AWSの導入を検討する理由は、必要に応じてリソースを増減できる柔軟性、サーバ運用管理に手間をかけず本来の仕事に集中するためなど、企業によってさまざまです。そのなかでもセキュリティの観点からAWSの導入を検討している企業は少なくないでしょう。企業の情報漏えい問題が頻繁に起こっている昨今、情報セキュリティのしっかりしたクラウドサービスを活用したいと考える企業が多いのは当然のことです。そこで今回は、情報セキュリティの観点から見たAWS導入のメリットをオンプレミスと比較しながらご紹介します。

情報セキュリティの三要素で見るAWSとオンプレミスの違い

情報セキュリティの三要素をご存知でしょうか。これは「機密性」、「完全性」、「可用性」の3つからなるもので、情報セキュリティを考えるうえで外すことのできないものです。

  1. 機密性

    情報資産を正当な権利を持った人だけが使用できる状態にしておくこと

  2. 完全性

    情報資産が正当な権利を持たない人により変更されていないことを確実にしておくこと

  3. 可用性

    情報資産を必要なときに使用できること

外部の人間はもちろん、社内の人間であっても特定の管理者以外が情報資産にかかわることができないことは、情報セキュリティの観点から見て当然のことです。しかし、情報セキュリティの要素はもうひとつ、可用性というものがあります。この可用性とは、システムの二重化や電源対策、BCP、バックアップなどによって、天災やシステムダウンのほか、外部から攻撃を受けたときであってもすぐにシステムを稼働させられるようにすることです。

オンプレミスの場合、この三要素を確保するためには自社自身で多額の投資や慎重な設計が必要になります。それに対しAWSでは、施設や設備、物理セキュリティ、物理ネットワーク、仮想インフラなどの部分については、AWS側が実施するため時間的コストの削減が可能です。企業としては、OS、ミドルウェア、アプリケーション、VPCのセキュリティグループなどの部分に関して設計・維持管理を行います。これをAWSでは責任共有モデルと呼んでいます。有償サポートになりますが、責任共有モデルのユーザー管理部分についてAWSからアドバイスを受けることも可能です。

AWSが維持しているセキュリティレベルとは

クラウドサービスはセキュリティに不安があるため、導入に踏み切れないといった企業がまだまだあるかもしれません。これは逆に「オンプレミスは安全」ということになりますが、実際にはそんなことはありません。情報漏えいはその情報がどこにあったかが問題ではなく、どういった形で保管されていたかが重要になります。AWSがセキュリティ確保のために投資している金額は、通常の企業とは比べものにならないほどの額です。

ただし、AWSが高いセキュリティレベルを維持していることを企業は確認できません。なぜなら、AWSはデータセンターの視察を一切認めていないからです。その代わりに第三者による監査をパスすることでそれを担保しています。具体的にはデータセンターの建物、コンピュータ室、データ保管室、電源室、空調機械室などあらゆる箇所、そしてその周囲のすべての設備、運用、技術が独立した監査人によって検証され、ISO 27001認証に準拠することが確認されています。

AWSとオンプレミスのセキュリティコスト比較

企業がクラウドサービスの導入に踏み切れないもうひとつの理由が、導入を含めた維持管理コストです。クラウドサービスが情報セキュリティのレベルを高く保てるといっても、やはりコストのことが気になります。ここで注意したいのが、コスト比較をする際、オンプレミス側では機器やソフトウェアの購入費や保守費用だけを対象にしがちですが、それではAWSとの正しい比較にならないということ。なぜならAWSのコストには、ファシリティの利用料に相当するものが含まれるからです。

例えば電気代や空調代、入退室管理システムなどにかかる費用、それらの保守運用にかかる人件費もオンプレミス側のコストとして算出したうえで、AWSとオンプレミスの比較をしなければ、本当の意味でのコスト比較にはなりません。そして、それらをすべて踏まえたうえで比較すれば、オンプレミスとAWSのコストにはほとんど差がないことがわかります。場合によっては、AWSの方がコストを抑えられる場合もあるのです。

金融機関にも採用されるAWSの安全性

2017年1月、三菱UFJフィナンシャル・グループがAWSに移行を発表、ほかにもソニー銀行、ジャパンネット銀行など、セキュリティ管理にもっとも厳しい金融機関がAWSを活用していることは、AWSのセキュリティの高さを物語っています。セキュリティ管理の重要性を知りつつも運用体制が整っていないのであれば、コスト軽減も期待できるAWSの導入を検討されてみてはいかがでしょうか。

参考: