「クラウドのセキュリティ、国のガイドラインに沿っているか確認して」「社内で使うルールを作っておいて」。SaaSやクラウドサービスの利用が増えた職場で、こうした指示を受けて情報システムの担当になった方は少なくありません。ところが「クラウドセキュリティガイドライン」で調べ始めると、すぐにつまずきます。
この名前の文書が1本だけ存在するわけではなく、総務省・経済産業省・IPA（情報処理推進機構）などが、それぞれ別の文書を公開しているからです。
本記事では、まず主要な公的文書を一覧で整理し、自社の立場（利用者か、中小企業か、大企業の情シスか）ごとにどれを読めばよいかを示します。
そのうえで、各文書の要点である責任共有モデルやクラウド利用のリスクと対策、自社のクラウド利用規程への落とし込み方、ガイドラインに沿った事業者の選び方までを解説します。
読み終えたときに「自社はどの文書を根拠にすればよいか」「社内規程に何を書けばよいか」が具体的に描けている状態を目指します。ガイドラインの項目を実際に運用・点検するための手段にも触れるので、現状のクラウド利用の見直しにも役立ちます。
目次
一括ダウンロードする
主要なクラウドセキュリティガイドライン一覧（どの公的文書を指すのか）
「クラウドセキュリティガイドライン」という単一の公式文書は存在しません。この言葉は、クラウドのセキュリティについて公的機関が公開している複数の文書をまとめて指す通称として使われています。もともとは経済産業省が2011年に策定した文書の通称が広まったものですが、現在はそれ以外にも総務省やIPAが別の文書を出しており、対象とする読者も発行年も異なります。
まず、主要な文書を一覧で整理します。発行元・最新版・主な対象を突き合わせると、自分が読むべき文書が見えてきます。
| 文書名 | 発行元 | 最新版・公開年 | 主な対象 | 入手先 |
|---|---|---|---|---|
| クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版） | 総務省 | 第3版・2021年9月 | クラウド事業者向け（対策項目は事業者が実施すべきもの） | |
| クラウドサービス利用・提供における適切な設定のためのガイドライン | 総務省 | 2022年10月 | 利用者・提供者双方の「設定」 | |
| クラウドセキュリティガイドライン活用ガイドブック（クラウドサービス利用のための情報セキュリティマネジメントガイドラインの活用編） | 経済産業省 | 2011年策定・2013年度版 | 事業者・利用者の双方（現在は総務省第3版・IPA手引きで足りることが多い） | |
| 中小企業のためのクラウドサービス安全利用の手引き | IPA（情報処理推進機構） | 2026年6月・v4.0 | 中小企業の利用者向け | |
| クラウドサービスに関連する国内外の制度・ガイドラインの紹介 | JIPDEC（日本情報経済社会推進協会） | v1.2・2024年7月 | 制度・認証の横断カタログ（選定支援） |
ここで押さえたいのは、総務省の「クラウドサービス提供における情報セキュリティ対策ガイドライン」は、対策項目をクラウド事業者が実施すべきものとして整理した事業者向けの文書だという点です。自社でクラウドを提供せずに利用する立場（一般的な情シス）の場合、そのまま適用できる部分と、事業者に求める条件として読む部分を分けて理解する必要があります。
一方でIPAの手引きは、中小企業がクラウドを安全に利用するための確認事項を利用者目線でまとめており、利用する立場の人にとっては読みやすい文書です。
出典・参考資料（4件）
自社の立場別：どのガイドラインを読むべきか
文書が複数あるため、自分の立場に合うものから読むのが近道です。立場ごとに、まず読むべき文書を整理します。
| 自社の立場・目的 | まず読むべき文書 | 理由 |
|---|---|---|
| クラウドを利用する中小企業の担当者 | IPA「中小企業のためのクラウドサービス安全利用の手引き」 | 利用者向けに、確認事項や注意点がまとまっている |
| 大企業や、本格的に管理策を作り込む情シス | 総務省「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」 | 管理策が網羅的。事業者向けのため、利用者は求める条件として読み替える |
| クラウド設定の見直しをしたい | 総務省「クラウドサービス利用・提供における適切な設定のためのガイドライン」 | 設定ミスの防止に特化した文書 |
| 認証・制度を横断で調べて事業者を選びたい | JIPDEC「クラウドサービスに関連する国内外の制度・ガイドラインの紹介」 | 国内外の制度・認証を一覧で比較できる |
自社でクラウドを提供しない利用者であれば、まずIPAの手引きで全体像をつかみ、より詳しい管理策が必要になった段階で総務省のガイドラインを参照する、という読み方が実務的です。
責任共有モデル：SaaS／PaaS／IaaS で自社の責任はどこからか
クラウドのセキュリティを考えるうえで、最初に押さえたいのが「責任共有モデル」です。クラウドでは、セキュリティ対策を事業者と利用者が分担します。総務省のガイドラインは、この考え方を次のように示しています。
クラウドサービスの情報セキュリティを高めるためには、クラウドサービス事業者とクラウドサービス利用者が協力して、クラウドサービスに対する責任を共有する必要がある。この責任を共有するという考え方(責任共有モデル)を多くのクラウドサービス事業者が採用している。ただし、責任共有モデルにおけるクラウドサービス事業者とクラウドサービス利用者の責任範囲・内容は一律に決まるものではなく、クラウドサービスの内容やクラウドサービス利用条件・環境ごとに、両者で責任範囲と内容について合意し、契約で明示することが重要である。
出典：クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）｜総務省
重要なのは、責任の範囲が一律に決まるわけではなく、契約で明示することが前提になっている点です。「クラウドだから事業者がすべて守ってくれる」という理解は誤りで、利用者が負う範囲は契約内容やサービスの形態によって変わります。サービス形態（SaaS／PaaS／IaaS）ごとの責任分担を整理すると、次のようになります。
| サービス形態 | 事業者の主な責任 | 利用者（自社）の主な責任 |
|---|---|---|
| SaaS（ソフトウェアをサービスとして利用） | アプリケーションの提供と基盤の運用 | データの管理（編集・削除などの権限と責任）。付与された範囲でのアカウント管理や、外部からのアクセス権限の設定 |
| PaaS（アプリ開発基盤を利用） | プラットフォーム（基盤やセキュリティ機能）の提供 | アプリケーションの開発・管理。事業者が提供するセキュリティ機能（バックアップ・認証・暗号化・ファイアウォール・ログ管理など）を正しく理解して設定 |
| IaaS（仮想サーバーなどの基盤を利用） | 物理基盤・仮想化基盤の提供 | 仮想環境上で動作するOSを含むすべてのソフトウェアの管理。OSやミドルウェアの障害対応、パッチ適用、脆弱性対応 |
SaaSからIaaSへ進むほど、利用者が担う範囲が広がります。たとえばIaaSでは、仮想環境上のOSのパッチ適用や脆弱性対応は利用者の責任になります。この分担は、パブリッククラウドかプライベートクラウドかといった実装方式には依存しません。
たとえば多くの企業が使うMicrosoft 365やGoogle WorkspaceのようなSaaSでは、保存した業務データの管理と、利用者アカウントやアクセス権限の設定が自社側の主な責任になります。自社が使っているサービスがどの形態にあたるかを確認し、どこからが自社の責任かを契約書と照らし合わせておくことが、最初の一歩です。
出典・参考資料（1件）
クラウド利用の主なリスクと対策
ここからは、クラウドを利用するうえで押さえておきたい主なリスクと、利用者（自社）が取る対策を整理します。
リスクと対策は複数の公的文書で整理されていますが、ここでは利用者がそのまま確認項目として使える総務省ガイドラインの共通編とIPAの手引きをもとに、領域ごとにまとめます。
| リスクの領域 | 具体的に起こりうること | 利用者（自社）が取る対策 |
|---|---|---|
| 情報資産の管理・分類 | 重要なデータを把握しないまま預け、適切な保護ができない | 取り扱う情報の重要度を確認し、分類したうえで預ける情報を判断する |
| アクセス管理・認証 | 不正アクセスやなりすましによる侵入 | 利用者の認証を厳格にする（多要素認証など）。権限は必要最小限に絞る |
| 設定・構成管理 | 設定ミスにより、本来非公開のデータが公開状態になる | 公開範囲やアクセス設定を点検する。総務省「適切な設定のためのガイドライン」を参照する |
| 従業員・退職者 | 内部不正や、退職者のアカウントが残り続けることによる情報漏えい | 利用者の範囲を決め、入退社にあわせてアカウントを管理する |
| インシデント対応 | 事故が起きたときに対応が遅れ、被害が拡大する | 管理担当者を決め、事故発生時の対応体制を整えておく |
| バックアップ・事業継続 | 障害や誤操作によるデータ消失 | バックアップの責任範囲を確認し、自社で取るべき分を明確にする |
| 契約・法令・データ所在地 | 適用される法令や契約条件を把握せず、海外保存などで問題が生じる | 適用法令・契約条件と、データの保存先の地理的な所在地を確認する |
これらの対策は、どれも「事業者に任せきりにしない」という点で共通しています。前章の責任共有モデルで見たとおり、利用者が負う範囲は契約と形態で変わります。まず自社の責任範囲を確認したうえで、各領域の対策を自社のルールに落とし込むことが大切です。具体的な確認項目は、IPAの手引きが示す15項目のチェックシートが参考になります（次章で目次テンプレートとあわせて紹介します）。
また、アクセス管理の対策として挙げた多要素認証は、取引先やガイドラインから設定を求められる場面が増えている基本的な対策です。二段階認証との違いや認証の3要素など、多要素認証そのものを詳しく知りたい場合は「MFA（多要素認証）とは？仕組み・3要素と二段階認証との違いをわかりやすく解説」をご覧ください。
一括ダウンロードする
自社のクラウド利用規程（社内ルール）の作り方と目次テンプレート
「社内規程を作って」という指示に応えるには、ガイドラインのどの項目を自社のルールに拾うかを決めることから始めます。ここでは、自社のクラウド利用規程に使える目次の構成と、盛り込む項目の確認リストを示します。目次の骨格は一般的な社内規程の形にならい、各章の中身は総務省ガイドラインの共通編とIPAの手引きの項目に対応づけています。
- 第1章 総則（目的／適用範囲／用語の定義）
- 第2章 クラウド利用の基本方針と管理体制（情報セキュリティへの組織的な取り組みの基本方針／管理担当者と責任）
- 第3章 導入時の確認事項（利用する業務と情報の重要度の確認／事業者の信頼性・安全性の確認／契約・法的要求事項の確認）
- 第4章 利用時の実施事項（情報の分類／アクセス管理と認証／バックアップ／端末と従業員の管理）
- 第5章 利用終了時の実施事項（データの確保・消去／アカウントの削除）
- 附則（施行日／改定の手続き）
各章に盛り込む具体的な項目は、IPAの手引きが示す「クラウドサービス安全利用チェックシート」の15項目を使うと、抜け漏れを防げます。選択・運用・管理の3段階に分かれており、規程の第3章から第5章に対応づけられます。
| 段階 | 確認項目 |
|---|---|
| 選択するとき（6項目） | 1. どの業務で利用するか明確にする／2. クラウドサービスの種類を選ぶ／3. 取り扱う情報の重要度を確認する／4. セキュリティのルールと矛盾しないようにする／5. クラウド事業者の信頼性を確認する／6. クラウドサービスの安全・信頼性を確認する |
| 運用するとき（4項目） | 7. 管理担当者を決める／8. 利用者の範囲を決める／9. 利用者の認証を厳格に行う／10. バックアップに責任を持つ |
| セキュリティ管理（5項目） | 11. 付帯するセキュリティ対策を確認する／12. 利用者サポートの体制を確認する／13. 利用終了時のデータを確保する／14. 適用法令や契約条件を確認する／15. データ保存先の地理的所在地を確認する |
この15項目は、「自社が今ガイドラインに沿っているか」の点検にもそのまま使えます。各項目について現在のクラウド利用が満たせているかを確認し、満たせていない項目を洗い出して規程と運用に反映します。そうすれば、上司から求められがちな「沿っているかの確認」と「社内規程づくり」を一度に進められます。
規程の文章は、自社の実態に合わせて書き起こします。たとえば第4章の「アクセス管理と認証」なら、「業務で利用するクラウドサービスには多要素認証を設定する」、情報の分類なら「個人情報や機密情報を扱うサービスは、利用前に管理部門の承認を得る」といった具体的なルールに落とします。
利用終了時の項目であれば、「退職・異動が決まったら、対象者のアカウントを速やかに削除する」のように、誰が何をするかまで書き込みます。ひな型をそのまま使うのではなく、自社が実際に守れる水準に調整することが、形だけの規程にしないコツです。
出典・参考資料（2件）
クラウド利用規程は、情報セキュリティの社内ルール全体の一部です。クラウドに限らず、持ち出し端末やパスワード、メールの扱いなども含めた社内ルールをまとめて整えたい場合は、分野別の項目一覧と作り方・雛形の入手先を次の記事で確認できます。
情報セキュリティの社内ルールとは？盛り込む項目一覧と作り方・テンプレートを解説
テレワークやクラウドサービスの利用が広がり、従業員一人ひとりが社外で情報を扱う場面が増えました。情報漏えいを防ぐには、何をしてよくて何が禁止なのかを組織で決めた「社内ルール」が欠かせません。ところが、いざ作ろうとすると「具体的に何を書けばよ…
ガイドラインに沿ったクラウド事業者の選び方（認証・サポートのチェックリスト）
ガイドラインに沿って事業者を選ぶときは、第三者が客観的に評価した認証や制度を手がかりにすると判断しやすくなります。クラウドのセキュリティに関わる主な認証・制度は次のとおりです。
| 認証・制度 | 何を示すか |
|---|---|
| ISMS（ISO/IEC 27001） | 情報セキュリティマネジメントシステムの国際規格。組織的にセキュリティを管理する体制があることを示す |
| ISMSクラウドセキュリティ認証（ISO/IEC 27017） | ISO/IEC 27001のISMS認証を前提に、クラウドサービス固有の管理策（ISO/IEC 27017）が実施されていることを認証する仕組み |
| ISMAP（政府情報システムのためのセキュリティ評価制度） | 政府が求めるセキュリティ要求を満たすクラウドサービスをあらかじめ評価・登録する制度。政府調達の基準として使われる |
| CSマーク（クラウドセキュリティマーク） | JASA（日本セキュリティ監査協会）のクラウド情報セキュリティ監査制度で付与されるマーク。ゴールド（適合監査）とシルバー（自主監査）の2種類がある |
| SOC2 | AICPA（米国公認会計士協会）のトラストサービス規準に基づき、受託事業者の内部統制について監査法人が意見を表明した報告書。セキュリティは必須分野 |
認証の中でも、クラウド固有のセキュリティを直接示すのはISMSクラウドセキュリティ認証（ISO/IEC 27017）・ISMAP・CSマーク・SOC2です。事業者がこれらを取得しているかを、公式サイトや資料で確認しましょう。
取得の有無は、事業者任せにせず自分で確かめられます。ISMAPは、政府が公開するクラウドサービスの登録簿（ISMAPクラウドサービスリスト）に掲載されているかを検索して確認できます。ISMSやISO/IEC 27017は、認証機関・認定機関の登録検索や、事業者サイトに掲載された認証登録証・登録番号で確認できます。
CSマークはJASA（日本セキュリティ監査協会）が取得組織の一覧を公開しています。SOC2報告書は一般には公開されないのが通例で、秘密保持契約（NDA）を前提に事業者へ請求して入手します。いずれの認証も、名前だけでなく「適用範囲」が自社の使うサービスを含んでいるかまで確認するのが要点です。
また、よく似た規格に「ISO/IEC 27018」がありますが、これはパブリッククラウドでの個人情報（PII）の保護に特化した規格で、クラウド全般のセキュリティ管理策を対象とする27017とは役割が異なります。
個人情報を多く預ける場合は、プライバシーマーク（Pマーク）も参考になります。ただしPマークはJIS Q 15001に基づく個人情報保護マネジメント全般の認証であり、クラウド固有のセキュリティ認証ではありません。クラウドのセキュリティを見る認証とは役割を分けて、個人情報保護の観点の補足として確認するとよいでしょう。
認証に加えて、サポート体制も実務では重要です。日本語での問い合わせ対応や、障害時の連絡体制、導入時のドキュメントやトレーニングが整っているかを確認します。海外発のサービスでは、日本国内に窓口があるかどうかが、トラブル時の対応速度を左右します。
以上を踏まえ、事業者を選ぶときは次の点を順に確認すると判断しやすくなります。
- クラウド固有のセキュリティを示す認証（ISMSクラウドセキュリティ認証＝ISO/IEC 27017、ISMAP、CSマーク、SOC2）のいずれかを取得しているか
- 個人情報を多く預けるなら、プライバシーマークやISO/IEC 27018で個人情報保護の体制を確認できるか
- 日本語でのサポート、障害時の連絡体制、導入時のドキュメントやトレーニングが整っているか
出典・参考資料（2件）
ガイドライン項目を実際に運用・点検する手段
ガイドラインを読み、社内規程に落とし込んだら、次はそれを日々の運用でどう守るかが課題になります。特に、責任共有モデルで利用者の責任とされた「アクセス管理」や「設定・構成管理」は、ルールを決めるだけでなく仕組みで担保すると確実です。ここでは、この2つの項目に対応する代表的なサービスを取り上げます。
自社でアプリやサービスを開発していない場合は、まずアクセス管理を担うID基盤から見るとよいでしょう。クラウドの設定点検（構成管理）は、開発をしていなくても、使っているクラウド基盤の公開設定やアクセス権限の誤りを防ぐ観点で関わってきます。
| サービス名 | Aikido Security | CloudGate UNO |
|---|---|---|
| 対応するガイドライン項目 | 設定・構成管理 （クラウド設定ミス対策） | アクセス管理・認証 （アクセス制御・ID管理） |
| サービス種別 | オールインワン脆弱性診断SaaS （CSPMを含む） | 国産IDaaS （SSO・多要素認証） |
| 主な機能 | クラウド設定ミス検査（CSPM） ソースコード診断 依存ライブラリ・ミドルウェアの脆弱性チェック | シングルサインオン（SSO） パスキー（FIDO2）認証 端末・場所・時間のアクセス制限 ID管理 |
| 対応範囲 | AWS・Azure・Google Cloud （クラウド基盤の設定を点検） | 各種SaaS （Google Workspace・Microsoft 365など） |
| 料金（目安） | 月額5万円台〜 （年間契約・10ユーザーまでの参考価格） | 月額400〜600円/ユーザー （税抜。別途初期費用） |
| 無料トライアル | あり | あり（30日間） |
| 向いている企業 | 自社でサービスやアプリを開発している企業 | 複数のSaaSを利用しアクセス管理を統合したい企業 |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
1. Aikido Security（株式会社AndGo）
設定・構成管理の点検に対応するのが、株式会社AndGoが日本の窓口として提供するAikido Securityです。ベルギーのスタートアップが開発するオールインワンの脆弱性診断SaaSで、ソースコードの診断、依存するライブラリやミドルウェアの脆弱性チェックなどを一つの画面で扱えます。
ガイドラインの文脈で注目したいのが、クラウドの設定ミスを検査する機能（CSPM、クラウドセキュリティポスチャ管理）です。AWS・Azure・Google Cloudといったクラウド側の設定が、外部から侵入されやすい状態になっていないかを継続的に見張ります。責任共有モデルで利用者の責任となる「設定・構成管理」を、人手の点検だけに頼らず仕組みで担保したい場合の選択肢になります。
複数の単機能ツールを組み合わせるとアラートが分散して対応が追いつかなくなりがちですが、Aikido Securityは診断をまとめて扱い、対応すべきアラートを絞り込めるようにしています。自社でサービスやアプリケーションを開発している企業に向いています。
2. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
アクセス管理の側を担うのがCloudGate UNOです。株式会社インターナショナルシステムリサーチが開発・提供する国産のIDaaS（Identity as a Service、クラウド上でID認証を一元的に提供する仕組み）で、一度の認証で複数のクラウドサービスにアクセスできるシングルサインオン（SSO）に、ゼロトラストの考え方に基づくアクセス制限を組み合わせています。
端末・場所・時間の3つの軸でアクセスを細かく制限でき、私用端末からのアクセス禁止や、特定の拠点・時間帯に限定した利用といった制御が可能です。フィッシング攻撃に強いパスキー（FIDO2）によるパスワードレス認証にも対応しており、責任共有モデルで利用者の責任となる認証・アクセス管理を強化できます。
このCloudGate UNOには、官公庁や業界団体のセキュリティガイドラインへの準拠を目的とした導入相談も増えています。提供元の株式会社インターナショナルシステムリサーチは、その背景を次のように述べています。
中小企業ではまだサイバー攻撃を他人事と捉えている方もいらっしゃいますが、実は昨今、中小企業が狙われるケースが増えています。また、官公庁や業界団体が策定するセキュリティガイドラインへの準拠を目的としたご相談も増えています。
ここで取り上げたのは代表的な2サービスですが、社内で守るべき対象はアクセス管理や設定点検だけではありません。ログ管理や端末管理、メール対策まで含め、どんな対象にどんなタイプのソリューションがあり、どう選ぶかを俯瞰したい場合は、守る対象別に整理した次の記事が役立ちます。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
「クラウドセキュリティガイドライン」は単一の文書ではなく、総務省・経済産業省・IPAなどが公開する複数の公的文書の総称です。自社の立場に合う文書を選び、まずは利用者向けのIPAの手引きや、総務省のガイドラインから要点を押さえるのが近道です。
要点は、責任共有モデルで自社の責任範囲を確認し、情報の分類・アクセス管理・設定・バックアップといったリスク領域ごとの対策を、自社のクラウド利用規程に落とし込むことです。事業者を選ぶ際はISMSクラウドセキュリティ認証やISMAP、CSマーク、SOC2といった認証を手がかりにし、決めたルールはCSPMやIDaaSなどの仕組みで日々の運用に定着させると、形だけで終わらせずに済みます。
クラウドのセキュリティ対策に使えるサービスは、資料をまとめて取り寄せて比較するのが効率的です。自社の課題に合うものを見つける出発点にしてください。
一括ダウンロードする
よくある質問（FAQ）
Q. クラウドセキュリティガイドラインとは何ですか？
A. クラウドセキュリティガイドラインとは、特定の1つの公式文書ではなく、総務省・経済産業省・IPAなどがクラウドの情報セキュリティについて公開している複数の公的文書をまとめて指す通称です。もとは経済産業省が2011年に策定した文書の通称が広まったものですが、現在は総務省やIPAも別の文書を公開しており、対象とする読者（事業者向けか利用者向けか）も発行年も異なります。
そのため「どれを指すのか」を取り違えないよう、まず文書を一覧で見分けることが出発点になります。
Q. クラウドを利用する中小企業は、どのガイドラインを読むべきですか？
A. クラウドを利用する中小企業の担当者は、まずIPA（情報処理推進機構）の「中小企業のためのクラウドサービス安全利用の手引き」から読むのが近道です。利用者目線で確認事項や注意点がまとまっており、安全利用チェックシート（15項目）も付いているため、自社の点検にそのまま使えます。
より詳しい管理策が必要になった段階で、総務省「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」を参照します。ただし総務省のガイドラインは対策項目を事業者が実施すべきものとして整理した事業者向けの文書のため、利用者は「事業者に求める条件」として読み替える必要があります。
Q. 責任共有モデルで、クラウド利用者（自社）の責任はどこからですか？
A. 責任共有モデルでは、利用者（自社）の責任範囲は一律には決まらず、SaaS・PaaS・IaaSといったサービス形態と契約内容によって変わります。目安として、SaaSでは業務データの管理や付与された範囲でのアカウント・アクセス権限の設定が、IaaSでは仮想環境上のOSを含むソフトウェアの管理（パッチ適用・脆弱性対応など）までが利用者の責任になります。
総務省のガイドラインも、責任範囲は両者で合意し契約で明示することが重要だとしています。「クラウドだから事業者がすべて守ってくれる」という理解は誤りで、自社が使うサービスの形態と契約書を照らし合わせて確認する必要があります。
出典・参考資料（1件）
Q. ISO/IEC 27017 と ISO/IEC 27018 は何が違いますか？
A. ISO/IEC 27017はクラウドサービス全般の情報セキュリティ管理策を定めた規格で、提供者・利用者の双方を対象とするのに対し、ISO/IEC 27018はパブリッククラウドでの個人情報（PII）保護に特化した規格で、PIIを取り扱うプロバイダ（PII処理者）が主な対象です。
事業者がクラウド固有のセキュリティ管理策を実施していることを示すのは27017（これをISMS認証に上乗せで認証するのがISMSクラウドセキュリティ認証）で、個人情報を多く預ける場合の個人情報保護の観点を補うのが27018、という役割の違いがあります。
出典・参考資料（1件）
Q. クラウド事業者選びで出てくる「SOC2」とは何ですか？
A. SOC2とは、米国公認会計士協会（AICPA）のトラストサービス規準に基づき、クラウド事業者など受託事業者の内部統制について監査法人が手続きを実施し、その結果と意見を表明した報告書です。対象は「セキュリティ・可用性・処理の完全性（インテグリティ）・機密保持・プライバシー」の5分野から1つ以上を選んで監査を受ける仕組みで、このうちセキュリティは必須分野とされています。
第三者である監査法人が客観的に評価した報告書のため、事業者のセキュリティ体制を確認する手がかりになります。
出典・参考資料（1件）
Q. クラウド利用規程（社内ルール）には何を書けばいいですか？
A. クラウド利用規程には、「総則」「管理体制」「導入時の確認事項」「利用時の実施事項」「利用終了時の実施事項」を柱に、情報の分類・アクセス管理と認証・バックアップ・端末と従業員の管理・アカウント削除といった項目を盛り込みます。
具体的な中身は、総務省ガイドラインの共通編（情報資産の管理・アクセス管理・従業員・インシデント管理など）と、IPAの安全利用チェックシート15項目を根拠にすると抜け漏れを防げます。ひな型をそのまま写すのではなく、各項目を自社が実際に守れる水準のルールに書き起こすことが、形だけの規程にしないコツです。
出典・参考資料（2件）
クラウドセキュリティ対策サービスの料金・資料を一括チェック
MCB FinTechカタログでは、クラウドのアクセス管理や設定点検に使えるセキュリティサービスの最新資料を無料で一括請求できます。認証取得状況やサポート体制、機能を並べて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
