Amazon Web Services ブログ

『行政＆情報システム』”行政におけるパブリック・クラウド” 特集号にAWSからの寄稿が掲載されました

AWSジャパン・パブリックセクターより、寄稿記事の掲載のお知らせです。隔月で刊行されている雑誌『行政＆情報システム』の“「行政におけるパブリック・クラウド」特集号”にAWSパブリック・セクターメンバーが執筆した記事が掲載されています。

記事の全文をお読みいただくには、発行者である「行政情報システム研究所」宛にバックナンバーの購入をお申し込みをいただくか、もしくは、こちらのリンクより、150円で記事単位でのダウンロードが可能です。　今回のAWSメンバーからの寄稿記事は 「公共機関で実践されるクラウドセキュリティのベストプラクティス」と題されています。

本文中でも引用されている数字として、富士キメラ総研によると、2019年度の公共クラウド市場は前年比22.0%増の925億円となり、2023年度には2,368億円に 達すると予測されています。

今回の寄稿の問題意識は、次のようなものです。「＞行政情報システムのクラウド化を検討する上でもっとも大きな検討事項となるもの、それはセキュリティです。行政機関の立場から見れば、クラウドは外部のサービスとして位置付けられ、利用そのものに心理的なハードルが存在しました。また、これまでの技術文書やガイドラインがオンプレミスを前提として記述されているため、クラウドを利用する時に考慮すべき事項が明確化されていませんでした」──こうした問題意識のもと、今回の寄稿では、「クラウドを活かしたセキュリティ向上のためのペストプラクティスを紹介」しています。

以下に、掲載記事の概要・要点を幾つかご紹介します。

寄稿の４つの要点：クラウドで「システム」と「データ」を守り、「第三者評価」を活用し「サービス」を継続

今回の寄稿は、「①クラウドでシステムを守る」「②クラウドでデータを守る」「③クラウドでサービスを継続する」「④クラウドで第三者評価を活用する」──の４つの章立てで構成されています。

①クラウドでシステムを守る

──行政情報システム全体のセキュリティを確保するためには、クラウド環境のセキュリティに留まらず、オンプレスミスからクラウドまでの流通経路を考慮し、システム全体でセキュリティを高める必要があります。そのための手法として、クラウドへの接続には、インターネットを利用した通信に加え、１）VPN（Virtual Private Network）や専用線を利用して閉域ネットワーク環境を構築する、２）他のユーザからのアクセスを許容しないプライベートなネットワーク空間を構築する──等の手法を紹介しています。

②クラウドでデータを守る

──システム全体のセキュリティ確保をユーザとクラウド事業者とで責任分担し、各々の役割を相互に共有する実装モデルである、『責任共有モデル』 という考え方を紹介しています。併せて、１）クラウド事業者が提供するストレージサービスでは、ファイルを配置するだけで自動的に複数の拠点で冗長化され、耐久性が向上すること、２）また、そのファイルに対して誰にどのようなアクセス権限を付与するかなどのきめ細かな権限設定を行うことができること、３）機密性の高いデータに関しては暗号化機能を提供できること──などが、説明されています。

③クラウドでサービスを継続する

──システム全体の可用性を高め、万が一の障害時においても事業を継続するためには、できる限り単一障害点を作らないことがベストプラクティスです。１）AWSはユーザからの課題や要望に対して不断のサービス改善を実施しており、それらに基づいて『Well-Architectedフレームワーク』 と呼ばれるシステム設計上のベストプラクティスを提供していること、２）AWSでは、データセンター、仮想インスタンスのレベルにおいて冗長構成をとることが可能であること、３）AWSが提供するサービスの多くはインフラストラクチャー管理、セキュリティコントロール、コンプライアンスコントロール、コストの最適化などをサービスとして提供する『マネージドサービス』の形態をとっていること──などが、説明されています。

④クラウドで第三者評価を活用する

──クラウドを利用するにあたり、最後の課題となるのが“漠然とした心理的なハードル”です。「クラウドはユーザの物理的な管理下にないため説明責任が果たせない」との論調が存在します。こうした心理的なハードルを払拭し、ユーザがクラウドを利用する際の説明責任を果たす方法として、第三者評価の活用があります。「政府情報システムにおけるクラウドサービスの利用に係る基本方針」では、「クラウドサービスの情報セキュリティ機能の実態を利用者が個別に詳細に調査することは困難」としており、「パブリック・クラウドに関しては、第三者による認証や各クラウドサービスの提供している監査報告書を利用することが重要である」と示しています。併せて、日本では「政府情報システムのためのセキュリティ評価制度（ISMAP）」が2020年に制定され、施行されました。　ISMAPの２つのメリットに関し、１）現場の担当官によるクラウド事業者に対する評価を本制度に委ねることができる、２）クラウドを前提としたシステム調達の仕様策定において、「ISMAPクラウドサービスリストに掲載されているクラウドサービスの中から選択することを原則とする」と表記することで、安全で信頼できるクラウド事業者の選定が実現できる──旨、説明しています。

❖４つのコラムにより、「閉域接続」「データ廃棄」「マイナンバー等の特定個人情報の扱い」「データセンターの冗長化」を例示

また、今回の寄稿では、具体的な例示を伴った解説を心がけるために、以下、４つの「トピック」をコラム形式で盛り込んでいます。

  • 【トピック#1】　総合行政ネットワーク（LGWAN）を介したクラウドへの閉域接続：　北九州市と日立製作所による、行政事務のデジタル化やデータ利活用、クラウド利活用を目的とし、日立製作所が提供している「地域IoT連携クラウドサービス」を活用して、LGWANから専用線で閉域接続されたバーチャルプライベートクラウド上に構築した行政文書目録検索や通知文書閲覧システムの実証実験に関し、紹介しています。
  • 【トピック#2】　クラウド上での安全なデータの廃棄：昨今の情報漏洩に端を発したデータ廃棄についても、オンプレミスとクラウドではアプローチが異なることを説明しています。統制の一例として、「ユーザはストレージ領域をデフォルトで暗号化」「データを削除する際は、併せて当該領域の暗号鍵を削除」等の手法を紹介し、「クラウドではデータへのガバナンスがユーザに取り戻され、第三者が適切に廃棄したかという証明問題からそもそも解放される」旨、例解しています。
  • 【トピック#3】　クラウド上での個人情報や特定個人情報の保護：　社会保険診療報酬支払基金が、社会保障・税番号制度の導入に伴い、「医療保険者等向け中間サーバー等における資格履歴管理、情報提供ネットワークシステムを通じた情報照会・提供及び本人確認に関する事務」においてマイナンバー等の特定個人情報を扱うことから、実際のシステム構築に際し、「アプリケーションやデータを統制するユーザの責任と、インフラストラクチャーを統制するクラウド事業者の責任を区別して整理」した事例に関し、紹介しています。
  • 【トピック#4】　クラウドを活用したデータセンターの冗長化：　政府CIO補佐官等ディスカッションペーパーによる「パブリック・クラウドを利用した情報システムにおける計画・構築時の基本的な考え方」では、大規模災害対策について、オンプレミスでの「データセンターの2重化、データバックアップの遠隔地保管等を予算の制約内で検討」との考え方に対し、クラウド利用時の考え方として「広域の大規模災害発生時においてもサービスを継続できるよう、マルチアベイラビリティゾーン、マルチリージョンを活用した設計とする（多大な追加コストは不要）」との対比を示しています。

 

以上の章立てとコラムの構成に基づき、寄稿の最終段落は　“クラウドを活かしたセキュリティ向上は制度面、実装面、技術面においても、十分な検討を経て成熟期を迎えています。「クラウドこそがセキュリティを高めるための解決策である」と言われる日も遠くはないと私たちは考えています”──と、結ばれています。

ぜひご一読をいただければ嬉しいです。

 

❖Read More ：

日本の公共部門の皆様へのご案内

今後ともAWS 公共部門ブログ（英語版）で AWS の最新ニュース・公共事例をフォローいただき、併せまして、「農水省DX室」「気象庁の衛星ひまわり8号のデータセット」や「情報処理推進機構（IPA）」など日本の公共機関との取り組みを紹介したAWSジャパン・パブリックセクターチームの過去の投稿に関しても、ぜひご覧いただければ幸いです。

＊　＊　＊　＊

このブログは、アマゾンウェブサービスジャパン株式会社 パブリックセクター 統括本部長補佐（公共調達渉外担当）の小木郁夫が執筆しました。