リスクは回避すべきものではなく管理するもの

米国の政府でのSaaS利用に関するコンファレンス、SaaS/GOVが2月25日にWashigton D.C.で開かれました。

前の書き込みでも紹介した、陸軍での新兵募集のシステムをSalesforceで構築した例の紹介、その他にも保険福祉省のＩＴ製品の請求依頼に関するSalesforceの例などが紹介されたようです。

また、米国標準技術局(NIST)のセキュリティー担当ディレクターのRon Ross氏が、2009年後半には政府が外部のクラウド・サービスを利用する際のガイドラインを発行することを明言したそうです。

NISTは米国の企業、政府の技術採用に標準の観点で影響力の強い機関のようで、日本のIPA(情報処理推進機構)も、世界的に評価の高いものとして、日本の政府や企業むけにNISTの情報セキュリティ関連文書を翻訳や調査研究しています。

Ross氏はコンファレンスの中で、ガイドラインの発行の明言だけでなくクラウドに対して以下のように積極的な発言をしています。

「クラウドやSaaSがもたらしてくれるメリットは実に大きい。新たなパラダイムの発展を阻害しないようにすることがわれわれの使命だ」。

さらにそれに伴うリスクに対する姿勢としてこのようにも発言しています。

「信頼は一朝一夕に生まれるものではない。また、相手を完全に信頼することも不可能だ。われわれを取り巻く環境には必ずリスクが存在している。リスクは回避するのではなく、管理すべきものである」。

Ross氏は数々のセキュリティーのガイドラインを策定した経験から、ワイヤレスLANを引き合いに出して、当初、どうセキュリティーを確保すればいいか分からなかったものの、それを進める上で理解を深めて十分なセキュリティーを確保することができたと述べています。

振り返ってみれば多くの日本の企業が、過去の様々なIT技術を、当初はセキュリティーのリスクが大きく取り沙汰されても時間をかけてうまく取り入れてきました。データが分散し蓄えられるPC、データが空中で舞うワイヤレスLAN、データが他人に委ねられるアウトソーシング。

クラウドに関してもRoss氏の言うようにいろいろな検討を進め、リスクの理解を経て回避するものから管理するものとして扱っていけそうな気がしてきます。