内部不正・情報漏えい（３）

機密データのセキュリティとコンプライアンス確保

企業がオンプレミス（社内システム）とクラウドのどちらにワークロードを配置するかを決定する際には、まず自社のデータアセットを正確に把握することが重要です。特に機密データの扱いに関しては、以下のようなデータ分類を元に、セキュリティリスクとコンプライアンス要件を考慮して適切に配置することが求められます。

1. データ分類とリスクベースのアプローチ

特に保護すべきデータ、例えば個人を特定できる情報（PII）、ペイメントカード業界（PCI）データ、または医療情報（PHI）は、規制要件が厳しいため、オンプレミスに留めることでセキュリティを強化する選択肢が考えられます。これらのデータは、法規制に基づき高いレベルのセキュリティ対策を求められるため、適切な管理が不可欠です。一方、機密性の低いデータや重要度が相対的に低いワークロードは、コストや効率性の観点からクラウドに移行するのが有効です。

2. クラウドへの移行と統合的なセキュリティ

近年では、クラウドへの移行が進む中で、機密データもクラウドに移行する傾向が強まっています。このような状況では、統合的なセキュリティモデルの導入がより一層重要です。クラウド環境においても、エンドツーエンドで一貫したセキュリティ管理を実施し、データガバナンスを強化することが不可欠です。特に、以下の点を重視する必要があります：

**データリネージ（データの出所と移動経路）**の把握。
アクセス制御の徹底：誰がどのデータにアクセスしたかを常に監視し、監査証跡を残す。
インシデント対応の迅速化：不正アクセスが発生した際には、どのデータアセットが影響を受けたか、どの情報が漏洩したか、迅速に特定できる仕組みを整備することが重要です。

これらのセキュリティ対策は、クラウド環境であってもオンプレミス同様、もしくはそれ以上に強固な体制を築く必要があります。

3. エンタープライズレベルのサポートによるリスク軽減

ミッションクリティカルなアプリケーションの運用には、信頼性の高いエンタープライズサポートが不可欠です。オンプレミス環境では、ソフトウェアやハードウェアのベンダーからの確実なサポートを前提にシステムを運用しているのと同様に、クラウドでも同等のレベルのサポートを確保しなければなりません。具体的には、以下のようなリスク軽減策が必要です：

サービスレベルアグリーメント（SLA）の明確化：クラウドサービスプロバイダーと詳細なSLAを締結し、障害やセキュリティインシデントが発生した場合の対応を明確にしておく。
可用性と復元力の確保：クラウド上のアプリケーションが高い可用性とデータ復元力を持つよう、複数の冗長性を持つ設計を採用し、バックアップ体制を整備する。
4. 継続的なモニタリングと最適化

オンプレミスとクラウドに分散したワークロードを管理するためには、セキュリティやコンプライアンス要件が進化する中で、継続的なモニタリングと改善が必要です。データに関する脅威は常に進化しており、最新のセキュリティ対策を導入するだけでなく、ベンダーとの定期的なレビューや社内のデータ管理体制の最適化も行うことがリスクを最小化する鍵です。

データコンサルタントからの提言

データ分類に基づく最適配置の実施
企業は、自社のデータアセットを分類し、それぞれのリスクに基づいて最適な配置を行うべきです。機密性の高いデータはオンプレミスに残し、それ以外のデータはクラウドへの移行を検討することで、セキュリティとコストのバランスを最適化できます。

統合的なセキュリティ管理の導入
クラウド環境においても、オンプレミスと一貫したセキュリティ基準を適用し、エンドツーエンドでのデータ保護を徹底する必要があります。特に、アクセス制御や監査証跡、データリネージの把握が重要です。

信頼性の高いエンタープライズサポートの確保
クラウドにおいても、ミッションクリティカルなアプリケーションの運用には、エンタープライズレベルの確かなサポートが不可欠です。ベンダーとのSLAを明確化し、リスクを最小化する体制を整えましょう。

定期的なレビューと改善
データセキュリティとコンプライアンスの要件は絶えず変化します。定期的にモニタリングを実施し、社内体制やベンダーの提供するサービスを見直すことで、継続的な最適化を図ることが重要です。

機密データを取り扱う際のセキュリティとコンプライアンスの確保は、オンプレミスとクラウドの両方でバランスをとることが重要です。データ管理においては、リスクを最小化し、エンタープライズレベルのサポートを活用することで、事業継続性を確保できます。