽減、あるいは分散させるために有効です。これは、パブリッククラウドのみを利用する場合と比較して、自社のセキュリティに対するより大きな制御を可能にします。 さらに、ハイブリッドクラウドインフラストラクチャでは、独自のセキュリティ基準を設定したり、 プライベートサーバー上のソフトウェアを カスタマイズして構成したりすることが可能です 。このような分散化により、システムの信頼性が向上し、システムの問題を適切に評価・分類できるようになります。

さらに、オンプレミスでサーバーを購入・保守する場合に比べ、コスト効率も高くなります。[3]

クラウドサービスアーキテクチャモデル

セキュリティ管理の強化から信頼性の向上に至るまで、ハイブリッドクラウドソリューションが持つこれらの利点を踏まえると、さまざまなクラウドサービスアーキテクチャを理解することが重要です。 これらのアーキテクチャ、すなわちInfrastructure as a Service（IaaS）、Platform as a Service（PaaS）、Software as a Service（SaaS）は、それぞれ異なるレベルのサービス提供を行い、コンプライアンスに関する責任の範囲も異なります。

1. インフラストラクチャ・アズ・ア・サービス（IaaS）

IaaSプロバイダーは、基本的なコンピューティング、ストレージ、ネットワークインフラストラクチャ、 および仮想化のためのハイパーバイザーを提供します。仮想インスタンスの作成と管理、オペレーティングシステムのインストール、アプリケーションやデータの提供、および全体的な設定については、ユーザーが責任を負います。 IaaSは、小規模企業や中小企業にとって魅力的な選択肢です。自社で運用しないクラウドインフラを簡単に利用できるため、ハードウェアを独自に購入するよりもコスト効率に優れた代替手段となります。

例：DigitalOcean、AWS、Azure、Google Compute Engine、Hetzner Cloud

2. Platform as a Service (PaaS)

PaaSプロバイダーは、オペレーティングシステムやミドルウェア（例：データベース）を追加することで、IaaSよりもアプリケーションスタックをさらに拡張します。ユーザーはアプリケーションの開発により集中できます。基盤となるインフラストラクチャの管理はプラットフォーム側が行います。

例：AWS Elastic Beanstalk、Google App Engine。

3. ソフトウェア・アズ・ア・サービス（SaaS）

SaaSプロバイダーは、完全なアプリケーションスタックを提供します。ユーザーはWebブラウザを介して、完全にホストされたアプリケーションにアクセスできます。ワークロードやITリソースの管理はSaaSプロバイダーが完全に管理しますが、ユーザーはアプリケーションによって生成されたデータについては明示的に管理権限を持ちます。

例：Salesforce、Dropbox、Google Workspace、aBusiness Suite[4]

契約法におけるクラウド

SaaS契約は、これまで立法者によって明示的に法的扱いを受けていません。現時点では、SaaS契約は、サービス契約、請負契約、賃貸借契約の要素を含む混合契約としてのみ法的に分類することができます。したがって、適用される法分野は、契約の各履行段階によって異なります。 SaaS契約の中心的な要素は、主に賃貸借法に属する。これは、ソフトウェアの提供が、賃貸借法における所有物の譲渡に最もよく類似しているためである。 ソフトウェアは賃貸借法上の「物」とはみなされないため、現時点では、SaaS契約は使用のための期間限定の譲渡を構成するという見解が主流である。これは、賃貸借法が追求する規定および目的と調和している。[5]

PaaS契約は、 最低限のサービス水準を定め、契約当事者双方の権利および義務を定義するサービスレベル契約（SLA）によって大きく特徴づけられる 。

PaaSサービスでは機密性の高いデータが処理されることが多いため、データ保護およびデータセキュリティは極めて重要な役割を果たす。 契約には 、個人データの保護に関する明確な 規定が含まれていなければならない。さらに、作成されたアプリケーションの知的財産権を誰が保有するかを契約で定めることは不可欠であり、通常、ユーザーはアプリケーションの所有権を保持し、プロバイダーはプラットフォームの所有権を保持することになる。[6]

まとめ

スタートアップ、ベンチャーキャピタル企業、中小企業、あるいは大企業を問わず、クラウドセキュリティはあらゆる企業にとって極めて重要です。

その際、企業としてどのクラウドプロバイダーと 提携するかだけでなく 、その際にどのような枠組みを設定するかも考慮する必要があります 。

結局のところ、セキュリティはクラウド技術のサービスプロバイダーだけの責任ではなく、企業の従業員もクラウドのセキュリティ面において同様に重要な役割を担っています。

従業員がセキュリティガイドラインや手順を適切に扱えるよう、必要なノウハウを確実に身につけさせるためには、定期的な研修や意識啓発に投資することが不可欠です。 しかし、クラウドの潜在能力を最大限に引き出すためには、企業は自社のシステムや外部パートナーのシステムの保守だけでなく、新たなIT人材の採用にも投資すべきです。 そうすることで、企業はシステムのセキュリティを確保し、ひいては顧客満足度を高め、長期的に企業の評判を向上させることができます。

外部のクラウドプロバイダーを選定する際の大きな課題は、かねてより 、海外のプロバイダーへの依存と、それらのプロバイダーが適用するデータ保護規制にある 。 企業は、データ保護方針の徹底的な検証、リスクを最小限に抑えるためのハイブリッドクラウドアプローチ、プロバイダーのセキュリティ対策や認証の評価、データ保護影響評価、定期的なモニタリングと監査、さらにはデータ漏洩への備えといった措置を通じて、この課題に対処しています。 戦略は企業の規模や業種によって異なりますが、いずれもデータ保護コンプライアンスを確保し、外部クラウドサービスの利用に伴う潜在的なリスクを最小限に抑えるという目標に向けたものです。

参考文献

クラウドコンピューティング
https://www.swissbanking.ch/de/themen/digitalisierung-innovation-cyber-security/cloud-computing

クラウド導入モデル (2014)
https://www.sciencedirect.com/topics/computer-science/cloud-deployment-model

クラウドを理解する ― パブリッククラウドとハイブリッドクラウドの違いをご存知ですか？ (2023)
https://www.speechlive.com/at/blog/die-cloud-verstehen-wissen-sie-was-eine-public-cloud-und-was-eine-hybride-cloud-ist

IaaSとは？定義と知っておくべきこと
https://bsh-ag.de/it-wissensdatenbank/iaas-infrastructure-as-a-service/

Platform as a Service (PaaS) (2022)
https://www.computerweekly.com/de/definition/Platform-as-a-Service-PaaS

SaaS契約を作成する際に注意すべき点 (2022)
https://www.top.legal/wissen/saas-vertraege

Platform-as-a-Service（PaaS）契約：ガイド（2023年）
https://www.anwalt.de/rechtstipps/platform-as-a-service-vertraege-paas-vertraege-ein-leitfaden-216904.html