cloud-provider-assessment

クラウドサービスプロバイダーのプライバシー評価

概要

クラウドサービスプロバイダーの評価では、責任共有モデル、マルチテナントアーキテクチャ、グローバルインフラストラクチャ、物理的な処理場所が抽象化されていることから、特有のプライバシー評価上の課題が生じます。GDPR 第 28 条の義務はクラウド処理の関係にも全面的に適用されますが、評価方法ではクラウド特有の特徴を考慮する必要があります。

ISO/IEC 27018:2019 は、パブリッククラウドにおける個人識別情報（PII）の保護に関する国際規格であり、ISO 27001 にクラウド固有のプライバシー管理策を補足するものです。Cloud Security Alliance（CSA）の STAR プログラムは、クラウド固有のセキュリティ保証フレームワークを提供します。プライバシー信頼サービス基準を含む SOC 2 Type II は、個人データの取り扱いに関する管理策に対応しています。

Summit Cloud Partners では、クラウドプロバイダーに対して、標準的なベンダーデューデリジェンスに加え、これらのクラウド固有のフレームワークを取り入れた強化評価を実施しています。

クラウドサービスモデルとプライバシーへの影響

IaaS（サービスとしてのインフラストラクチャ）

項目	管理者の責任	プロバイダーの責任
保存データの暗号化	鍵の設定と管理	暗号化インフラストラクチャの提供
アクセス管理（アプリケーションレベル）	定義と管理	IAM プラットフォームの提供
ネットワークセキュリティ（アプリケーションレベル）	セキュリティグループとファイアウォールルールの設定	ネットワークインフラストラクチャの提供
物理セキュリティ	なし	全面的な責任
パッチ管理（OS）	管理者（またはマネージドサービス）	ハイパーバイザー以下
データバックアップ	設定と管理	バックアップインフラストラクチャの提供
インシデント検出（アプリケーション）	アプリケーションレベルの監視	インフラストラクチャレベルの監視

PaaS（サービスとしてのプラットフォーム）

項目	管理者の責任	プロバイダーの責任
アプリケーションコードのセキュリティ	全面的な責任	なし
アプリケーション内のデータ処理	全面的な責任	なし
ランタイムとミドルウェア	限定的 — 設定のみ	プラットフォームコンポーネントの管理
OS とインフラストラクチャ	なし	全面的な責任
プラットフォームのセキュリティパッチ適用	なし	全面的な責任
ID 管理	設定	ID プラットフォームの提供

SaaS（サービスとしてのソフトウェア）

項目	管理者の責任	プロバイダーの責任
ユーザーが入力するデータ	処理するデータの決定	管理者の指示に従った処理
アプリケーションセキュリティ	なし（設定を除く）	全面的な責任
インフラストラクチャセキュリティ	なし	全面的な責任
データポータビリティ	エクスポート要件の定義	エクスポート機能の提供
データ削除	削除の依頼	DPA に従った削除の実施
アクセス設定	ユーザーロールの設定	RBAC プラットフォームの提供

評価フレームワーク

ドメイン 1：データの保存場所と主権

評価項目：

#	質問	求められる証拠
1.1	個人データはどのリージョン／アベイラビリティゾーンで保存時に保管されますか？	データ保管場所を明記したアーキテクチャ文書
1.2	管理者は処理を特定の地理的リージョンに制限できますか？	リージョン制限機能を示す設定文書
1.3	選択したリージョン外でデータが処理される状況はありますか？	リージョン間処理（DR、サポート、分析）に関する開示
1.4	メタデータとテレメトリデータはどこに保管されますか？	多くの場合、プロバイダーの本拠地の法域に保管されるため、開示が必要です
1.5	サポートスタッフはどこからデータにアクセスしますか？	サポート担当者がデータにアクセスする可能性のある国の一覧
1.6	処理が行われる法域では、どのような政府によるアクセスまたは開示義務が適用されますか？	EDPB Recommendations 01/2020 に基づく、政府のアクセス権限に関する法的分析

ドメイン 2：マルチテナントとデータ分離

#	質問	期待される証拠
2.1	テナントのデータは、他の顧客のデータからどのように分離されていますか？	アーキテクチャのドキュメント — 論理的／物理的な分離の詳細
2.2	暗号化キーはテナントごとに固有ですか？	キー管理アーキテクチャのドキュメント
2.3	あるテナントの操作が、別のテナントのデータに影響を及ぼす可能性はありますか？	サイドチャネルおよびテナント間リスクの評価
2.4	共有インフラストラクチャのコンポーネントはどのように保護されていますか？	ハイパーバイザーのセキュリティ、共有ストレージの制御
2.5	どのようなテナント分離テストが実施されましたか？	テナント間攻撃を対象とした侵入テストの結果

ドメイン 3：ISO 27018 クラウドプライバシー管理策

ISO/IEC 27018:2019 は、ISO 27001 をクラウド固有の PII 保護管理策で拡張します。

管理策	要件	評価の確認事項
A.1	PII 処理者の同意 — 管理者の指示に従ってのみ処理する	契約条件と処理範囲を確認する
A.2	目的の制限 — 管理者の目的を超える処理を行わない	処理範囲のドキュメントを確認する
A.3	マーケティングへの使用 — 同意なしに PII をマーケティングに使用しない	データの収益化やマーケティング利用がないことを確認する
A.4	通知 — 政府機関によるアクセス要求について管理者に通知する	政府機関によるアクセス通知のプロセスを確認する
A.5	開示 — PII のすべての開示を記録する	開示のログ記録メカニズムを確認する
A.10	返却、移転、廃棄 — 契約終了時にデータを安全に取り扱う	削除手順と証明を確認する
A.11	機密保持 — 従業員に拘束力のある機密保持義務を課す	従業員との契約がクラウド固有のリスクを対象としていることを確認する
A.12	再委託 — サブプロセッサーの起用について通知する	Art. 28(2) に従ったサブプロセッサー管理を確認する

ドメイン 4：CSA STAR 評価

Cloud Security Alliance の STAR（Security, Trust, Assurance, and Risk）プログラムには、次の 3 つのレベルがあります。

レベル	説明	評価方法
レベル 1：自己評価	プロバイダーが CSA Consensus Assessments Initiative Questionnaire（CAIQ）に回答する	自己評価の完全性と裏付けを確認する
レベル 2：第三者監査	CSA Cloud Controls Matrix（CCM）に基づく独立監査	監査報告書、範囲、指摘事項を確認する
レベル 3：継続的モニタリング	管理策の有効性をリアルタイムで監視する	継続的モニタリングのダッシュボードとアラートを確認する

プライバシーに関する主要な CCM 管理策ドメイン：

ドメイン	管理策	プライバシーとの関連性
DSP（データセキュリティとプライバシー）	DSP-01 から DSP-19	データ分類、保持、インベントリ、プライバシー・バイ・デザイン
GRC（ガバナンス、リスク、コンプライアンス）	GRC-01 から GRC-08	ガバナンスフレームワーク、リスク評価、ポリシー管理
IAM（ID とアクセス管理）	IAM-01 から IAM-16	アクセス制御、認証情報管理、MFA
SEF（セキュリティインシデント管理）	SEF-01 から SEF-08	インシデント対応、侵害通知

ドメイン 5：SOC 2 Type II プライバシー基準

AICPA Trust Services Criteria のプライバシー基準では、次の事項を評価します。

基準	領域	評価の重点
P1	通知	プロバイダーがプライバシー慣行を管理者に開示している
P2	選択と同意	管理者がプライバシー設定を構成できる
P3	収集	データ収集が明示された目的に限定されている
P4	使用、保持、廃棄	指示に従った処理、DPA に従った保持、削除の証明
P5	アクセス	管理者が自身のデータにアクセスし、取得できる
P6	第三者への開示	サブプロセッサーの開示と管理
P7	プライバシーのためのセキュリティ	PII を保護する技術的管理策
P8	品質	データの完全性と正確性に関する管理策
P9	モニタリングと実施	コンプライアンスのモニタリングと侵害対応

ドメイン 6：責任共有モデルの対応付け

各管理ドメインについて、責任共有の境界を文書化します。

管理ドメイン	管理者の責任	プロバイダーの責任	ギャップ／リスク
データ分類	アップロード前にデータを分類する	分類ツールを提供する	[ギャップ？]
暗号化キー管理	[モデルによる]	[モデルによる]	[ギャップ？]
アクセス制御（アプリケーション）	[モデルによる]	[モデルによる]	[ギャップ？]
脆弱性管理	[モデルによる]	[モデルによる]	[ギャップ？]
インシデント検知	[モデルによる]	[モデルによる]	[ギャップ？]
データバックアップ	[モデルによる]	[モデルによる]	[ギャップ？]
コンプライアンス報告	[モデルによる]	[モデルによる]	[ギャップ？]

評価スコア

ドメイン	重み	スコア（1～5）	加重スコア
データの保管場所と主権	20%
マルチテナントと分離	20%
ISO 27018 準拠	15%
CSA STAR レベル	15%
SOC 2 プライバシー基準	15%
責任共有の明確さ	15%
合計	100%

主な規制関連資料

• GDPR 第28条 — 管理者と処理者の関係はクラウドにも全面的に適用されます
• GDPR 第32条 — クラウド固有の管理策を含むセキュリティ対策
• ISO/IEC 27018:2019 — パブリッククラウドにおける個人識別情報（PII）の保護に関する実施規範
• ISO/IEC 27017:2015 — クラウドサービスの情報セキュリティ管理策に関する実施規範
• CSA Cloud Controls Matrix（CCM）v4.0 — クラウドセキュリティ管理フレームワーク
• EDPB 勧告 01/2020 — クラウドを介したデータ移転のための補完的措置
• ENISA Cloud Computing Risk Assessment（2009年、更新版）— EU のクラウドリスクフレームワーク