トレノケ雲の会 mod5 「雲の防人」より グローバル・セキュリティ・エキスパート株式会社 高橋 達昭さん

1. グローバルセキュリティエキスパート株式会社
Copyright (c) GLOBAL SECURITY EXPERTS Inc., All Rights Reserved.
クラウドセキュリティ認証/基準に関して

2. Copyright (c) GLOBAL SECURITY EXPERTS Inc., All Rights Reserved. 1
Ø 「ISO/IEC 27017:2015に基づくISMSクラウドセキュリティ認証」 （ISMS-CLS）
は、⼀般社団法⼈情報マネジメントシステム認定センター(ISMS-AC)が始めた
認証スキームです。
Ø ISMS-CLSは、ISMS認証取得組織がJIP-ISMS517-1.0「 ISO/IEC
27017:2015 に基づく ISMS クラウドセキュリティ認証に関する要求事項 」に記
載されている要求事項を追加することで認証取得できます。
Ø ISMS-CLSは、クラウドサービスプロバイダ（提供者）、クラウドサービスカスタマー
（利⽤者）、クラウドサービスプロバイダ兼カスタマーが認証対象でISMS認証取
得している組織（サービス）が認証取得できます。
ISMSクラウドセキュリティ認証（ISMS-CLS）

3. ISO/IEC27017の位置付け
Copyright (c) GLOBAL SECURITY EXPERTS Inc., All Rights Reserved. 2
⽤語
要求事項
ガイドライン
セクター固有の
ガイドライン
27000
概要及び⽤語
27001
要求事項
27006
認証機関に対する
要求事項
27009
セクター規格への
27001適⽤に
関する要求事項
27002
情報セキュリティ管理策
の実践のための規範
27004
監視、測定、分析及
及び評価の⼿引
27005
リスクマネジメントに
関する指針
27007
監査の指針
27010
セクター間及び組織間コミュ
ニケーションのための
情報セキュリティマネジメント
27017
クラウドサービスにおけるISO/IEC
27002 に基づく情報セキュリティ管理策
の実践のための規範
27011
電気通信組織のため
の指針
etc…
etc…
Ø 27017は「セクター固有のガイドライン」であり、要求事項ではない。
u この規格は，クラウドサービスカスタマ及びクラウドサービスプロバイダのための情報セキュリティ
管理策の実施を⽀援する指針を提⽰する。 （序⽂より）

4. 主なクラウドサービス固有の管理策（参考）
Copyright (c) GLOBAL SECURITY EXPERTS Inc., All Rights Reserved. 3
. P 8 .
P 5 L
.5 . C
. . P 1
D . C
. .
. C
. 1 . 2 .
C
. P L .
.
. L .
.
.1
S C
S
. . C .
P
. 3
. .S C
D3
D
6

5. CSA STAR認証
Copyright (c) GLOBAL SECURITY EXPERTS Inc., All Rights Reserved. 4
Ø CSA （⽶国クラウドセキュリティアライアンス）が提供する Security, Trust &
Assurance Registry (STAR) のセルフアセスメントに登録して、⾃⼰評価する
レベル1とSystem and Organization Controls (SOC) 2 レポートおよび
ISO 27001 規格の第三者の監査による判定に基づいたレベル2があります。
Ø CSA STAR認証は、クラウドサービスのセキュリティ成熟度を第三者が評価する
認証サービスです。
Ø CSAから認定を受けた認証機関の審査によって、11の管理エリアにおける成熟
度の点数が付けられます。
審査レポートにより、プロセスの成熟度とどの分野に改善の余地があるかを知るこ
とができ、その成熟度のレベルに応じて「ブロンズ」「シルバー」「ゴールド」のいずれ
かの賞が授与され、認証を受けた事業者はSTAR認証として、CSAのWebペー
ジに掲載されます。

6. CSA STAR認証の管理エリア
Copyright (c) GLOBAL SECURITY EXPERTS Inc., All Rights Reserved. 5
n STAR認証は、ISO/IEC 27001とCCMの基準への達成をベースとしており、以下
の11の管理エリアがあります。
1. コンプライアンス（Compliance）
2. データのガバナンス（Data Governance）
3. 設備のセキュリティ（Facility Security）
4. ⼈的資源のセキュリティ（Human Resources Security）
5. 情報セキュリティ（Information Security）
6. 法律（Legal）
7. 作業管理（Operations Management）
8. リリース管理（Release Management）
9. 耐障害性（Resiliency）
10. リスク管理（Risk Management）
11. セキュリティアーキテクチャ（Security Architecture）

7. ⽶国連邦政府クラウド統⼀セキュリティ基準「FedRAMP」
Copyright (c) GLOBAL SECURITY EXPERTS Inc., All Rights Reserved. 6
Ø 「FedRAMP」（Federal Risk and Authorization Management
Program）は、連邦政府共通のクラウドサービス調達のためのセキュリティ基準
です。クラウドサービスプロバイダーが、このプログラムの認証を受けて登録されると、
省庁ごとの調達評価の⼿続きを経ることなく、提供することが可能な仕組みです。
Ø クラウドサービス事業者がFedRAMPの認定を受けるには、FedRAMP認定の
第三者評価機関による評価報告書を提出し、「合同認定委員会」（JAB＝
Joint Authorization Board)による承認を受ける必要があります。
Ø 連邦政府機関の中でも、より⾼いセキュリティレベルが要求される国防・軍事分
野では、クラウドサービス事業者およびそのユーザーに対して、国防総省が
FedRAMPに独⾃の要求事項を加味した認証制度を構築しています。
※国防総省・国防情報システム局（DISA）のクラウドコンピューティングセキュリ
ティ要求事項ガイド（SRG）

8. アメリカ合衆国国防総省（SP800-171への準拠要求）
Copyright (c) GLOBAL SECURITY EXPERTS Inc., All Rights Reserved. 7
Ø SP800-171 とは、2015年6⽉に出されたNIST（アメリカ国⽴標準技術研究
所︓National Institute of Standards and Technology）のガイドライン
です。
Ø ⽶国の政府機関ではCUI（管理された⾮格付け情報︓Controlled
Unclassified Information）の取扱に関する基準としています。
Ø DoD（アメリカ合衆国国防総省︓United States Department of
Defense）と取引のある企業では2017年12⽉31⽇までに当該基準への遵守
が求められました。

9. SP800-171概要
Copyright (c) GLOBAL SECURITY EXPERTS Inc., All Rights Reserved. 8
n 第3章︓CUI の機密性の保護のためのセキュリティ要件（110）
3.8 メディア保護
3.9 ⼈的セキュリティ
3.10 物理的保護
3.11 リスクアセスメント
3.12 セキュリティアセスメント
3.13 システムと通信の保護
3.14 システムと情報の完全性
3.1 アクセス制御
3.2 意識向上と訓練
3.3 監査と責任追跡性
3.4 構成管理
3.5 識別と認証
3.6 インシデント対応
3.7 メンテナンス
• 3.1.2 システムアクセスを許可された利⽤者に対して実⾏が許可された種類のトランザクショ
ン及び機能に制限する。
• 3.5.3 複数要素の認証を、特権アカウントへのローカル及びネットワークアクセスのために、及
び⾮特権アカウントへのネットワークアクセスのために、使⽤する。
• 3.12.1 管理策がそれらのアプリケーションにおいて有効であるかどうかを決定するために、組
織のシステムにおけるセキュリティ管理策を定期的にアセスメントする。
• 3.13.9 セション終了時または定義された⾮アクティブな時間の経過後に、通信セションに対
応するネットワークコネクションを終了する。
n セキュリティ要件記述内容（抜粋）

10. ⽇本におけるクラウドセキュリティ基準の状況
Copyright (c) GLOBAL SECURITY EXPERTS Inc., All Rights Reserved. 9
Ø 経済産業省の依頼のもと、⽇本セキュリティ監査協会が2012年8⽉に「クラウド
情報セキュリティ管理基準」を公開しました。
Ø 2017年12⽉に経済産業省は関係省庁との連携によって「産業サイバーセキュリ
ティ研究会」を設置しました。
Ø 2018年2⽉に防衛装備庁は、23社4団体と「防衛調達における情報セキュリ
ティ強化に関する官⺠検討会」を設置しました。
Ø 今年3⽉にクラウドサービスの安全性評価に関する検討会が「中間とりまとめ
（案）」を公表しました。2020年秋に安全性評価制度を開始するスケジュール
が記述されています。
https://www.meti.go.jp/press/2018/03/20190315002/20190315002-1.pdf
n ⾏政サービスのデジタル化とクラウド化による「デジタルガバメント」を⽬指している
⽇本政府においても、クラウドセキュリティへの取り組みが求められています。

11. Copyright (c) GLOBAL SECURITY EXPERTS Inc., All Rights Reserved.