SaaS・ASPの信頼性向上に向けた政府の取り組み
クラウドコンピューティングとかSaaSなど、ＩＴリソースを保有することから利用することにシフトしてきていると言われています。一般的に導入にあたってハードルになっているのは、セキュリティ等の信頼性に関わる面において、CIO等が不安を抱えているケースが多いのが現実です。
「ASP･SaaSインダストリ･コンソーシアム(ASPIC) オータムミーティング2008に参加して」でもご紹介しましたが、政府はSaaSやASPのセキュリティや安全性などの信頼性向上において様々な取り組みを実施しています。
その取り組みの一例を紹介してみたいと思います。
「ASP・SaaS安全・信頼性に係る情報開示認定制度」の創設 （平成２０年３月３１日）
総務省とASP･SaaSインダストリ･コンソーシアム(ASPIC)が合同で平成１９年４月２７日に設立したASP・SaaS普及促進協議会において、平成１９年８月から平成２０年１月にかけて６回をかけて「安全・信頼性委員会」を開催しました。この協議会の中で「ASP・SaaS安全・信頼性に係る情報開示指針」をとりまとめ、この方針に基づき「ASP・SaaS安全・信頼性に係る情報開示認定制度」を創設しています。
「ASP・SaaS安全・信頼性に係る情報開示認定制度」の審査対象項目は、（財）マルチメディア振興センターが認定機関となって、以下の項目を審査しています。
・ASP・SaaS事業者の安全・信頼性に関する情報開示項目
（①開示情報の時点、②事業所・事業、③人材、④財務状況、⑤資本関係・取引関係、⑥コンプライアンス等 ２６項目）
・ASP・SaaSサービスの安全・信頼性に関する情報開示項目
（①サービスの基本特性、②アプリケーション、プラットフォーム、サーバー・ストレージ等、③ネットワーク、④ハウジング（サーバ設置場所）、⑤サービスサポート）
本認定制度の基本的な考え方として、
①ASP･SaaSのユーザの視点に立った制度であること
②発展期にあるASP･SaaS市場の拡大を促進する制度であること
としています。
「ASP・SaaSにおける情報セキュリティ対策ガイドライン」の策定 （平成２０年１月３０日）
総務省では、「ASP・SaaSの情報セキュリティ対策に関する研究会」を開始し、その研究会の中で、「ASP・SaaSにおける情報セキュリティ対策に関する研究会報告書」と「ASP・SaaSにおける情報セキュリティ対策ガイドライン」をとりまとめ、公表しています。
「ASP・SaaS安全・信頼性に係る情報開示認定制度」の項目において、「ASP・SaaSにおける情報セキュリティ対策ガイドライン」の内容を網羅しています。
「SaaS向けＳＬＡガイドライン」の公表 （平成２０年１月２１日）
経済産業省では、ＳａａＳにおいて、サービス利用者が安心して利用するために、サービス提供企業といユーザ企業間で合意することが望ましいサービス内容・範囲・品質等に関する保障基準の共通認識(Service Level Agreement：SLA）を定め、「ＳａａＳ向けＳＬＡガイドライン」を公表しました。
最低限満たすべきＳＬＡとして、
- サービス時間： （２４時間３６５日：保守等計画停止を除く）
- サービス稼働率（計各停止時間を除く） ： ９９．６％
- サポート時間： 受付時間を電話は９：００～１７：００ （土日祝日及び休業日を除く）、メールは２４時間３６５日受付
- 平均仮復時間： ６時間
- システム監査基準： １時間毎の稼動確認（Ｈ／Ｗ、ネットワーク）
- 障害通知時間： １時間以内
- オンライン応答時間： 平均応答時間３秒以内（データセンター内）
- バックアップの方法： 週次でバックアップ。目次で差分バックアップ
- データ消去の要件： サービス解約後１ヶ月以内にデータ及び外部保管媒体を破棄
- セキュリティ要件（公的認証取得の要件）： ＩＳＭＳ認証取得、プライバシーマーク取得
- セキュリティ要件（アプリケーションに関する第三者評価）： 年１回、サービスの脆弱性に関する評価を行い、指摘事項に対して対策を実施し、利用者に報告する。
をあげています。
経済産業省においては中小企業の「SaaS活用基盤整備事業」を実施し、財務会計などのバックオフィス業務から電子納税電子申請までを一括して行えるワンストップのSaaS型活用サービスを官民連携して構築・普及させていく取り組みを実施しています。平成２１年度中には、中小企業５０万社の利用を目指しています。本施策においても「SaaS向けSLAガイドライン」を適用しています。
クラウドコンピューティングは雲の中にあるＩＴリソースを意識なく利用できるということは最大のメリットでもありますが、雲であるがゆえに、そのサービスがどこにあり、どのような状況下でサービスを提供しているのか、ユーザ側からは雲をつくむような話で理解できない場合が多いのではないでしょうか。
金融機関の相次ぐ破綻で、金融機関に自分の金融資産を預けることに不安を抱えるユーザも多くなってきています。我々ユーザ側としては、財務状況や金融資産などを見ながら信頼できる金融機関をさらに見極めていかなければなりません。
ＳａａＳを提供する事業者も同様に、ユーザ側の重要な情報を預かっています。だからこそ信頼される事業者であることが求められます。まだまだ歴史の浅いサービスだからこそ、立ち上げ時の信頼性は重要であり、信頼性向上に向けた政府の支援も重要ではないかと考えています。