基幹システム（メーンフレーム）導入時のクラウドセキュリティの基本

クラウド移行の背景とリスク認識

本章では、メーンフレームをクラウドへハイブリッドまたは全面移行する背景と、移行時に経営層や技術部門が抱えるリスク認識を整理します。現代の企業IT戦略においては、既存システムの可用性向上やコスト最適化を狙ってクラウドを検討するケースが増加しています。ただし計画段階でのリスク見積もりが不十分だと、後工程でプロジェクトが停滞あるいは失敗する事例も少なくありません。IPAが公開するガイドライン「クラウドセキュリティの歩き方」では、企画フェーズから運用フェーズまでの各段階で必要となるチェックリストが示されており、移行判断のフレームワークとして活用できます。［出典：IPA「クラウドセキュリティの歩き方」令和5年］

背景の整理

日本の大企業ではまだメーンフレーム（メインフレーム）が基幹系システムとして稼働中であり、老朽化対策やベンダー依存脱却を目的に局所的なクラウド導入が進んでいます。総務省「情報通信白書2024」によれば、日本企業のクラウド利用率は年々上昇しており、特に金融・製造・流通業でのIaaS/SaaS採用が顕著です。［出典：総務省『情報通信白書2024』令和6年］しかし、単純なレガシーシステムの「レフトビハインド」化を防ぐためには、メーンフレームとAWSやAzureといったクラウドサービスの役割分担を明確化する必要があります。

移行リスクの把握

メーンフレームからクラウドへ移行する際、主に以下のリスクが生じます。

• データ転送中の漏えいリスク（通信経路の暗号化が必須）
  ［出典：経済産業省『クラウドサービス利用時の情報保護指針』令和5年］
• 業務継続性の断絶（ピークタイム移行や切り替え時のダウンタイム）
  ［出典：経済産業省『事業継続ガイドライン』令和5年］
• 運用体制の不整備（オンプレミス運用ノウハウとクラウド運用ノウハウのミスマッチ）
  ［出典：IPA『クラウドセキュリティの歩き方』令和5年］

これらを踏まえ、移行企画段階から要件定義時に関係部門・外部専門家を交えたリスク評価を行い、BCPやインシデント対応体制を並行して構築する必要があります。

技術担当者へのポイント

技術担当者は経営層に対して「可用性」「コスト」「法令適合」の三点セットで説明するケースが多く見られます。可用性については、メーンフレームで長年培った稼働実績を損なわずにクラウド側に再現できるか、コスト面ではオンプレミス維持コストと比較して運用コストが適切か、法令適合では個人情報保護法やサイバーセキュリティ対策推進法に照らした設計ができているかを定量的に示すことが重要です。［出典：経済産業省『サイバーセキュリティ経営ガイドライン』令和5年］

[出典：IPA「クラウドセキュリティの歩き方」令和5年] [出典：総務省『情報通信白書2024』令和6年] [出典：経済産業省『クラウドサービス利用時の情報保護指針』令和5年] [出典：経済産業省『事業継続ガイドライン』令和5年] [出典：経済産業省『サイバーセキュリティ経営ガイドライン』令和5年]

ハイブリッド設計原則

本章では、メーンフレームとクラウドサービスを組み合わせたハイブリッド環境を設計する際の基本原則を解説します。政府系システムでは「クラウド・バイ・デフォルト原則」を採用しつつも、すべてを一気にクラウド化せず、段階的にハイブリッド構成を検討するケースが多くあります。デジタル庁が示すガバメントクラウド活用の指針を踏まえながら、既存メーンフレームの特性を保ちながらクラウドの利点を活かす設計アプローチを具体的に示します。［出典：デジタル庁『政府情報システムにおけるクラウドサービスの適切な利用に係るガイドライン』令和6年］［出典：デジタル庁『ガバメントクラウド概要解説』令和5年］

クラウド・バイ・デフォルト原則

政府情報システムでは、原則としてクラウドサービスの利用を第一候補とする「クラウド・バイ・デフォルト原則」が掲げられています。既存メーンフレームを全面移行せず、以下のように検討することが求められます。［出典：デジタル庁『政府情報システムにおけるクラウドサービスの適切な利用に係るガイドライン』令和6年］

• ガバメントクラウドの利用を第一に検討し、セキュリティ評価制度（ISMAP）登録済みサービスを選定する
• クラウド上のモダンアーキテクチャを活用し、API連携やマイクロサービス化を検討する
• 既存メーンフレーム資産は、当面オンプレミスで維持するが、可能な部分からクラウドへ疎結合で接続して活用する

モダン技術の活用と段階的刷新

クラウドを“スマートに”利用するためには、アプリケーションのモダン化が不可欠です。新規システムは当初からマイクロサービスやコンテナ技術を前提とした設計にし、既存メーンフレームの刷新はライフサイクルのタイミングで段階的に進めます。デジタル庁の指針では、以下を推奨しています。［出典：デジタル庁『政府情報システムにおけるクラウドサービスの適切な利用に係るガイドライン』令和6年］

• 新規開発はフルクラウドを基本とし、マイクロサービス＋コンテナ基盤で構築する
• 既存アプリケーションは、刷新タイミングでクラウドネイティブを検討しつつ、レガシー環境はベアメタルで維持する
• ハイブリッド環境では、オンプレミスのメーンフレームとパブリッククラウドをセキュアVPNや専用線で接続し、データ連携をAPIゲートウェイを介して行う

具体的なハイブリッドアーキテクチャ例

以下は、メーンフレームをオンプレミスに残しつつ、一部基幹業務をクラウド化するハイブリッド構成例です。地方公共団体向けの共同研究では、住民基本台帳システムをプライベートクラウド上に残しつつ、付随する帳票作成や分析処理をガバメントクラウドにオフロードする方式が示されています。［出典：北九州市『ハイブリッドクラウド運用の実現に向けた共同研究報告書』令和5年］

• オンプレミス：メーンフレーム上で基幹トランザクション処理を継続
• パブリッククラウド：帳票作成、BI分析、マイクロサービスAPIをクラウド上で実行
• データ連携：専用線（閉域網）経由でDWHにデータを転送し、BIツールから参照
• バックアップ：メーンフレームデータを週次でクラウドストレージに三重バックアップ（オンプレミス、オフサイト、クラウド）

[出典：デジタル庁『政府情報システムにおけるクラウドサービスの適切な利用に係るガイドライン』令和6年] [出典：デジタル庁『ガバメントクラウド概要解説』令和5年] [出典：北九州市『ハイブリッドクラウド運用の実現に向けた共同研究報告書』令和5年]

ガバナンスと責任分界

本章では、クラウド環境におけるセキュリティガバナンス構築と責任分界（RACIモデルなど）の考え方を解説します。企業においては、特に経営層がサイバーセキュリティ対策の責任を明確に押さえる必要があり、サイバーセキュリティ経営ガイドライン Ver.3.0に示される「重要10項目」を遂行するための体制整備が求められます［出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年］。また、システム運用部門、情報セキュリティ部門、法務部門、財務部門などがどのように役割を分担し、責任を負うかを明確にするため、RACI（Responsible, Accountable, Consulted, Informed）モデルを活用します。

サイバーセキュリティ経営ガイドラインの要旨

サイバーセキュリティ経営ガイドライン Ver.3.0では、経営層が認識すべき原則として以下の3点を挙げています［出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年］。

• 経営者自らがリーダーシップを発揮し、サイバーセキュリティへの投資を意思決定すること
• 組織横断的な体制構築を行い、経営層がサイバーセキュリティリスクを把握すること
• サイバーセキュリティ対策を事業戦略と連携し、PDCAを回しながら継続的に改善を行うこと

上記を実現するため、CISOを軸とした全社体制を整備し、各部門の役割と権限を明示しておくことが不可欠です。

RACIモデルによる責任分界

RACIモデルでは、以下の4つの役割を定義し、各タスクに対して誰が責任を負う（Responsible: 実行者）、最終責任を持つ（Accountable: 説明責任者）、関与・相談を受ける（Consulted: 相談先）、報告を受ける（Informed: 通知先）かを明確化します［出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年］。具体例として次のように定義します。

＿RACIモデルの責任分界例

タスク	Responsible (実行)	Accountable (最終責任)	Consulted (相談)	Informed (通知)
リスクアセスメント実施	情報セキュリティ部	CISO	IT部門、法務部	経営層
クラウドサービス選定	IT部門	CIO	情報セキュリティ部、財務部	CISO、経営層
契約・条項確認	法務部	法務部長	情報セキュリティ部	CISO

上記のように体制を整備することで、各部門の役割が曖昧にならず、セキュリティ対策の推進スピードが向上します。［出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年］

技術担当者へのポイント

技術担当者は、ガバナンス体制を構築する際に以下を意識してください。

• 各タスクに対して明確なRACIを作成し、ドキュメント化して共有すること
• CISOやCIOと連携し、技術的リスクと経営的リスクを一体で報告できるフォーマットを準備すること
• 定期的な社内部門間ワークショップを開催し、ガバナンスの運用状況をレビューすること

これらを実践することで、経営層に対し技術面の課題をわかりやすく説明できます。［出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年］

[出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年]

政府ガイドラインに基づくセキュリティ管理策

本章では、政府や省庁が示すクラウド利用時のセキュリティ管理策をもとに、具体的にどのような対策を実装すべきかを解説します。金融庁の「サイバーセキュリティ対策に関するガイドライン」や個人情報保護委員会の「クラウドサービス利用者による委託先の監督に関する指針」など、複数の公的資料を参照しながら、クラウドサービス選定時から運用フェーズまでの管理策を整理します。［出典：金融庁『サイバーセキュリティ対策に関するガイドライン』令和5年］［出典：個人情報保護委員会『クラウドサービス利用者による委託先の監督に関する指針』令和5年］

金融庁ガイドラインの主要項目

金融業界では、顧客データや決済情報を扱うため、クラウド利用時に厳格な管理策が必要とされています。金融庁ガイドラインでは、以下の5つの主要項目を示しています［出典：金融庁『サイバーセキュリティ対策に関するガイドライン』令和5年］。

• 委託先選定基準：ISMAP登録済みサービスを優先的に選定する
• データ保護：個人情報や機密データの暗号化を必須とする
• 運用管理：アクセスログの取得・監査を定期的に実施する
• 契約条項：セキュリティ要件を契約書に明確に定義し、監査義務を盛り込む
• インシデント対応：迅速な通報体制を構築し、法令通知要件を満たす

これらの管理策を実装することで、金融機関としての信頼性を担保しつつクラウド化を推進できます。

個人情報保護委員会の指針

個人情報保護委員会が公開する指針では、クラウドサービス利用者が委託先を監督する際に注意すべきポイントを示しています。主なポイントは以下の通りです［出典：個人情報保護委員会『クラウドサービス利用者による委託先の監督に関する指針』令和5年］。

• 委託先のセキュリティ対策状況確認：SOC報告書やISMS認証の有無を確認する
• 契約書の条項：委託先が再委託する場合の条件や責任範囲を明確化する
• 個人情報の海外移転：国境を越えるデータ転送時の追加措置（適切な契約条項等）を検討する
• 定期的モニタリング：委託先のセキュリティ対策状況を定期的に監査・評価する

これらを運用しない場合、個人情報保護法違反となり、行政処分や信用失墜のリスクが高まります。

情報セキュリティ管理策実装の流れ

以下は、クラウド運用フェーズにおけるセキュリティ管理策実装の一般的な流れです。［出典：金融庁『サイバーセキュリティ対策に関するガイドライン』令和5年］

＿セキュリティ管理策実装フロー

ステップ	内容	具体例
1. サービス選定	ISMAP登録済みサービスの有無確認	ISMAPサービスポータル照会
2. 契約・条項整備	セキュリティ要件・監査権限を契約書に明記	再委託時の条件追加
3. 暗号化設定	保存データ（At Rest）、転送データ（In Transit）の暗号化	AES-256によるサーバーサイド暗号化設定
4. アクセス制御	最小権限のIAMロール設計	ロールベースアクセスコントロール（RBAC）の適用
5. 監査ログ取得	操作ログ・アクセスログを集中管理	Syslog転送／SIEM連携
6. 定期監査・レビュー	四半期ごとのセキュリティ監査実施	外部専門家による脆弱性スキャン

これらのステップを順守することで、運用初期から継続的なセキュリティ対策が可能となります。

[出典：金融庁『サイバーセキュリティ対策に関するガイドライン』令和5年] [出典：個人情報保護委員会『クラウドサービス利用者による委託先の監督に関する指針』令和5年]

データ分類・暗号化・三重バックアップ

本章では、クラウド環境におけるデータの分類基準と暗号化要件、そして「3-2-1 ルール」を踏まえた三重バックアップ体制の設計手法を解説します。中小企業庁の「事業継続力強化計画策定の手引き」では、三重化バックアップが標準とされており、データの可用性・耐障害性を高めるために必須の構成となっています［出典：中小企業庁『事業継続力強化計画策定の手引き』令和5年］。また、個人情報保護法や金融庁ガイドラインで要求される暗号化方式を遵守することで、法令適合を確保します。

データ分類基準の策定

まず、社内に存在するデータを「機密度」「重要度」「保管期間」などの観点で分類します。以下は一般的な分類例です。［出典：総務省『情報通信白書2024』令和6年］

• 機密度高：個人情報、クレジットカード情報、社外秘設計データ
• 機密度中：顧客リスト、帳票データ、マーケティング情報
• 機密度低：公開資料、社内マニュアル、広報用素材

分類に応じて暗号化要件やアクセス制御の強度を変える必要があります。

暗号化要件と実装

保存データ（At Rest）および転送データ（In Transit）それぞれにおいて適切な暗号化方式を適用します。金融庁や個人情報保護委員会では、AES-256を推奨しており、クラウドストレージサービスではサーバーサイド暗号化（SSE）を利用することが一般的です［出典：金融庁『サイバーセキュリティ対策に関するガイドライン』令和5年］。また、TLS1.2以上を確保してデータ転送時の保護を行います。

三重バックアップ設計（3-2-1 ルール）

「3-2-1 ルール」とは、以下の要件を満たすバックアップ構成を指します。［出典：中小企業庁『事業継続力強化計画策定の手引き』令和5年］

• データは少なくとも3つの異なるコピーを保持する
• 2つの異なるメディアに保存する
• 1つはオフサイト（オンプレミス、オフサイト、クラウド）に保管する

例えば、メーンフレーム環境内に1コピー、オンプレミスの別サーバーに1コピー、クラウドストレージに1コピーを保持することで、自然災害や設備故障、ランサムウェア攻撃などから迅速に復旧可能です。

バックアップ運用フロー

以下は三重バックアップ運用のフロー例です。［出典：中小企業庁『事業継続力強化計画策定の手引き』令和5年］

＿三重バックアップ運用フロー

ステップ	対象データ	保存先	頻度
1. 日次バックアップ	更新データ全般	オンプレミス別サーバー	毎日深夜
2. 週次バックアップ	本番データ	クラウドストレージ（暗号化済）	毎週日曜日
3. 月次バックアップ	全システムスナップショット	オフサイト（テープ保管など）	毎月1日

リストア時には、最新のバックアップから検証環境で復旧テストを実施し、運用サイトへの切り戻しを行います。

[出典：中小企業庁『事業継続力強化計画策定の手引き』令和5年] [出典：総務省『情報通信白書2024』令和6年] [出典：金融庁『サイバーセキュリティ対策に関するガイドライン』令和5年]

身元保証とアクセス制御（IAM）

本章では、クラウド環境におけるアイデンティティ管理とアクセス制御（IAM: Identity and Access Management）の設計手法を解説します。IPAの「クラウドセキュリティの歩き方」や経済産業省のガイドラインでは、最小権限原則を徹底するためのIAMポリシー設計が強調されています［出典：IPA『クラウドセキュリティの歩き方』令和5年］［出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年］。

最小権限原則の徹底

最小権限原則とは、ユーザーやサービスが必要最小限の権限だけを付与される設計方針です。これにより、万が一認証情報が漏洩しても被害範囲を限定できます。日本企業向けに推奨される要件は次の通りです。［出典：IPA『クラウドセキュリティの歩き方』令和5年］

• ユーザーやサービスアカウントごとに個別のIAMポリシーを作成し、機能単位でアクセス権限を細分化する
• 定期的に利用状況を見直し、不要な権限は即時に削除する
• 多要素認証（MFA）を必須化し、IDやパスワード漏洩リスクを低減する

IAM設定後は、IAMアクセスアナライザーなどを使い、設定漏れがないか継続的に検証します。

ロールベースアクセスコントロール（RBAC）

RBACでは、ユーザーではなく「役割（Role）」に対して権限を与え、その役割をユーザーやグループに割り当てる方式です。多くのクラウドプロバイダがRBACをサポートしており、管理が容易になります。以下は設計時のポイントです。［出典：IPA『クラウドセキュリティの歩き方』令和5年］

• 運用者、開発者、監査者などの役割を定義し、権限をグループ化する
• 権限委譲を実現するための委任ロールを作成し、必要に応じて現場レベルで権限付与可能とする
• IAMロールの監査ログをSIEMに連携し、不審なアクセス試行を検知する

RBACにより、権限管理の透明性が向上し、監査証跡を確実に取得できます。

監査ログとアクセスログの管理

IAM設計の一環として、すべてのアクセスログをクラウドの監査ログサービス（CloudTrail、CloudWatch Logsなど）に送信し、SIEMやSOCで集中管理します。経済産業省のガイドラインでは、ログ保持期間やログ整合性確保の要件が示されています［出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年］。

• 監査ログは暗号化されたストレージに保存し、改ざんを防止する
• ログは最低1年間保持し、インシデント発生時に証跡として利用可能とする
• SIEMによるログ分析ルールを定義し、異常な行動を検知したら即時アラートを発報する

[出典：IPA『クラウドセキュリティの歩き方』令和5年] [出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年]

監査証跡・フォレンジックログ保持

本章では、インシデント発生時の原因解析やフォレンジック調査に必要な監査証跡（オーディットトレイル）およびログ保持の要件を解説します。NISC（内閣サイバーセキュリティセンター）が公開する「サイバーセキュリティガイドライン2024」では、重要インフラ事業者を対象にログ保持期間や証跡の整合性を義務付けており、その考え方を企業向けに適用します［出典：NISC『サイバーセキュリティガイドライン2024』令和6年］。また、各種ログ（アクセスログ、システムログ、アプリケーションログなど）を統合的に管理し、フォレンジック調査に備える必要があります。

ログ保持期間と整合性確保

NISCのガイドラインでは、以下の要件を推奨しています。［出典：NISC『サイバーセキュリティガイドライン2024』令和6年］

• アクセスログは最低1年間保持し、改ざん防止のためにタイムスタンプ付きのWrite Once Read Many（WORM）ストレージに保存する
• システムログおよびアプリケーションログは最低6か月～1年間保持し、クラウドストレージのライフサイクル管理を利用してコストを最適化する
• ログの暗号化とアクセス制御を徹底し、監査権限を持つアカウントのみが参照できるように設定する

これにより、インシデント発生時に必要な証跡をすぐに取得できる体制を構築します。

ログ収集・集中管理の仕組み

以下の手順で、ログ収集から集中管理までの仕組みを構築します。［出典：NISC『サイバーセキュリティガイドライン2024』令和6年］

• 各サーバーおよびネットワーク機器からログをSyslogやエージェント経由で収集
• 収集したログをクラウドのSIEM（Security Information and Event Management）サービスに転送し、データレイクを構築
• SIEMでリアルタイム解析ルールを設定し、異常検知時には自動でSNSやメールでアラートを発報
• フォレンジック分析用に、インシデント発生時だけ読み取り権限を与える短期保持バケットにログをコピー

このような集中管理を行うことで、インシデント対応時に複数のログソースを横断的に検索・分析できます。

フォレンジックにおける注意点

フォレンジック調査では、ログの完全性と時系列性が重要です。以下のポイントを守ってください。［出典：NISC『サイバーセキュリティガイドライン2024』令和6年］

• ログの改ざんを防ぐため、WORMストレージやブロックチェーン技術を活用する
• 時系列解析を容易にするため、すべてのログにNTP同期されたタイムスタンプを付与する
• アクセス権限を限定し、ログ取得日時や取得者情報を別途ログに残す

正確なフォレンジック調査が実施できないと、原因特定が遅延し、対応コストが膨大になる可能性が高まります。

[出典：NISC『サイバーセキュリティガイドライン2024』令和6年]

インシデント初動と法令通知

本章では、マルウェア感染や内部不正などのインシデント発生時における初動対応プロセスと、関連法令への適切な通報手順を解説します。警察庁が毎年公表する「サイバー空間をめぐる脅威の情勢」では、インシデント発生から24時間以内の初動対応が被害最小化に重要であるとされています［出典：警察庁『サイバー空間をめぐる脅威の情勢』令和6年］。また、個人情報漏えいが疑われる場合は、個人情報保護委員会への通報義務があります。

初動対応フロー

インシデント発生時の初動対応は次の手順で行います。［出典：警察庁『サイバー空間をめぐる脅威の情勢』令和6年］

• 検知・確認：SIEMやEDR（Endpoint Detection & Response）で異常を検知し、インシデントか否かを判断する
• 隔離・封じ込め：被害端末や感染サーバーをネットワークから隔離し、被害拡大を防止する
• 初期調査：フォレンジックログを収集し、攻撃経路や被害範囲を特定する
• 法令通報準備：個人情報漏えいが疑われる場合は、個人情報保護委員会や監督官庁への通報準備を行う

24時間以内に法令通報が必要なケースでは、社内インシデント対応チームが連携し、必要書類の準備と通報手続きを迅速に実施します。

法令通報の要件

個人情報漏えいが生じた場合、個人情報保護法第24条第9項に基づき、速やかに個人情報保護委員会及び本人への通知が必要です［出典：個人情報保護委員会『個人情報保護法ガイドライン』令和5年］。通知内容には、漏えい件数、漏えい原因、再発防止策などを含める必要があります。金融庁が定める「金融事故報告要領」では、金融業界のインシデント通報要件がより厳格に定められており、発覚後48時間以内に報告義務が課されるケースもあります［出典：金融庁『金融事故報告要領』令和5年］。

関係各所との連携

インシデント対応時には、以下の関係者と速やかに連携します。［出典：警察庁『サイバー空間をめぐる脅威の情勢』令和6年］

• CSIRT（Computer Security Incident Response Team）：技術調査と対応方針の策定
• 法務部：通報書類の作成と法令手続きの確認
• 総務部：外部報道対応や株主・顧客への情報提供
• 個人情報保護委員会：個人情報漏えい通報

これらの連携が遅れると、通報義務違反や情報漏えい二次被害が発生し、企業信用を失墜するリスクが高まります。

[出典：警察庁『サイバー空間をめぐる脅威の情勢』令和6年] [出典：個人情報保護委員会『個人情報保護法ガイドライン』令和5年] [出典：金融庁『金融事故報告要領』令和5年]

BCP：緊急時・無電化時・停止時の3段階運用

本章では、BCP（事業継続計画）の策定において、緊急時・無電化時・システム停止時の3段階のオペレーションを検討する方法を紹介します。内閣府が推進する「レジリエンス強化事業」では、事業継続力強化計画の認定要件として、自然災害やサイバー攻撃など多様なリスクに対応できる3段階の運用を求めています［出典：内閣府『レジリエンス強化事業ガイドライン』令和6年］。とくにデータ復旧の観点では、システム停止時にも迅速にデータ復旧できる仕組みを組み込むことが求められます。

緊急時運用（インシデント直後）

緊急時運用では、インシデント発生直後に以下の活動を行います。［出典：内閣府『レジリエンス強化事業ガイドライン』令和6年］

• インシデント対応チームの招集と初期対応（インシデント8 LINES）
• 代替手段の即時確保：オンプレミスからクラウド環境へのフェールオーバー、または予備データセンターへの切り替え
• 状況報告と初期通知：経営層、CSIRT、関係部門へのインシデント報告
• 初期復旧手順の実行：最小限の機能を維持するためのバックアップデータ復旧

この段階では、被害範囲を最小限に抑えて「事業継続」を維持することが目的です。

無電化時運用（設備停止を想定）

無電化時運用では、停電や電力障害に備えて次の手順を想定します。［出典：内閣府『レジリエンス強化事業ガイドライン』令和6年］

• UPS（無停電電源装置）や非常用発電機の切り替え手順をマニュアル化
• データセンターとクラウド間の耐障害性を確保：プライベートクラウドとパブリッククラウドへの分散設置
• 重要システムの最低限稼働レベルを定義し、停止しないようにする
• 通信障害を想定した代替コミュニケーション手段（衛星電話、非常用無線など）を確保する

停電時でもデータアクセスが可能となるよう、クラウド側にミラーサイトを準備しておくことが望まれます。

システム停止時運用（全面停止想定）

システム全面停止時には、通常業務が停止する前提で以下を実施します。［出典：内閣府『レジリエンス強化事業ガイドライン』令和6年］

• 手動バックアップの手順書を用意し、運用担当者が迅速に対応可能とする
• 重要データの印刷やオフラインメディアへの書き出しを事前に計画
• 顧客や取引先への一時的なサービス停止案内テンプレートを準備
• 復旧後の検証項目リストを作成し、正常稼働の確認を迅速化する

全面停止時には、想定外の障害が発生する可能性が高いため、手順書の完成度を高め、訓練を通じて運用担当者の熟練度を上げることが重要です。

[出典：内閣府『レジリエンス強化事業ガイドライン』令和6年]

コスト最適化と財務計画

本章では、クラウド移行・運用に伴うコストを最適化するための手法と、財務計画の立案方法を解説します。経済産業省が公開する「レジリエンス社会の実現」によれば、IT投資はリスク軽減および事業継続性向上のための重要な資本投下であると定義されており、ROI（投資対効果）評価を明確に示す必要があります［出典：経済産業省『レジリエンス社会の実現』令和5年］。クラウドコスト最適化では、リソースの権限族・使用状況の継続的モニタリングやリザーブドインスタンスなどの割引プランを活用します。

コスト評価フレームワーク

クラウドコストを評価する上で、以下の観点を踏まえて定量評価を行います。［出典：経済産業省『レジリエンス社会の実現』令和5年］

• 初期導入コスト（マイグレーション開発費、トレーニング費用）
• ランニングコスト（インスタンス利用料、ストレージ使用料、データ転送料金）
• 隠れコスト（運用監視費、人件費、ログ保管費用）
• リスク軽減効果（ダウンタイム削減による売上損失回避額）

これらをY軸（コスト）とX軸（効果）のマトリクスにプロットし、コストベネフィット分析を行います。

リザーブドインスタンスとオートスケーリング

クラウドプロバイダが提供するリザーブドインスタンス（RI）やSavings Plansを活用することで、長期的にコストを抑制できます。AWSやAzureでは1年契約、3年契約プランがあり、オンデマンド料金に比べて最大75%の割引が可能です［出典：経済産業省『レジリエンス社会の実現』令和5年］。さらに、オートスケーリング機能を用いてピーク時のみリソースをスケールアップし、非ピーク時にはスケールダウンすることで無駄なリソースコストを削減します。

財務計画の立案

財務計画は、IT投資の回収期間と継続的な運用コストを含めて策定します。次の手順を参考にしてください。［出典：経済産業省『レジリエンス社会の実現』令和5年］

＿財務計画立案の手順

ステップ	主な作業	出力物
1. 現状コスト分析	オンプレミス運用コスト把握	コストベースラインレポート
2. クラウド移行シナリオ作成	リソース選定と性能要件の定義	移行コスト概算シート
3. ROI・TCO分析	長期的コスト比較と利益計算	ROI/TCOレポート
4. 予算確定と予算配分	経営層承認、予算割当	承認済み予算計画書
5. 定期レビュー	実運用コストと計画との差異分析	コストレビュー報告書

このフローを繰り返し、実際の運用コストが計画値を超過しないように継続的にモニタリングします。

[出典：経済産業省『レジリエンス社会の実現』令和5年]

人材確保と資格

本章では、クラウド環境を含むセキュリティ対応に必要な人材要件と推奨資格、さらに人材育成・募集のポイントを解説します。経済産業省とIPAが共同で公表する「サイバーセキュリティ体制構築・人材確保の手引き」では、以下のような要件を示しています［出典：経済産業省・IPA『サイバーセキュリティ体制構築・人材確保の手引き』令和4年］。

• CISO（最高情報セキュリティ責任者）: 情報セキュリティ全体を統括し、経営層と連携して戦略立案ができる人材
• セキュリティアナリスト: SIEMやEDRを用いた脅威分析・フォレンジック調査ができる人材
• クラウドセキュリティエンジニア: クラウド環境の設計・運用・脆弱性診断ができる人材
• コンプライアンス担当: 個人情報保護法や金融庁ガイドラインなどを理解し、法令遵守を推進できる人材

これらの人材を確保するため、社内異動や外部採用、教育投資を組み合わせて計画的に育成する必要があります。

必須・推奨資格

以下は、セキュリティ人材が取得すべき必須・推奨資格の例です。［出典：経済産業省・IPA『サイバーセキュリティ体制構築・人材確保の手引き』令和4年］

＿セキュリティ人材向け推奨資格一覧

役割	資格	説明
CISO	情報処理安全確保支援士（RISS）、CISSP	経営視点でセキュリティ戦略を立案・管理できる
セキュリティアナリスト	CEH（認定ホワイトハッカー）、GCIA（GIAC Certified Intrusion Analyst）	脅威分析やフォレンジック調査スキルを有する
クラウドセキュリティエンジニア	AWS Certified Security – Specialty、CCSP（Certified Cloud Security Professional）	クラウド固有のセキュリティ設計・運用スキルを持つ
コンプライアンス担当	プライバシーマーク審査員、CIPP/J（Certified Information Privacy Professional/ Japan）	個人情報保護やプライバシー法規制に精通している

人材育成・募集のポイント

人材育成や募集を行う際には、以下のポイントを念頭に置いてください。［出典：経済産業省・IPA『サイバーセキュリティ体制構築・人材確保の手引き』令和4年］

• 社内異動によるジョブローテーション：現場経験者をセキュリティ部門に配置し、実践的なスキルを習得させる
• 定期的な社内研修と外部セミナー参加：セキュリティ最新動向をキャッチアップする機会を提供する
• 資格取得支援制度：受験費用やテキスト購入費を会社が負担し、資格取得を推奨する
• 採用要件の明確化：募集要項に具体的なスキル要件や資格要件を記載し、ミスマッチを防ぐ

これらを組み合わせて計画的に人材を確保し、定着率を高める施策が必要です。

[出典：経済産業省・IPA『サイバーセキュリティ体制構築・人材確保の手引き』令和4年]

運用保守・定期点検と自動化

本章では、クラウド環境を含むシステム全体の運用保守および定期点検の実施方法と、自動化による効率化手法を解説します。経済産業省と総務省が共同で公開する「情報通信分野におけるセキュリティ対策の推進ガイドライン」では、定期点検の項目やサイクルを明示しており、それに基づき以下のような運用体制を構築することが推奨されています［出典：経済産業省・総務省『情報通信分野におけるセキュリティ対策の推進ガイドライン』令和5年］。

定期点検の実施項目

定期点検では、以下の項目を四半期または半期ごとにレビューします。［出典：経済産業省・総務省『情報通信分野におけるセキュリティ対策の推進ガイドライン』令和5年］

• システム脆弱性スキャン結果のレビューとパッチ適用状況の確認
• アクセス権限設定の見直しと不要アカウントの削除
• バックアップログおよびフォレンジックログの整合性チェック
• クラウドリソースの使用状況とコストアラートの確認
• インシデント対応体制の訓練結果と手順書の改訂状況

定期点検の結果は、社内監査レポートとして経営層に報告し、必要に応じて対策を追加実施します。

自動化ツールの活用

運用保守業務を効率化するために、自動化ツールを活用します。たとえば、以下のようなツールや機能が挙げられます。［出典：経済産業省・総務省『情報通信分野におけるセキュリティ対策の推進ガイドライン』令和5年］

• インフラコード管理（IaC: Infrastructure as Code）による環境構築と設定変更の自動化
• クラウドプロバイダのCSPM（Cloud Security Posture Management）サービスによる設定監査自動化
• CI/CDパイプラインにおける脆弱性スキャンやコードレビューの自動化
• チャットOpsやSlack連携によるアラート通知自動化

これにより、人為的ミスを減らし、運用負荷を軽減するとともに、迅速な脅威検知を実現します。

定期点検結果のフィードバック

定期点検で発見された課題や脆弱性は、PDCAサイクルに基づき以下のようにフィードバックします。［出典：経済産業省・総務省『情報通信分野におけるセキュリティ対策の推進ガイドライン』令和5年］

• Plan：課題抽出と対策計画策定
• Do：対策実装と設定変更
• Check：再スキャンと改善効果の検証
• Act：手順書・マニュアルの更新と次回点検項目の修正

このサイクルを継続することで、運用保守の品質を向上させ、脅威への耐性を強化します。

[出典：経済産業省・総務省『情報通信分野におけるセキュリティ対策の推進ガイドライン』令和5年]

法令・政府方針が社会活動を変える

本章では、法令や政府方針の変更がクラウドを含む情報システム運用や社会活動全般に与える影響を解説します。近年、電気通信事業法の改正案や政府のデータ保護規制強化などが進められており、これらがクラウド利用にも大きな影響を及ぼします。経済産業省や総務省が発表する各種指針を参照しながら、最新動向を追い、企業がどのように対応すべきかを示します。［出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年］［出典：総務省『情報通信白書2024』令和6年］

電気通信事業法改正のポイント

電気通信事業法改正案では、データ通信の透明性確保と利用者保護を強化するため、クラウドサービス提供者にも遵守義務が課されています。具体的には、以下の点が改正されています。［出典：総務省『電気通信事業法改正案概要』令和6年］

• クラウドサービスの通信品質保証：SLAに準拠した報告義務の明確化
• 利用者データの取扱い透明化：通信ログの開示要件と監督強化
• 安全管理措置の強化：クラウドプロバイダに対する監査権限の付与

これに伴い、企業側はクラウドプロバイダとの契約書を見直し、最新の法令要件を反映する必要があります。

個人情報保護法の改正動向

個人情報保護法は、3年ごとに改正を行うスケジュールとなっており、最新の改正ではクラウド利用者とプロバイダの責任分界が明確化されました。改正要点は以下の通りです。［出典：個人情報保護委員会『個人情報保護法改正概要』令和6年］

• クラウド利用時の再委託ルール厳格化：再委託先も個人情報保護規定の適用対象となる
• 匿名加工情報の取り扱い基準強化：より厳密な事前審査および通知義務の追加
• 海外移転時の安全対策要件：EUのGDPRと同等の保護措置の実装が必要

企業は改正内容を速やかに把握し、クラウドサービス仕様のレビューや契約書改訂を推進する必要があります。

政府デジタル戦略とISMAP

デジタル庁が推進する政府のデジタル戦略では、ISMAP（情報セキュリティマネジメント基盤）認証サービスの利用が国の標準とされています。ISMAP認証を取得したクラウドサービスのみを原則として利用する方針が定められているため、自社のクラウド選定基準をISMAP対応に合わせて更新する必要があります。［出典：デジタル庁『政府情報システムにおけるクラウドサービスの適切な利用に係るガイドライン』令和6年］

[出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年] [出典：総務省『情報通信白書2024』令和6年] [出典：総務省『電気通信事業法改正案概要』令和6年] [出典：個人情報保護委員会『個人情報保護法改正概要』令和6年] [出典：デジタル庁『政府情報システムにおけるクラウドサービスの適切な利用に係るガイドライン』令和6年]

今後2年の法改正・情勢変化予測と対策

本章では、今後2年間で予測される主要な法改正や社会情勢の変化をまとめ、それらにどう対応すべきかを解説します。例えば、個人情報保護法のさらなる強化、EU NIS2指令への国内対応、さらにはサイバー保険市場の拡大などが挙げられます。各トピックについて、政府・省庁の公表資料をもとに予測と対策を示します。［出典：個人情報保護委員会『個人情報保護法改正概要』令和6年］［出典：総務省『情報通信白書2024』令和6年］［出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年］

個人情報保護法のさらなる改正動向

個人情報保護法は今後も毎年見直しが行われる見込みであり、特に以下の改正が予測されています。［出典：個人情報保護委員会『個人情報保護法改正概要』令和6年］

• 匿名加工情報の提供範囲拡大：研究機関等への利活用促進のための規制緩和
• AI・ビッグデータ活用時のプライバシー保護強化：アルゴリズム透明性や説明責任の追加
• クラウドでの個人データ分析時の国内保存要件：一定規模以上のデータは国内データセンターへの保存義務

これに伴い、クラウドプロバイダを選定する際には国内リージョン対応や匿名加工の仕組みが必須となる可能性があります。

EU NIS2指令への国内対応

EUにおいて2024年施行予定のNIS2指令（Network and Information Security Directive 2）では、重要インフラ事業者やデジタルサービス事業者に対し、サイバーセキュリティ管理策やインシデント報告義務を強化しています。日本でも同様の国内指針が策定される見込みであり、企業は以下を準備する必要があります。［出典：内閣府『レジリエンス強化事業ガイドライン』令和6年］

• 拡張されたインシデント報告要件（72時間以内報告など）への対応準備
• サイバーセキュリティ管理策の強化：SCRM（Supply Chain Risk Management）やゼロトラスト導入
• インシデント対応演習と訓練の定期実施

これらを見越して、社内ポリシーを早期に整備し、運用フローをアップデートすることが求められます。

サイバー保険市場の拡大と対応

サイバー保険市場は急速に成長しており、2025年以降も引き続き拡大が見込まれています。経済産業省のレポートによれば、サイバー保険を適切に契約することで、インシデント発生時の損害賠償リスクを軽減できるとされています［出典：経済産業省『レジリエンス社会の実現』令和5年］。ただし、保険会社はリスク評価の一環として厳格なセキュリティ要件を求めるため、以下の対策が必要です。

• ISMAP認証済みクラウドプロバイダの利用
• 定期的な脆弱性スキャンとペネトレーションテストの実施
• インシデント対応体制およびフォレンジック体制の整備

これらの対策が整っていないと、保険料が高くなる、最悪の場合は加入自体ができなくなる可能性があります。

[出典：個人情報保護委員会『個人情報保護法改正概要』令和6年] [出典：総務省『情報通信白書2024』令和6年] [出典：経済産業省『レジリエンス社会の実現』令和5年] [出典：内閣府『レジリエンス強化事業ガイドライン』令和6年]

外部専門家・弊社へのエスカレーション

本章では、社内リソースだけでは対応が困難なケースにおいて外部専門家や情報工学研究所（弊社）へのエスカレーション方法を解説します。特に高度なフォレンジック調査やランサムウェア被害、ゼロデイ攻撃などの緊急事案では専門的な知見とツールを持つ外部の支援が不可欠です。内閣サイバーセキュリティセンター（NISC）のガイドラインでも、重要インフラ事業者への外部専門家活用の推奨が示されています［出典：NISC『サイバーセキュリティガイドライン2024』令和6年］。

エスカレーションの判断基準

次のようなケースでは外部エスカレーションを検討してください。［出典：NISC『サイバーセキュリティガイドライン2024』令和6年］

• 社内フォレンジックツールでは解析困難な暗号化ランサムウェア被害
• 複雑なサプライチェーン攻撃の影響範囲特定
• ゼロデイ脆弱性を突いた高度なサイバー攻撃
• 大規模インシデントで社内対応体制が飽和する場合

これらのケースでは、外部専門家との契約済み支援枠を事前に確保し、早期に対応フェーズへ移行できる体制を整えておくと被害を最小化できます。

情報工学研究所（弊社）のサービス概要

情報工学研究所（弊社）は、以下のような専門サービスを提供しています。［出典：NISC『サイバーセキュリティガイドライン2024』令和6年］

• 高度フォレンジック調査：暗号化ファイルの復号、メモリフォレンジック、マルウェア解析
• ランサムウェア対策・復旧支援：被害範囲特定からデータ復旧までの一貫支援
• ゼロトラストセキュリティ設計：ID管理・ネットワーク分離・アクセス制御の最適化
• クラウドネイティブ脆弱性診断：IaCテンプレートやコンテナイメージのセキュリティ評価

特にフォレンジック調査では、業界最先端のツールを活用し、短期間で発生源を特定することが可能です。フォレンジック結果は法的証拠としても活用できる形式で提供します。

エスカレーション手順

外部エスカレーションの一般的な手順は以下の通りです。［出典：NISC『サイバーセキュリティガイドライン2024』令和6年］

• インシデント判定：社内CSIRTが初期対応を行い、エスカレーション要件に該当するかを判断
• 契約確認：既存の契約内容（支援枠、作業費用、NDAなど）を確認
• 依頼書作成：必要情報（発生日時、影響範囲、初期調査結果）をまとめて依頼書を作成
• 対応開始：外部専門家が現地調査またはリモートアクセスで対応を開始
• 報告・引き継ぎ：外部専門家からの報告を受領し、社内に引き継ぐ

事前に外部専門家との連絡フローを明確にしておくことで、緊急時の対応遅延を防ぎます。

[出典：NISC『サイバーセキュリティガイドライン2024』令和6年]

おまけの章　重要キーワード・関連キーワードマトリクス

＿キーワードと解説マトリクス

キーワード	意味・解説
サイバーセキュリティ経営ガイドライン	経営層がリーダーシップを発揮し、組織横断的にサイバー対策を推進するための指針［出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年］
ISMAP	政府が認証するクラウドサービスのセキュリティ評価制度。ISMAP登録済みサービスのみを利用する方針が政府の標準となっている［出典：デジタル庁『ガバメントクラウド概要解説』令和5年］
3-2-1ルール	データバックアップの基本原則。3つのコピーを、2つの異なるメディアで、1つはオフサイトに保存すること［出典：中小企業庁『事業継続力強化計画策定の手引き』令和5年］
RACIモデル	タスクごとの責任分界（Responsible、Accountable、Consulted、Informed）を明確化する手法［出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年］
WORMストレージ	一度書き込むと改ざん・消去ができないストレージ。監査証跡ログの改ざん防止に用いられる［出典：NISC『サイバーセキュリティガイドライン2024』令和6年］
ゼロトラスト	ネットワーク境界を前提とせず、「常に検証」を信条とするセキュリティモデル。クラウド環境においても適用が進む［出典：経済産業省『サイバーセキュリティ経営ガイドライン Ver.3.0』令和5年］
CSPM	Cloud Security Posture Management。クラウド設定の不備を自動検出し、修正を支援するサービス［出典：経済産業省・総務省『情報通信分野におけるセキュリティ対策の推進ガイドライン』令和5年］
EDR	Endpoint Detection & Response。エンドポイントの異常を検知し、自動対応するセキュリティ技術［出典：警察庁『サイバー空間をめぐる脅威の情勢』令和6年］
フォレンジック	サイバー攻撃や不正操作の痕跡を解析し、証拠を収集する技術・手法。法的証拠能力を確保するために厳格な手順が必要［出典：NISC『サイバーセキュリティガイドライン2024』令和6年］
オートスケーリング	クラウド環境でトラフィックや負荷に応じて自動でリソースを増減し、コスト最適化と可用性を両立する機能［出典：経済産業省『レジリエンス社会の実現』令和5年］