政府関係機関事業紹介

大学・研究機関のための
クラウドサービス導入チェックリスト

国立情報学研究所　学術基盤推進部　学術基盤課　クラウド支援室

１．はじめに

　大学・研究機関（以下「大学等」）のクラウドサービスの導入・利用における大きな課題として、クラウドを導入する際の仕様策定が困難であることがあげられます。クラウドの導入にあたっては、技術的な機能要件から、性能・信頼性などの非機能要件、契約条件など多岐に亘る項目を考慮しなければなりません。クラウドサービスの仕様策定にはこれらの要件・項目について選択基準を明確にし、クラウド事業者（以下「事業者」）から提供されている多くのクラウドサービスの中から大学等の業務のニーズに合うサービスを探し出す必要があります。さらに、クラウドサービスは「サービス商品」であることから、契約・約款・SLA（Service Level Agreement）などの手続きや法律の領域に踏み込んだ検討も必要です。
　国立情報学研究所（以下「NII」）では、我が国にクラウドを活用した高度な学術情報基盤を整備することを目的として、大学等におけるクラウド導入・利活用を支援するための活動を進めています。本誌2017年度No.3では、その一つである「学認クラウド 導入支援サービス」^[1]を紹介しました。導入支援サービスでは、大学等がクラウドを導入する場合の着眼点（信頼性、セキュリティ、契約条件等）をまとめたチェックリストを策定し、事業者による回答に基づくクラウドサービスの検証結果（以下「チェックリスト回答」）を大学等との間で共有しています。このチェックリスト回答は、クラウドサービスの調査や前述の仕様策定の課題を解決する上で活用できます。また、クラウド導入にあたっての要件定義でもチェックリスト回答やスタートアップガイド^[2]は参考となります。本稿では、導入支援サービスで用いるチェックリストの利用方法、各項目概要、最新版であるVer.3.0^[3]の改訂内容について紹介します。

２．チェックリスト

　チェックリストの構成を図１に示します。チェックリストはクラウドの調達の際に考慮すべき点を網羅的にまとめたものであり、最新のチェックリスト（Ver. 3.0）の項目は19種類のチェック項目（大項目）に分類されます。それぞれの大項目は複数の詳細チェック項目を含み、合計で121種類の詳細チェック項目が用意されています。

図１　チェックリストVer.3.0の構成

　事業者が回答を記入したチェックリストは導入支援サービスに参加した大学等の担当者のみがアクセスできるWebサイトにて表形式で閲覧することができます（図２）。事業者によっては、チェックリスト内のいくつかの項目について「未対応」や「対応不可」と回答していることもあります。チェックリストの利用方法として、このような回答が含まれるサービスを無条件に調達の候補から除外するのではなく、大学等の求める要件に対応した項目がどれであるかを自身が判断し、それらの項目に対してほとんどの事業者が実現している、あるいは実現している事業者が少ないといった回答状況を調達の参考として仕様書を作成するというような利用方法を想定しています。

図２　クラウド事業者が回答を記入したチェックリスト（サンプル）

（１）商品／サービスの概要・運用実績

　クラウドサービスの導入検討時には、サービス内容だけでなく、大学等における利用実績も導入検討の参考になります。

(２）契約申し込み

　クラウドサービスの支払い方法や課金体系は多様であり、組織の会計手続きで対応可能かを検討しておくことが必要です。多くの大学等では、請求書による支払いが基本であることが多く、請求書払いの可否などの情報も本項に記載されています。また、無料の試用（トライアル）サービスを設けている事業者もあり、これらのサービスの利用は導入検討の参考になります。

（３）認証関連

　学術認証フェデレーション（学認）に参加している大学等では、クラウドサービスの学認への対応状況（今後の対応予定も含む）は導入検討の参考になります。また、多要素認証への対応は認証に関する指標として導入検討の参考になります。

（４）信頼性

　クラウドサービスを提供する多くの事業者がSLAを提示しており、サービスの信頼性に関する指標として導入検討の参考になります。一方で、クラウドサービスの利用に際しては、システム保守のための計画停止や障害等による計画外停止が発生することも想定しておく必要があり、このような可用性にかかわる情報の利用者への通知方法を確認することも重要です。

（５）サポート関連

　クラウドサービスでは、システムの状態やサービスに関する情報を事業者を介して取得する必要があるため、事業者のサポート体制について確認することが必要です。

（６）ネットワーク・通信機能

　クラウドサービスでは、学外のデータセンターのサーバを利用するため、大学等とデータセンター間の通信の安全性および性能を確認することが必要です。また、サーバへのグローバルIPアドレス割当ては、事業者によって異なるため、大学等の運用との整合性を確認することが必要です。

（７）管理機能

　クラウドサービスの特長の一つとして利用者自身によるセルフサービスがあげられます。ユーザやサーバ管理を利用者がセルフサービスで実施する場合は、これらの管理ツールがどのように提供されているかを確認することが必要です。また、ロードバランサやフェイルオーバ等の機能を提供する事業者もあり、サーバの安定運用を実現する手段として導入検討の参考になります。

（８）動作保証

　クラウドサービスは仮想環境(VM)の上で提供されていることも多く、オンプレミス型のサーバ上で利用しているソフトウェアをクラウドサービス上で利用する場合は、ソフトウェアの動作保証や実績について確認することが必要です。

（９）スケーラビリティ

　クラウドサービスのメリットの一つは、サーバの仕様や数を動的かつ柔軟に変更できる（スケーラビリティ）ことです。スケーラビリティを必要とする運用では、これらの機能を確認することが必要です。

（10）データセンター

　クラウドサービスの信頼性や安全性を判断するために、サーバが設置されるデータセンターのセキュリィ対策や安全対策等を確認することが必要です。第三者認証の取得状況も導入検討の参考になります。また、データの保存については、保存場所（国や地域）の確認や保存場所指定の可否を確認することが必要です。

（11）セキュリティ

　クラウドサービスでは、セキュリティの管理に関しては事業者と利用者が責任を分担することになりますが、事業者が責任を持つ部分に関して、そのセキュリティポリシや対策を確認しておくことが必要です。第三者認証の取得状況も導入検討の参考になります。また、クラウドサービスでは、複数の利用者（組織）がサーバ等の資源を共有する場合があるため、資源分離のレベル（複数ユーザのVMが同一の物理サーバを共有等）を確認することが必要です。

（12）データ管理・バックアップ

　クラウドサービスでは、データは事業者が管理するサーバやストレージに保存されるため、データの多重化やアクセス制限、バックアップ等について確認することが必要です。また、クラウドサービスに関するログは事業者が管理するため、利用者は全てのログを閲覧できるとは限りません。利用者によるログの利用方法について確認することが必要です。

（13）クラウド事業者の信頼性・契約条件

　大学等が利用するクラウドサービスが事業者の事情（事業撤退等）によって終了してしまうと非常に影響が大きいため、事業者の信頼性を確認するという観点から、経営状況や監査等の情報、第三者認証の取得状況は参考になります。また、著名なクラウドサービスの中には外資系の事業者によって国外のデータセンターから提供されるものも多く、準拠法や係争時の管轄裁判所等の契約条件を確認することが必要です。特に、クラウドサービスでは、事業者が責任を持つ部分と利用者が責任を持つ部分があるため、両者の責任範囲を確認することが必要です。

（14）データの取り扱い・引き継ぎ

　クラウドサービスでは、利用者のデータ自体は事業者のサーバやストレージ上に保存されますが、そのデータの所有権は利用者に帰属するべきです。そのため、データ所有権、および契約終了時のデータやアカウント情報の取り扱いについて確認することが必要です。また、他の事業者のクラウドサービスへ利用を移行する場合も想定して、データ等の移行支援に関する情報が、導入検討時の参考になります。

（15）第三者認証

　大学等のクラウド調達に、より役立つ内容とするためにチェックリストの改訂を行いVer3.0として2017年10月に公開しました。例えば、最近関心が高まっているクラウド事業者が取得している第三者認証について整理を行い、複数の大項目に分散して配置されていた第三者認証関連項目（事業継続性、データセンター、セキュリティ、経営・事業）を一つの大項目に集約し、参照の利便性を高めました。また、セキュリティに関連する項目を拡充し、「多要素認証」等５項目を追加しました。

３．おわりに

　本稿では、導入支援サービスで用いるチェックリストの利用方法、各項目概要、Ver.3.0の改訂内容について紹介しました。なおNIIでは、クラウド導入に必要なより詳細な情報をまとめたスタートアップガイド^[2]をウェブ上で公開しています。

お問い合わせ先

　導入支援サービスに関するお問い合わせ、ご意見、ご相談はｃｌｄ−ｏｆｆｉｃｅ−ｓｕｐｐｏｒｔ＠ｎｉｉ．ａｃ．ｊｐ（アドレスは全角文字で表示しています）までご連絡をお願いします。