今 世の中は「クラウド・コンピューティング」全盛の時代ですが、導入を検討している企業からは「安全性に問題はないの？」という疑問の声も聞かれます。
中でもパブリック・クラウドに関しては文字通り"雲"のように実態の把握が困難（現実には不可能）であるため、安全の確証を得るのは難しく、また従来のセキュリティポリシーにも合致しない事項が多数でてきます。
所在地すらも知らされていない海外で運用が行なわれ、契約したサービス会社とは日本語で問い合わせすることすら出来ない・・・ これでどうして「絶対安全」と言えるのか？ 導入企業の担当者が不安を抱くのは当然のことです。
しかし時代は確実にクラウドに移行しており、これに対応しないことは企業の競争力にすら悪影響を及ぼす恐れがあります。
こうした状況に経営者やシステムの担当者は、どう対応するべきでしょうか？
私は「中小企業はクラウド化を推進すべきである」と考えています。
堅牢なサーバルームやシステム管理者を抱えることができる大企業ならともかく、中小企業において高可用性の実現には限度があります。仮に冗長化やバックアップなどの対策を施したとしても、人的な要因を含め「何かしらの脆弱性」を残してしまう可能性は多分にあり得るからです。
こうした問題を考えれば、「より高度なセキュリティ要件を満たしたクラウド」を利用する方が安全と言えるのではないでしょうか？
勿論、クラウドに問題が無いわけではありません。
- 大規模な事故の発生により、システムやデータが失われるはしないか？
- トラブルで長時間システムが停止しないか？
- サービス会社の社員による情報流出の可能性は無いか？
- ハッキングなどによる情報漏えいの可能性は無いか？
- サービス会社による不正や、経営方針の変更（サービスの終了など）によって不利益を受ける可能性はないか？
何れも可能性は0ではありません。
しかし通常は、1.に関しては まず心配は無いと思います。
3.〜5.の関しては可能性はありますが、これらは自社で運用していても同様です。
一番の問題は 2.だと思います。これは十分に起こり得ることです。
既存のクラウド・サービスの多くが、99.9%のSLA（Service Level Agreement）を謳っていますが、これは「年間で平均８時間はシステムが停止する」と解釈することもできます。
平均で８時間ですから、状況によっては「復旧までに24時間かかる」事もあり得るということです。
サービス会社は「サービスが停止した時間分のサービス利用料の保障」はしてくれますが、「その間に発生した業務上の不利益に関する保障」はしてくれません。これらについては「サービスを選択した側の"自己責任"」ということになります。
以上のような特色を持つクラウド・コンピューティングと上手く向き合う方法は、
- 利用するサービスを十分に吟味する
- 事故を想定した対策を講じる
の２点であると考えます。
＜サービス会社の選定＞
「クラウド・コンピューティング」を謳うサービス会社は星の数ほどあります。
それぞれの会社が自社のサービスの安全性の高さを謳ってはいますが、それが本当に機能するかの確証はありません。と言って個別に調査することも現実には不可能です。
ならば「比較的 名の通ったサービス」を利用する方がリスクは小さいと考えることが出来ます。
特に重要な業務には（多少単価が高くても）評判の高い会社のサービスを利用した方が無難と言えます。
勿論「大きな会社が安全、小さい会社が危険」というわけではありません。その逆の可能性だって十分にあり得ると思いますが、サービスの選定基準として 粗悪なサービス篩（ふるい）にかける意味では有効な方法と言えます。
また利用するサービスのセキュリティ・ポリシーを確認することも重要です。
それらが本当に安全の証明となるのか？ 読み解くのは簡単ではありません。それでも「キチンと制定されていること」は大前提です。
中でも「第三者の監査機関によるセキュリティ 認定」の記載は要チェックです。
例として、「
Google Appsのセキュリティとプライバシーの記載」を紹介しますが、ここには「SAS70 Type II 認定」の旨が記載されています。
＜事故を想定した対策＞
１分１秒を争うようなミッション・クリティカルな業務や、顧客の極めて重要な情報を扱うようなものについて、クラウドの利用は時期尚早かと思います。
そうでないものでも、もし丸１日サービスが停止してしまうようなことがあれば、自社の不利益に留まらず、お客さまにも多大な迷惑をかける可能性があります。
こうした自体が もし発生した場合にどうするのか？ 事前準備があると無いのでは対応は大きく異なってきます。
「事故は起きない」という前提で運用するの選択肢の１つではあります。
しかし保険の意味で「個別にバックアップを取っておく」「システム停止時の代替策を講じる」といった対策は有効です。
何事もなければ無駄な労力ではありますが、障害対策とはそんなものです。
無駄と言えば無駄、しかし事業継続の観点からは重要なテーマの１つと言えます。
