クラウド ガバナンスの基本とフレームワーク完全解説

クラウド ガバナンスとは、定義済みのルールとポリシーのセットに基づき、企業がクラウドでどのようにサービスを運用するかを定めるものです。クラウド ガバナンスが定める構造に従うことで、企業は、利用するクラウド サービスが業務運営をサポートし、必要なセキュリティを提供することを確実にできます。

基本的に、クラウド ガバナンスとは、ITガバナンス ポリシーをクラウド サービスにも適用することを意味しますが、その範囲は従来よりも広範におよびます。クラウドの展開環境には幅広いサービスが含まれているため、クラウド ガバナンスにおいてはシステムがスムーズかつ安全に稼働し続けられるよう、多くの領域について考慮する必要があります。

クラウド ガバナンスは、財務、オペレーション、セキュリティ、コンプライアンス、データ管理、アプリケーション パフォーマンス、資産管理、構成をカバーします。

ほとんどの企業には、クラウド ガバナンス機能を監督するクラウド ガバナンス委員会が設置されています。クラウド ガバナンス委員会は、上級管理職と、IT、セキュリティ、コンプライアンスの各部門および事業部門の代表者で構成される部門横断的なチームで、全体的なクラウド ガバナンスのポリシーと標準を定め、監督する責任を担います。

業界別に見るクラウド ガバナンス活用と規制対応

コンプライアンス プログラムをサポートするためにクラウド ガバナンスを利用する企業がますます増えています。クラウド ガバナンスによりコンプライアンスがサポートされる主な領域においては、以下のフレームワークが提供されます。

• アクセス権限管理
  強力なアイデンティティ アクセス管理（IAM）システムを利用して、クラウドのリソースとデータに誰がアクセスできるかを制御します。
• 監査と監視
  クラウドのアクティビティ ログを定期的に確認して、ユーザー行動、構成、アップデートに関連する潜在的なコンプライアンスの問題を見極めます。
• データ分類
  機密情報を特定して、分類することにより、プライバシー レベルに応じて適切なセキュリティ対策およびアクセス制御を導入します。
• データ暗号化
  データ侵害が発生した場合に備えて、不正アクセスが起きないように保存中と転送中のすべての機密データを確実に暗号化します。
• インシデント対応計画
  セキュリティ インシデントに対応するための明確な手順を確立し、適用することで、クラウドにおけるデータの損失を最小限に抑えます。
• ベンダー管理
  クラウド サービス プロバイダーのセキュリティ対策を定期的に評価および監視し、関連する規制に対するコンプライアンスを確保します。

以下に、企業がコンプライアンスをサポートするためにクラウド ガバナンスをどのように利用しているかについて、業界別にいくつか例を示します。

• eコマース
  オンライン小売企業は、データ主体によるアクセス権限の申請のための堅牢な手順の導入、データ保持ポリシーの適用、プライバシー規制に従ったユーザーの同意の取得など、クラウド環境における監視と管理のガイドとしてクラウド ガバナンスを利用しています。
• 金融
  クレジット カードを処理する企業は、クラウド ガバナンスにより構造化された形で監視を行うことで、利用しているすべてのクラウド プロバイダーがカード会員データに対する強力な暗号化を導入し、潜在的なセキュリティ脆弱性を定期的に監視するなど、PCI-DSS（ペイメント カード インダストリー データ セキュリティ基準）のコンプライアンス認定基準を満たしているか確認しています。
• 医療
  医療機関は、クラウド ガバナンスを利用することにより、クラウド環境を監視して、コンプライアンスに準拠した形でデータを保管し、アクセスを制御しています。また、クラウド ガバナンスをガイドとしてデータ取り扱い慣行について定期的なリスク評価を行い、患者のプライバシー規制およびデータの取り扱いに関連するトレーニングをスタッフに対して実施しています。

クラウド ガバナンスを基盤としたSLA管理の実例

クラウド ガバナンス ポリシーは、SLAの指針にもなります。SLAは、最低限守るべきサービス品質、セキュリティ対策、その他のビジネス上重要な要素について方針を示すものです。企業がクラウド ガバナンスをガイドとしてどのようにSLAを定めているかについて、いくつかの例を示します。

• コンプライアンス：関連する法律および規制要件への準拠を確実にします。
• データ管理：データ アクセス制御の仕組みを作るとともに、データの所有、保持、破棄のルールを定義します。
• サービス品質：可用性、セキュリティ、応答性など、最低限守るべきサービス品質を定めます。

クラウド環境におけるデータの適切な取り扱い方とは

さらに、クラウド ガバナンス ポリシーは、データ ライフサイクルの管理の指針にもなります。これには、データの分類、データの保持、アクセス制御、データのマスキングが含まれます。以下に、クラウド ガバナンスがどのようにデータ ライフサイクル管理をサポートしているかについて、実際の業界の例を示します。

• eコマース：個人情報の保護を目的にアクセス制御を導入するよう企業に求めるプライバシー法に準拠するため、ロールや場所に応じて特定の顧客の詳細を参照できるユーザーを制限する、詳細なアクセス制御を導入しています。
• 金融サービス：金融企業に対して完全な記録を保持するように求めるコンプライアンス基準に基づき、顧客の取引データのデータ保持ポリシーを導入しています。
• 医療：規制要件および臨床ニーズに基づき、機密性の高い患者データ（医療記録など）に対してさまざまな保持期間を定義しています。
• 小売：さまざまな部門間でデータを共有するときに、機密性の高い顧客情報（クレジット カード番号など）をマスキングしています。

クラウド運用を支えるポリシーと設定項目

• ロールと責任の定義
• アラート エスカレーション手順の決定
• アクセス制御要件の実現
• ネットワーク ポリシーの適用
• ディザスタ リカバリ ポリシーの導入
• クラウド利用プロトコルに関するガイダンスの提供
• データ分類スキームの設定
• クラウド サービスの割当量の指定

クラウドの価値を引き出すクラウド ガバナンスの役割

クラウド展開においては、少しのミスで多額のコストが生じることがよくあります。そのため、企業がクラウドのメリットを最大限に活用し、クラウド展開においてこのようなミスを避けるためには、確固としたクラウド ガバナンス戦略が重要となります。

クラウド ガバナンスは、ルールを構造化するためのシステムを提供するとともに、どのようにすればテクノロジー、人材、プロセスを最適に組み合わせて、望ましい結果を達成し、セキュリティを維持して、予算を遵守し、パフォーマンスを最適化できるかについてのガイダンスを提供します。

以下に、クラウド ガバナンスがどのように企業をサポートするかについて、いくつか例を示します。

ロールと責任の定義のサポート

クラウド ガバナンスは、ロールと責任を定義し、アイデンティティ アクセス管理（IAM）システムを通して割り当てられる特権アクセス権限、意思決定権限、エスカレーション手順などの関連するポリシーを適用するためのフレームワークとして、さまざまな企業において幅広く使用されています。さらに、主に特権アクセス権限に関して、ロールと責任を監視および監査する手順もクラウド ガバナンスを通してサポートされます。

クラウド リソース管理の改善

クラウド ガバナンスにより、クラウド ワークロードを部門、プロジェクト、またはコスト センターの個別のアカウントに分離できます。このような分離は、コストの管理、可視性の向上、セキュリティの脆弱性軽減に役立ちます。

管理効率の向上

クラウド ガバナンスを利用することにより、ポリシーを効率的に定義して適用するとともに、企業全体に適用することが可能となります。クラウド リソースを一元的に制御できるため、コンプライアンス違反のアクティビティを減らし、より効率的にコストを管理できるようになります。

クラウド コンピューティング リソースの管理のサポート

クラウド ガバナンスは、ワークロードを管理して最適なオペレーション効率とセキュリティを実現する方法について指針を提供します。たとえば、単一のクラウド アカウントまたはサブスクリプションに配置されているマルチテナント ワークロードを、どのようなタイミングで個別のアカウントに移動させればよいかについての指示をクラウド ガバナンスに含めることができます。

クラウドのセキュリティ リスクの最小化

クラウド ガバナンスによりルールを確立して適用することで、データの保護、完全性、可用性を向上させることができます。クラウド ガバナンスを通してすべてのシステムに制御を拡張することにより、場所にかかわらず情報を保護することができます。

ディザスタ リカバリ ポリシー導入のサポート

クラウド ガバナンスは、ディザスタ リカバリ ポリシー策定におけるガイドとして広く利用されています。クラウド ガバナンスはさまざまな形でディザスタ リカバリをサポートしますが、重要な領域の1つに、業務運営にとって最も重要なデータとアプリケーションの明確な定義のサポートがあります。これにより、企業は優先順位をつけて重要なデータやアプリケーションを保護し、リカバリへの準備を整えることができます。

クラウド ガバナンスにおけるポリシー管理の自動化

自動化されたクラウド ガバナンス ポリシー管理プラットフォームにより、ポリシーを保存し、アクティビティを監視することができます。ポリシー違反が検出された場合や、承認を受けてからアクションを実行する必要がある場合に、システムにより自動的に対応することができます。

クラウド ガバナンス ポリシーの自動化により、ITチームは例外にのみ着目して統制を効かせることができるので、時間を節約できるとともに、IT担当者はより実りの多い業務に集中して取り組むことができます。

クラウド ガバナンスの自動化機能

クラウド ガバナンス ポリシー管理プラットフォームは、自動的にアクションを実行して、以下のようなクラウド環境の管理をサポートすることができます。

• コストが月間予算を超えると予測される場合のアドバイス
• クラウドの利用状況の監査
• インフラのプロビジョニング、適用アクション、リソース割り当て、クラウド セキュリティ、コンプライアンス、ネットワーク管理、ワークロード管理などのプロセスの自動化
• 脆弱性の自動的な検出と修正
• 承認ワークフロー プロセスが完了するまでアクションを停止
• 設定ミスのあるアカウントや疑わしいアクティビティを示すアカウントに対するアクセス権限の取り消し
• ワークフローのスケジュール設定
• 違反に関するアラートの送信（テキスト、メールなど）
• ポリシーに違反するアクティビティの停止
• 中央演算装置（CPU）の使用率が一定レベルを超えた場合に仮想マシンの起動を一時停止
• 未認証のポートが開いている仮想マシンの終了

クラウド ガバナンス自動化のメリット

クラウド ガバナンス ポリシーの自動化により、以下のようなメリットを実現できます。

• ヒューマン エラーの除去
• クラウドの利用状況に関する可視性の獲得
• セキュリティ、コスト、オペレーション、パフォーマンスの管理の最適化
• より効果的な予算の計画と管理
• 手動で制御する場合と比べてはるかに大規模な拡張
• クラウド ポリシーの定義と適用の簡素化
• 管理効率の向上
• チームによるコスト管理の効率化
• 企業全体へのポリシーの適用
• クラウド リソースの制御を一元化することによるコンプライアンス違反のアクティビティの低減

クラウド ガバナンスを支える6つの基本原則

クラウド ガバナンスの原則は、効果的なプログラムの基盤となります。適切な制御によりクラウド サービスの利用を最適化するには、以下が不可欠です。

以下、それぞれ解説します。

資産および構成管理

資産とその構成の管理は、クラウド ガバナンスの重要な要素です。 クラウド展開はスプロールになりがちですが、クラウド ガバナンスにより、オペレーション効率を維持し、コストを管理して、セキュリティおよびプライバシー要件に準拠するために必要な体制とプロセスを確立できます。クラウド ガバナンスは、リソースの割り当てと構成のための指針を提供します。

データ管理

クラウド ガバナンスは、データの分類、暗号化、アクセス、保存、削除を含む、企業のデータ ライフサイクルの管理において重要な役割を果たします。データ管理のためのクラウド ガバナンス ポリシーを確立して適用することにより、データを簡単に利用できる状態にし、機密データを保護するとともに、攻撃対象領域（アタック サーフェス）および保管コストの拡大につながる余分なデータを除去するために必要な適切な制御の仕組みを確立することができます。

財務管理

クラウド ガバナンスに財務管理を組み込むことで、クラウドの利用を予算内に収めることができます。クラウド ガバナンス ポリシーは、コスト管理、レポート、アラートを通して、企業が財務的に責任ある形でクラウド リソースを利用できるようサポートします。クラウド ガバナンスは、クラウドの利用を最適化し、コスト超過を回避するためのガイドラインとポリシーを定めます。

オペレーション管理

オペレーション管理では、クラウド リソースによりどのようにサービスが提供されるかについてのパラメーターの設定に焦点が当てられます。オペレーション管理に関連するクラウド ガバナンス ポリシーには、主要なオペレーション機能をどのように実行するかについての指針が含まれます。

パフォーマンス管理

クラウド ガバナンスには、アプリケーション パフォーマンスとインフラ リソースの監視と管理に関する指針の提供が含まれます。クラウド ガバナンスは、期待されるレベルのITサービスを効率的に提供するのに役立ちます。

セキュリティとコンプライアンス管理

クラウド ガバナンスに関連するセキュリティおよびコンプライアンス管理機能は、既存のセキュリティ ポリシー、プログラム、およびプロセスに基づいて構築する必要があります。

クラウド ガバナンスを体系化する6つの管理領域

クラウド ガバナンス フレームワークは、クラウド ガバナンスの原則に該当する機能を詳細に定めます。これらは、制御を確立し、クラウド リソースの利用を最適化するために必要となります。

これらの各要素が組み合わさって豊富なクラウド ガバナンス プログラムが作成され、これによりユーザーに負担をかけることなくオペレーションに関する指針を与えることができます。クラウド ガバナンス フレームワークの各領域に含まれるものの例を以下に示します。

資産および構成管理

• クラスターの展開またはクラウド サービスの使用のための管理されたプロセス
• アプリケーションをサポートするために環境で何を実行または展開するかに関する仕様
• クレデンシャルや暗号化などのシークレットの使用と保存を制御するための指針

データ管理

• データ アクセス
• データ ライフサイクル管理
• データ プライバシー
• データ品質
• データ セキュリティ
• データ スチュワードシップ

財務管理

• コストとデータ使用量の割り当てと追跡
• 予算編成
• 予測
• ライセンス管理

オペレーション管理

• クラウドで実行される新しいアプリケーションまたはワークロードの作成方法を制御するルールとプロセスの作成
• 監視とログ記録の要件の定義
• さまざまな環境へのアプリケーション コードの展開
• リソースの割り当て方法の決定
• 新しいアプリケーションのリソース要件を決定する方法の確立
• コンピュータ、ストレージ、およびネットワークの要件の見積もり
• SLAの遵守を確保するためのクラウドの状態監視方法のルールの設定
• アイデンティティ アクセス管理要件の指定

パフォーマンス管理

• データの取得、Webページの読み込み、またはAPI関数の呼び出しにかかるレイテンシ
• 接続ユーザー数とアクティブ ユーザー数
• 一定期間あたりのデータベース トランザクション数

セキュリティとコンプライアンス管理

• アプリケーション セキュリティ
• バックアップとリカバリ
• 事業継続計画
• データ暗号化と鍵管理
• アイデンティティ アクセス管理
• 監視とレポート作成
• プライバシー ポリシーと制御
• リスク評価と管理

クラウド ガバナンス ツールの目的と選定ポイント

クラウド ガバナンス ツールには、以下のようないくつかの目的があります。

• 標準および規制への準拠の実証
• 複数のクラウド アプリケーションやホスト型アプリケーションを含む、幅広いエンタープライズ データ ソースにわたる高度な自動化の実現
• データの管理と保護
• 堅牢な検索機能の提供
• レポート作成の簡素化

クラウド ガバナンス ソリューションを選択する際は、戦略の複雑さを考慮する必要があります。きめ細かなクラウド ガバナンス戦略を持つ大企業では、リソース割り当てやコスト管理などの管理機能に役立つ専用のツールがあると便利です。

クラウド ガバナンス ソリューションを選択する際に考慮すべきもう1つの事項として、全体的な戦略とベスト プラクティスの導入をどのようにサポートするかがあります。

以下、それぞれ解説します。

コスト管理

クラウド ガバナンス ポリシーは、コスト管理の制御とレポートに関する指針の提供に使用できます。また、継続的な監視と最適化を通して、成果を向上し続けるための指針の提供にも役立ちます。さらに、クラウド ガバナンス ポリシーは、未使用のリソースをいつプロビジョニング解除すべきかを特定したり、どこでマネージド サービスを使用すべきかを分析したりするプロセスを含む、キャパシティ管理についてのガイダンスを提供できます。

オペレーションの卓越性

クラウド ガバナンスは、手動プロセスの自動化への置き換えに重点を置きつつ、リソースをどのようにプロビジョニングするかを定めるために使用できます。

パフォーマンスの最適化

クラウド ガバナンス ポリシーは、最適なパフォーマンスを得るためにワークロードをどのように評価および展開すべきかについての指針を提供するために使用できます。

セキュリティ

クラウド ガバナンス ポリシーでは、誰がどのようにセキュリティに対応するかを考慮する必要があります。

サービス プロバイダーと顧客の間でセキュリティに関する責任がどのように分担されるかを理解することが重要です。その上で、クラウド ガバナンス ポリシーを通して、セキュリティ関連のロールとルールを適用する必要があります。

クラウド ガバナンスの活用事例と得られる効果

以下に、企業におけるクラウド ガバナンスの実際の利用例を示します。これらは、クラウド ガバナンスの価値を実証するものです。これらのメリットを実現するのに、企業の種類や規模は関係ありません。

仮想マシン管理

クラウド ガバナンスは、クラウド環境内で仮想マシン（VM）を管理するための自動化されたポリシーとして適用することにより、クラウド リソース管理の改善につながります。クラウド ガバナンス ポリシーの自動化は、仮想マシン管理に以下のようなメリットをもたらします。

• 使用されていないVMを自動的にシャットダウンすることで、企業が実際に使用しているクラウド リソースに対してのみ料金を支払うことができます。
• 標準化されたタグをクラウド リソースに適用し、プロジェクト、部門、コスト センター別に分類することで、より的確な追跡とコストの割り当てを実現できます。
• 詳細なアクセス制御を導入することで、未認証の使用を防止し、認証済みのユーザーのみがクラウド リソースのプロビジョニングと管理を行うことができます。
• リソースの利用状況に関する詳細なインサイトが提供されるため、コスト効率が低下している可能性がある領域を見極めて、対処することができます。
• VMが非アクティブになることのできる時間制限を定義して、この制限を超えてVMがアイドル状態のままの場合はVMを停止する自動アクションをトリガーするクラウド ガバナンス ポリシーを適用することにより、不要なクラウドの費用を削減できます。

シャドーITの削減

クラウド ガバナンスによってリソースが利用しやすくなるため、ユーザーは、あらかじめ確立された構造の中でクラウド サービスを調達するようになります。これにより、承認されていないクラウド リソースやシャドーITシステムの使用を減らすことができます。クラウド ガバナンスは、以下のためのポリシーを提供することにより、シャドーITの使用を制御する取り組みをサポートします。

• アクセス制御と利用：従業員がクラウド環境内で承認されたサービスと機能のみを使用するようにできます。
• クラウド上のデータ ストレージ（保持期間とアクセス制御を含む）：従業員が個人利用のクラウド ストレージ サービス上に機密情報を保存することを防止できます。
• クラウドの利用状況の監視：シャドーITの可能性があるアクティビティを特定し、ITチームにアラートを送信することにより、未認証の使用調査して、対応することができます。

まとめ

クラウド ガバナンスは、一般的なITガバナンスを論理的に拡張したものとしてとらえる必要があります。ITガバナンスの原則の多くがクラウド ガバナンスにも当てはまりますが、これらは同じものではありません。クラウド ガバナンスは一般的なITガバナンスの範囲を超え、広範なクラウド コンピューティングのあらゆる側面を範疇に含みます。

また、クラウド ガバナンスは、基本的なITセキュリティ対策を強化することにより、クラウドのセキュリティ リスクを最小限に抑えるのに不可欠な役割を果たしていることも忘れてはなりません。クラウド ガバナンスによりルールを確立して適用することで、データの保護、完全性、可用性を向上させることができます。

企業は、クラウド ガバナンスを通してすべてのシステムにITおよびセキュリティの制御を拡張することにより、場所にかかわらず情報を保護する必要があります。クラウドの成長に伴い、一般的なITガバナンスについて見直す時間を設け、クラウド ガバナンスのベスト プラクティスを組み込むことが必要不可欠となっています。