◆ソニー事件、「クラウド」も“風評被害”移行見直しも／ウィキリークスより怖いモバイルとクラウド

　先日、うちのパソコンの外付けのデータ機器でトラブルがあった。
　昨日、それまで機器の「４倍の容量」の新しい機器が届いて、設定後、データのコピーを始めた。
　機器が自動でコピー作業しているまま寝た。
　・・・一晩たって、今朝のソフトの表示から推測すると、まだ３割ほど済んだ程度。

　今回の新しい機器では、日常作業したことの「データ保存」と同時にコピーが作成される「ミラーリング」機能が働く。
　４つのハードディスクのうち２つが壊れてもデータは大丈夫だという。
　　　◆パソコン／ハードディスクのトラブル発生／LAN接続ハードディスク

　さらに、古い機器も生かして、(のちほど)定期的に新しい機器のデータをコピーする設定にしてもらう。
　ダブルというよりトリプルで保護。

　これで、データが消滅するという事態はほぼ回避されるだろう。
　データが消滅する確率は”ゼロ”ではないにしても、限りなくゼロに近い。

　ともかく、新機器への今のデータのコピーが済んだら、私とつれあいの２台のそれぞれのパソコンのＯＳ(Ｗindows)のシステムごと、バックアップしよう。

　なぜなら、私のパソコンの内蔵ハードディスクは昨年１２月に４年目で壊れて"システムの復活"に苦しんだ経験があり、一部のデータは復元出来ていないし、機能の低下したソフトもあるから。
　それと、つれあいのパソコンは５年以上なので、ＯＳの入っている内蔵ハードディスクが壊れる危険は高いから。
　しかも、うちの場合、パソコンの利用時間、利用度はきわめて多いからなおさら。

　一応、１月と３月に今回の外付け・LAN接続ハードディスクにはＯＳごとバックアップしたけど、もっと頻繁にコピーしておくよう”ニガイ教訓を受けた”。

　ところで、「クラウド」といってインターネットを通じて「外部」にデータ保存することが世界的に進められている。
　「クラウドサービスとは、離れた場所にあるデータセンターに設置されたコンピュータシステムにWeb経由でアクセスして利用できるというもの。」(下記、ロイター記事)

　しかし、そのことのセキュリティ上の問題を指摘する専門家もいる。
　先のソニーのデータ流出事件
　　　　◆天下の”ソニー”の失敗／「わかっていて更新できなかったのではなく、脆弱性に対処していなかった」
　の経験からも、「クラウド」を提供する会社自体への不安や、セキュリティ上の不備などを懸念する声も出ている。

　とりあえずは、外部に頼るよりは自衛するしかない。
人気ブログランキング→→←←ワン・クリック１０点
５位あたり
●ソニー事件、「クラウド」も“風評被害”　移行計画見直す企業も
　　　　　　itmedia　2011年05月10日 15時14分 更新
　「クラウドの魔法をこれほどまでに信頼すべきではない」──大量の個人情報が流出したソニー事件ではクラウドコンピューティング業界もある種の被害を受けている。（ロイター）

　ソニーの1億人以上の顧客の個人情報が流出した問題には、どうやらほかにも被害者がいるようだ。それはクラウドコンピューティング業界だ。

　企業の中には、クラウドサービスへの移行計画を見直すところが出てきているという。クラウドサービスとは、離れた場所にあるデータセンターに設置されたコンピュータシステムにWeb経由でアクセスして利用できるというもの。

　クラウドコンピューティング関連企業の株価はこの1年、最優良銘柄として注目を集めていた。だがソニーに対するサイバー攻撃やAmazon.comのクラウドコンピューティングセンターにおける大規模障害を受け、企業の中には、オペレーションをクラウドに移行させる計画を見直すところも出始めている。

　「どの企業も安全ではない。ソニーの問題は氷山の一角にすぎない」とダートマス大学のエリック・ジョンソン教授は指摘する。同教授は大手企業にIT戦略のアドバイスを行っている。

　4月26日にソニーの個人情報流出が明らかになって以来、クラウドコンピューティング関連企業の株価動向は軒並み、市場平均を下回っている。

　オンライン配信ソフトウェアを提供するSalesforce.comの株価は3％下落し、クラウド構築用ソフトウェアを販売するVMwareの株価は2％下落している。一方で、S&P500株式指標は3.3％上昇している。

　デジタルセキュリティの専門家によると、投資家も企業も一般ユーザーもクラウドを信頼しすぎてきたという。

　「クラウドの魔法をこれほどまでに信頼すべきではない。そんなに簡単な話ではない。Facebookのようなものだ。そういうところにこうした機密情報を載せればどうなるか？　皆が見るだろう」とデータセキュリティ会社Axis Technologyのマイク・ローガン氏は指摘する。

　「これまでクラウドコンピューティング企業は顧客に対し、自分たちの情報は安全であるとうまく信じ込ませてきた。実際にはそうではないかもしれないのに」と指摘するのはGartnerのクラウドセキュリティ担当アナリスト、ジェイ・ハイザー氏だ。

　「自社の事業にとって何か重要なことを行っているのなら、不測の事態に備えておく必要がある。クラウドコンピューティング企業のマーケティングメッセージにのせられ、これまで人々はそうした対策の必要性から目をそむけてきた」と同氏は言う。

　一般ユーザーはまずシステムのセキュリティを調べるということもせずにクラウドを信頼し、メールから信用報告、納税申告に至るさまざまなサービスにクラウドを使用している。

　「オンラインの納税申告など、安全と思われているサービスであっても、セキュリティが侵害されないとは限らない」と情報システムを専門とするサンディエゴ州立大学のマリー・ジェネックス教授は指摘する。

　またConsumer Reports誌の電子機器担当編集者、ジェフ・フォックス氏は次のように語っている。「一般ユーザーはソニーのような大企業であればデータをしっかり保護してくれるものと思い込んでいる」

　「ソニーのような評判の良い一流企業であれば、パッチをあてた最新の状態のソフトウェアを適切なファイアウォールとともに動かしているだろうと皆が思っていたのだろう。そのソニーが実際にはそうしてなかったのだから、恐らく同じような大手企業はほかにもいるのだろう」とさらに同氏。

クラウドサービスはまだ新しいビジネスであるため、データの保存や保護の方法については基準やベストプラクティスがほとんど確立していない。

　「サービスの運営方法について政府や規制当局からの指示は何もない」とAmerican Internet Services（AIS）のセキュリティコンプライアンス担当ディレクター、ダン・ツァイラー氏は言う。

　Mintz Levin法律事務所のプライバシー担当弁護士、シンシア・ラローズ氏は次のように指摘する。「今のところ、ほとんどの企業ではサービス障害やセキュリティ侵害に対する備えができていない」

　同氏によると、ソニーの情報流出問題とAmazon.comの大規模障害を受けて、そうした状況も変化する見通しという。Amazon.comの障害では、一部の顧客のデータが失われている。

　実際、ラローズ氏によると、医療や金融サービス業界のほか、多くの知的財産を所有する企業などは、サイバー窃盗への備えを盛り込んだ特別な保険プランを求めるようになっているという。

　「こうしたクラウドサービスを保険でカバーしてもらおうという動きが企業の間で広がっている」と同氏。

　クラウドサービスの提供企業であるAbnologyのCIO、フォード・ウィンスロー氏によると、既に一部のクラウドプロバイダーは顧客から、サービスの中断やセキュリティ問題をめぐりクラウドプロバイダーに金銭的な罰則を設けた新規契約の交渉を求められているという。

　クラウドの早期採用顧客の最初の契約が3年間の契約満了を迎えつつあるなか、顧客企業は新たに性能の向上や災害時の補償を求めるようになってきているということのようだ。

●ウィキリークスより怖いモバイルとクラウド
情報漏洩を許さないために必ず守りたい4つの原則
　　　　　　CIO Online 　2011/05/06
　多くの企業トップはウィキリークスに戦々恐々としているが、そんな彼らが気軽に使っているモバイル機器やクラウド・コンピューティングこそが、CIOにとっては企業の機密保持を脅かす本当の脅威なのだ。

キム・S・ナッシュ ●
text by Kim S. Nash“持っているとは思っていなかったもの”を守るのは至難の業

　CIOがクラウドへのデータ移行を押し進め、従業員が個人や職業に関する情報をソーシャル・ネットワーキング・サイトにどんどん投稿するようになってきた。一方、ウィキリークスはスイスの金融機関の秘密口座情報を公開すると取り沙汰されており、また米国の大手銀行の内部文書もウィキリークスによって暴露されるかもしれないという噂もあることから、気が付けばCIOは、セキュリティ関連の内部規定を見直しつつ、CEOからの質疑に応えなければならない状況に陥っている。

　「それはもう質問攻めだ」と、スリニ・チェルクリ氏は語る。チェルクリ氏は年商12億ドルの海運会社、米国マトソン・ナビゲーションのITオペレーション担当シニア・ディレクターである。同氏はいまだにすべての質問に回答していないと認めている。CEOはウィキリークスにナーバスになる一方で、自分の仕事を新品でピカピカの個人用スマートフォンやタブレットPCで行いたいと思っている。そちらの方が大きな脅威なのだがと、チェルクリ氏は指摘する。

　これにはアクセンチュアのCIO、フランク・モドルソン氏も同意見だ。どんなテクノロジーや指針も、情報漏洩者を確実に防ぐことはできないと語る。

　「ウィキリークスはテクノロジーの問題というより、むしろ人事や法務の問題だ。会社から信頼されていた人物が、想定外の相手と情報を共有したのである」（モドルソン氏）

　コンシューマ機器の業務上の使用を禁止しても、従業員の個人使用を止めることは難しく、かえって大きなリスクを生むと同氏は指摘する。

　「従業員が自分で持っていると意識していない物（例えばコンシューマ機器にダウンロードされたファイル）を保護するのが最も難しい」（モドルソン氏）

　内部の脅威は常に存在する。そのうちCIOが緩和すべき差し迫ったリスクは、コンシューマ・テクノロジーとクラウド・コンピューティングに関連するものだ。本稿ではその4つの対策を紹介する。

スマートフォンの利用規定を設ける
　従業員がスマートフォンを紛失した場合、CIOにとって心配なのは内部に保存されていた企業データである。　所在不明のスマートフォンから、個人情報を残して、業務関連情報だけをリモート削除できるツールがないなか、マトソンでは厳しいポリシーを適用せざるを得ず、従業員が携帯電話を紛失した場合はすべての内部データをリモート削除しなければならない。
　同時にチェルクリ氏は従業員に対して、個人が所有するデバイスに企業データをダウンロードしないよう推奨している。IT部門が携帯電話内の情報を個別に消去できる、信頼性の高い“外科用メス”のようなソフトウェアがベンダーから提供されるまでには、少なくとも1年はかかるとチェルクリ氏は予測している。

パスワード使用を強化する
　スマートフォン利用者の多くは機器のロックにわざわざパスワードまでかけないものだが、CIOは従業員にパスワード・ロックを義務付けるべきと、国際コンサルティング会社ブーズ・アンド・カンパニーのプリンシパル、ヘニング・ハーゲン氏は述べている。同氏の助言では、スマートフォン紛失時の堅牢なセキュリティ維持のために、様々な認証レベルの設定が必要である。秘密の質問や、ワンタイム・パスワードを生成するトークン、指紋を照合する生体認証などの追加を試みてはどうだろうか。

iPad利用を掌握する
　外食事業を展開するフォーカス・ブランズには、メール・チェックやカレンダー機能、およびインターネット接続にiPadを利用するエグゼクティブがいる。同社はカーベル、シナボン、モーズ・サウスウェストグリル、シュロツキーズ、アンティ・アンズ、シアトルズ・ベスト・コーヒーを展開するフランチャイザーだ。フォーカス・ブランズのIT担当副社長、トッド・ミショー氏によると、同社のCEOも電子メールにはiPadを利用しているという。しかし、iPadのセキュリティ対策について完全に把握しているわけではないため、同デバイスの全社的な展開は今のところ制限中だと説明した。

クラウドを管理する
　CIOは、どのクラウド・プロバイダーがどの自社データを保有しているかという全体図を常時把握しているべきだが、それと同時に、自社に適用するセキュリティ基準のすべてに精通している必要もあると、チェルクリ氏は指摘する。
クラウド・ベンダーと契約する前に、セキュリティ対策には一通り目を通して、準拠する事柄を詳細に確認しておこう。また、セキュリティ要件が満たされているかも定期的に確認する。
外部プロバイダーを定期的にモニタリングする人員を割り当てるのがよいだろう。監査ログをチェックして、電話会議を招集し、実際にデータセンターにも足を運ぶべきだと、チェルクリ氏はアドバイスした。

　「CIOは現場のプロセスをチェックする必要がある」（同氏）

●不必要かつ非効率なクラウド移行を回避する／　すぐにでも使えるクラウド・ストレージの用例は3種類だけ
　　　　　ciojp　2011/03/07
・・・(略)・・・・
　データを社外に移すことのリスク要因を考える
　クラウド・サービスはまだ歴史が浅いため、比較的重要度の低いデータから始めるのが賢明だ。多様なデータ・タイプを利用している企業の場合、リスクを細分化した表と、どのデータならクラウドに格納してもよいかを定めるポリシーを作るべきだ。セキュリティの信頼度はサービスによってまちまちであるため、慎重に進めたい。また、クラウド・ベンダーとの信用を築くため、ベンダーには運用能力とサービス障害の可能性について高いレベルの透明性を求めよう。

クラウド・サービスの契約書を熟読する
　ベンダーのSLAを熟読し、サービスの具体的内容、パフォーマンスとアベイラビリティの保証レベル、セキュアなデータ・アクセスに関する条項、そしてSLAに違反した際の罰則について明記されていることを確認する。マルチテナンシーとサービス・デリバリーの能力に優れているだけでは不十分だ。ベンダーとの取引関係を明確にし、適切な期待を設定するためにも、契約上の義務を明示するよう求める必要がある。

不測の事態に備えた対応策を作る
　クラウド・サービスがダウンすれば、当然そこに格納されているデータも利用できなくなる。2008年秋に米国アマゾンのクラウド・ストレージ「S3」が大規模障害に見舞われたとき、多くの企業はこのことを痛感した。クラウド・ベンダーがどんなにベストを尽くそうと障害は不可避であり、ITプロフェッショナルはバックアップ・プランを作っておかなくてはならない。クラウドに格納されているデータに対して完全な弾力策まで作る必要はないが、たとえ劣化モードであっても、そのデータを回復して使える状態にするための方策は持つべきだ。いずれにしろ、社内外のユーザーとはSLAを締結しているはずであり、責任逃れはできない。クラウドの長期的なコストを考えてほしい。

　自社でも独力で開発できる機能をリースするだけのクラウド・ベンダーは避けたい。長期的に見れば結局割高になるからだ。同様に、社内スタッフと高い資本コストをなくしたいと思うかもしれないが、クラウド・サービスはあくまでIT部門の能力を補強するにすぎず、完全に置き換えられるわけではないと思ったほうがよい。社内で提供するよりクラウド・サービスのほうが効率的かどうか、またクラウド・ソリューションの総コストがストレージを社内で運用管理するより安いかどうかを判断するには、大局的な見地から見ることが大切だ。