クラウドセキュリティのチェックリスト｜確認すべき項目を観点別に（経産省・IPAをもとに）

自社で使っているクラウドサービスは本当に安全なのか、これから選ぶSaaSやIaaSは何を基準に見極めればよいのか。あるいは取引先から「セキュリティチェックシート」への回答を求められ、どの項目をどう確認すればよいか迷っている方もいるでしょう。クラウドのセキュリティを確かめようとしたとき、多くの担当者が最初につまずくのは「結局、何を確認すればいいのか」という項目の全体像です。

この記事では、まずクラウドサービスを使う・選ぶときに確認すべき項目を観点別に一覧で示します。項目は経済産業省「クラウドサービスレベルのチェックリスト」とIPA（情報処理推進機構）「中小企業のためのクラウドサービス安全利用の手引き」をもとに整理し、各項目には「どこを見れば判断できるか」という勘所と目安を添えました。出所は各項目の引用・リンクで確かめられます。

そのうえで、クラウドの種類（SaaS・PaaS・IaaS）で確認する観点がどう変わるか、ISMAPやISMSなどの第三者認証をどの場面で見ればよいか、チェックリストを実際に使う手順までを解説します。クラウドの安全性を自社で確認したい利用企業の担当者と、チェックシートに回答する提供側の担当者の、どちらにも使える内容です。

クラウドのセキュリティで確認すべき項目一覧【観点別】

ここからは、クラウドサービスを使う・選ぶときに確認すべき項目を7つの観点に分けて一覧で示します。項目は経済産業省「クラウドサービスレベルのチェックリスト」（7種別49項目）とIPA「中小企業のためのクラウドサービス安全利用の手引き」付録7（15項目）をもとに整理しています。

各項目に添えた数値は、あくまで判断の出発点となる目安です。経済産業省のチェックリストも「必ずしも全ての項目についてレベルを定める必要があるわけではない」としており、自社が扱うデータの重要度に応じて、どこまで求めるかを決めてください。

目安には、稼働率やバックアップ保存期間のように数値で示せる項目と、有無や方針を確認する項目（求める水準は自社の重要度で決める）があります。なお、経済産業省のチェックリストにある性能・拡張性の観点は、可用性・データ管理の項目に含めて扱います。

本チェックリストは、サービスレベルについて、当事者間で事前に確認しておくことが望ましいと思われる項目を列挙したものであり、必ずしも全ての項目についてレベルを定める必要があるわけではない。

出典：クラウドサービスレベルのチェックリスト 別添1（2010年8月16日）｜経済産業省（国立国会図書館WARP保存）

可用性・信頼性（止まらないか、止まっても戻せるか）

クラウドは事業者側の障害で止まることがあります。止まりにくさ（可用性）と、止まったときに戻せるか（信頼性）を、SLA（Service Level Agreement、サービス品質保証）として数値で確認します。

確認項目	確認の勘所・目安
サービス稼働率	SLAとして明示されているか。経済産業省のチェックリストでは基幹業務の設定例として「99.9%以上」が挙げられています（設定例であり公的な合格基準ではありません）
目標復旧時間（RTO）・平均復旧時間（MTTR）	障害からの復旧目標が示されているか。設定例はRTO「3時間後」、MTTR「1時間以内（基幹業務）」
計画停止の事前通知	メンテナンスによる計画停止の予定を、どのタイミング・方法で通知するか
災害復旧（DR）・代替手段	重大障害・災害時のディザスタリカバリや代替手段、データ提供形式が用意されているか
サービス提供終了時の扱い	提供終了時の事前通知や、突然の停止に備えたデータ・プログラムの預託（エスクロウ）があるか

データ管理（預けたデータを守れるか、取り戻せるか）

クラウドに預けるデータそのものの保護です。バックアップ・暗号化・保管場所の3点が中心で、特にデータの保管場所（国・地域）は適用される法規制に直結するため見落とせません。

確認項目	確認の勘所・目安
バックアップの方法・頻度（RPO＝いつの時点まで戻せるか）	取得のタイミング・復旧方法・保管場所を確認。設定例ではRPO「前日朝6時まで」（災害時は1週間前まで）
バックアップの保存期間・世代数	設定例は保存期間「5年以上（証跡として残すもの）」、世代数「3世代」
通信・保存データの暗号化	通信の暗号化はTLS1.2以上が目安（CRYPTREC/IPA「TLS暗号設定ガイドライン」）。保存データの暗号化やマルチテナント時の鍵管理も確認
データの保管場所（国・地域）	どの国・地域のサーバーに保存されるか。保存先により適用される法規制（個人情報保護法・GDPR（EU一般データ保護規則）等）が変わる
解約時のデータ返却・消去	解約後のデータの一括ダウンロード（ポータビリティ）と、消去のタイミング・方法が示されているか

認証・アクセス管理（誰がどこから入れるかを統制できるか）

クラウドはインターネット経由でどこからでもアクセスできる反面、認証とアクセス制御が甘いと不正ログインの入り口になります。IPAの手引きも、利用者の認証を厳格に行うことを運用時のポイントに挙げています。

確認項目	確認の勘所・目安
多要素認証（MFA）	ID・パスワードに加えた二要素目（ワンタイムパスワード・パスキー等）を利用できるか
利用者認証の厳格化	パスワードを共有しない・複雑にするなどの設定・管理ができるか（IPA付録7 No.9）
アクセス制御	IPアドレス制限・端末制限・国や地域・時間帯による制限など、アクセスできる条件を絞れるか
権限管理・ID管理	利用者の範囲と権限を役割ごとに管理でき、入退社に合わせてアカウントを作成・削除できるか

セキュリティ対策・ログ／監査（技術的な守りと、後から追える記録）

事業者側の技術的なセキュリティ対策と、万一のときに「誰が何をしたか」を追えるログ・監査の仕組みを確認します。ログは、インシデントが起きたときの原因究明と影響範囲の特定に欠かせません。

確認項目	確認の勘所・目安
脆弱性対応・第三者評価	アプリケーションの脆弱性診断や第三者評価、OS・ソフトのパッチ適用が行われているか
マルチテナントの情報隔離	他の利用企業とデータが混在しないよう、テナントごとに分離されているか
ログの取得種類・保存期間	アクセスログ・操作ログ・エラーログを取得し、十分な期間保存しているか。保存期間は用途や適用される法規制によって異なるため、自社の要件に照らして確認する
ログの提供・トレーサビリティ	利用企業へログを提供できるか、インシデント時に操作を追跡できるか

インシデント対応・サポート（事故や困りごとに応えてもらえるか）

障害や情報漏えいなどのインシデントが起きたときの連絡体制と、日常の問い合わせに応じるサポート体制を確認します。対応の受付時間帯が自社の業務時間と合っているかも重要です。

確認項目	確認の勘所・目安
障害・インシデント時の連絡	障害発生時の通知先・方法・通知までの時間が決められているか
問い合わせ窓口・受付時間	電話・メール・チャットなどの手段と受付時間帯。週末・夜間の対応可否
サポートの範囲・費用	ヘルプデスクやFAQの有無、頻繁な問い合わせが有償になるか

契約・責任範囲（トラブル時にどちらが何を負うか）

契約条件は、トラブルが起きてから読み返しても手遅れになりがちな観点です。データの所有権・返却・消去、準拠法と管轄裁判所、損害時のペナルティの範囲を、契約前に確認します。

確認項目	確認の勘所・目安
データの所有権	預けたデータの所有権・利用権が利用企業に帰属することが明記されているか
準拠法・管轄裁判所	契約に適用される法律と、紛争時の管轄裁判所が自社にとって無理のない範囲か
損害賠償・ペナルティ	障害やデータ消失が起きた場合の補償・損害賠償の範囲
再委託の管理	事業者が第三者へ再委託する場合の管理・監督が示されているか

利用者側の体制・運用（自社でやるべきこと）

クラウドの安全は事業者任せでは完結しません。IPAの手引きは、利用する業務・取り扱う情報を明確にし、社内の管理担当者を決めることを利用者側のポイントに挙げています。

確認項目	確認の勘所・目安
利用業務・取扱情報の明確化	クラウドで何を扱うか、その情報の重要度・影響を評価しているか
社内ポリシーとの整合	自社のセキュリティポリシーや社内規程と矛盾していないか
管理担当者の設置・従業員教育	利用責任者・窓口担当者を決め、利用者への教育ができているか

出典・参考資料（3件）

• 出典：クラウドサービスレベルのチェックリスト 別添1｜経済産業省（国立国会図書館WARP保存）
• 出典：中小企業のためのクラウドサービス安全利用の手引き 付録7 第4.0版｜独立行政法人情報処理推進機構（IPA）
• 参考資料：TLS暗号設定ガイドライン｜CRYPTREC・独立行政法人情報処理推進機構（IPA）

クラウド類型（SaaS・PaaS・IaaS）で変わる確認観点と責任共有モデル

前の章の確認項目は、使うクラウドの種類によって「どこまで事業者が守り、どこから自社の責任になるか」が変わります。この分担の考え方が「責任共有モデル」です。クラウド事業者のAWSは、責任共有モデルを次のように説明しています。

AWS には、AWS クラウドで提供されるすべてのサービスを実行するインフラストラクチャを保護する責任があります。お客様の責任は、選択した AWS クラウドのサービスに応じて異なります。

出典：責任共有モデル｜アマゾン ウェブ サービス（AWS）

利用者の責任が「選択したサービスに応じて異なる」という点が、SaaS・PaaS・IaaSで確認観点が変わる理由です。大まかには、IaaS（基盤だけを借りる）では自社の守備範囲が広く、SaaS（完成したサービスを使う）では事業者の守備範囲が広くなります。類型ごとに責任の範囲を図にすると、次のとおりです。

クラウド類型	主な利用形態	利用者側で特に確認・設定する範囲
SaaS	完成したアプリを使う（会計ソフト・グループウェア等）	アカウント・権限・公開範囲の設定、多要素認証、利用データの管理。アプリ本体やインフラは事業者側
PaaS	アプリの開発・実行基盤を借りる	自社が載せるアプリとデータ、アクセス権の設定。ミドルウェアより下は事業者側
IaaS	サーバー・ストレージなど基盤を借りる	OS・ミドルウェア・アプリ・データ・ネットワーク設定まで自社。物理基盤は事業者側

このように、同じ「暗号化」「アクセス制御」でも、SaaSでは事業者が用意した設定項目を正しく使えているかの確認が中心になり、IaaSでは自社で設計・実装できているかまでが問われます。チェック項目を自社に当てはめるときは、使っているクラウドがどの類型かを先に押さえると、見るべき範囲がはっきりします。

出典・参考資料（1件）

• 出典：責任共有モデル｜アマゾン ウェブ サービス（AWS）

チェック項目はどこから来るのか（経産省49項目・IPA15項目）

前の章までの確認項目には、よりどころとなる公的な資料があります。どこから来た項目かを知っておくと、取引先への説明や社内での合意形成の根拠として使いやすくなります。

ひとつは経済産業省の「クラウドサービスレベルのチェックリスト」です。2010年に公表されたもので、「平成21年1月に経済産業省から公表した『SaaS向けSLAガイドライン』に記載のサービスレベル項目のモデルケースに、クラウドコンピューティングで必要と思われる項目を加筆する形で」作成されました。

可用性・信頼性・性能・拡張性・サポート・データ管理・セキュリティの7種別・49項目で構成されています。現在は経済産業省のサイトでは公開されておらず、国立国会図書館のインターネット資料収集保存事業（WARP）のアーカイブから入手できます。

公表から時間は経っていますが、サービスレベルを当事者間で確認するという観点の骨格は今も通用します。より新しいIPAの手引き（次に紹介する第4.0版）と併せて使うと実務に沿い、49項目の全文は上記アーカイブのPDFで確認できます。

もうひとつは、情報システムの専任者がいない中小企業に向いた、IPAの「中小企業のためのクラウドサービス安全利用の手引き」付録7「クラウドサービス安全利用チェックシート」（第4.0版）です。「選択するとき」「運用するとき」「セキュリティ管理」の3区分・15項目を、平易な質問文でまとめています。たとえばデータの保管場所については、次のように問いかけています。

データ保存先の地理的所在地を確認する　データがどの国や地域に設置されたサーバーに保存されているか確認しましたか？

出典：中小企業のためのクラウドサービス安全利用の手引き 付録7（第4.0版）No.15｜独立行政法人情報処理推進機構（IPA）

付録7のチェックシートは、次の15項目（原文の確認項目名）で構成されています。情報システムの専任者がいなくても、自社の状況に当てはめて一つずつ点検できます。

• Ⅰ．選択するとき：①どの業務で利用するか明確にする／②クラウドサービスの種類を選ぶ／③取扱う情報の重要度を確認する／④セキュリティのルールと矛盾しないようにする／⑤クラウド事業者の信頼性を確認する／⑥クラウドサービスの安全・信頼性を確認する
• Ⅱ．運用するとき：⑦管理担当者を決める／⑧利用者の範囲を決める／⑨利用者の認証を厳格に行う／⑩バックアップに責任を持つ
• Ⅲ．セキュリティ管理：⑪付帯するセキュリティ対策を確認する／⑫利用者サポートの体制を確認する／⑬利用終了時のデータを確保する／⑭適用法令や契約条件を確認する／⑮データ保存先の地理的所在地を確認する

SLA（サービスレベル）とセキュリティチェックシートとは

SLAは、サービスの品質を「稼働率99.9%以上」のように数値で約束する取り決めです。可用性・信頼性の確認は、このSLAに何がどの水準で書かれているかを読むことにあたります。

一方「セキュリティチェックシート」は、クラウドを導入する企業が事業者に安全性を確認するための質問票を指します。取引先から配られて回答を求められるのもこの種類です。経済産業省やIPAの項目は、自社で点検する物差しにも、チェックシートに答える側が問われる内容を把握する手がかりにもなります。

第三者認証・制度の使い分け早見

個々の項目を一つずつ確認するのが難しい場合、事業者が取得している第三者認証は、客観的な判断材料になります。ただし認証ごとに「何を保証するか」が違うため、自社が重視する観点に合うものを見ることが大切です。主な認証・制度を、どの場面で見るかで整理しました。

認証・制度	規格・制度主体	どの場面で見るか
ISMS認証	ISO/IEC 27001（JIS Q 27001）／情報マネジメントシステム認定センター（ISMS-AC）	情報セキュリティ全般の管理体制が整っているかの基礎的な確認に
ISMSクラウドセキュリティ認証	ISO/IEC 27017／ISMS-AC	ISMSに加え、クラウド固有の管理策が導入・実施されているかの確認に
CSマーク（クラウド情報セキュリティ監査制度）	日本セキュリティ監査協会（JASA）	クラウド事業者が基本的なセキュリティ対策を実施しているかを、外部・内部監査（ゴールド／シルバー）で確認したいときに
ASP・SaaS情報開示認定制度	日本クラウド産業協会（ASPIC）	比較・選択に必要な情報を事業者が開示しているかの確認に。医療情報・特定個人情報など7種類のマークがある
ISMAP	政府情報システムのためのセキュリティ評価制度	政府が求める水準を満たすかを重視する場合に。登録済みサービスから選べる
プライバシーマーク	JIS Q 15001：2023／日本情報経済社会推進協会（JIPDEC）	個人情報の取り扱い体制を重視するときに（クラウド固有ではない）
SOC 2	Trust Services Criteria／米国公認会計士協会（AICPA）	海外基準での第三者保証報告を確認したいときに

認証の意味を正確に押さえるため、主な制度の定義を以下に引用します。

通常のISMS(JIS Q 27001)認証に加えて、クラウドサービス固有の管理策(ISO/IEC 27017)が適切に導入、実施されていることを認証するものです。

出典：ISMSクラウドセキュリティ認証の説明｜IPA「中小企業のためのクラウドサービス安全利用の手引き」付録7

政府が求めるセキュリティ要求を満たしているクラウドサービスを予め評価・登録することにより、政府のクラウドサービス調達におけるセキュリティ水準の確保を図り、もってクラウドサービスの円滑な導入に資することを目的とした制度です。

出典：ISMAP（政府情報システムのためのセキュリティ評価制度）の説明｜IPA「中小企業のためのクラウドサービス安全利用の手引き」付録7

出典・参考資料（7件）

• 出典：中小企業のためのクラウドサービス安全利用の手引き 付録7（クラウドサービス選択時に参考となる制度等）第4.0版｜IPA
• 出典：ISMSクラウドセキュリティ認証（ISO/IEC 27017）｜情報マネジメントシステム認定センター（ISMS-AC）
• 出典：クラウド情報セキュリティ監査制度（CSマーク）｜特定非営利活動法人日本セキュリティ監査協会（JASA）
• 出典：ASP・SaaS情報開示認定制度｜一般社団法人日本クラウド産業協会（ASPIC）
• 出典：ISMAP 政府情報システムのためのセキュリティ評価制度
• 出典：プライバシーマーク制度｜一般財団法人日本情報経済社会推進協会（JIPDEC）
• 参考資料：SOC 2（System and Organization Controls）｜米国公認会計士協会（AICPA）

チェックリストの使い方（確認する側の点検／回答する側のポイント）

チェック項目は、立場によって使い方が変わります。クラウドを使う・選ぶ利用企業の点検と、取引先からチェックシートへの回答を求められた提供側の対応に分けて、進め方を整理します。

利用企業がチェック項目で自社のクラウド利用を点検する手順

まず、点検する対象のクラウドで「何の業務・どんな情報を扱っているか」を洗い出し、その情報の重要度を見極めることから始めます。重要度が高いほど、求める水準を引き上げるのが基本です。

次に、使っているクラウドの類型（SaaS・PaaS・IaaS）を確認し、自社の責任範囲にあたる項目を優先して点検するとよいでしょう。SaaSなら多要素認証やアクセス権・公開範囲の設定、IaaSならOS・ミドルウェアの脆弱性対応やネットワーク設定まで範囲が広がります。

最後に、事業者側の項目（SLA・バックアップ・認証取得など）は、公開情報や第三者認証、事業者への問い合わせで確認できます。不足している統制が見つかれば、設定の見直しや後述のソリューションで補えます。

回答する側がセキュリティチェックシートに答えるときのポイント

取引先からチェックシートを渡されて回答する場合は、現状を正直に書くことが基本です。できていないことを「できている」と答えると、後で発覚したときにかえって信頼を損ないます。

回答には、根拠となるエビデンス（認証書・規程・設定画面など）を用意しておくと、確認がスムーズです。曖昧な表現は避け、項目の意味が自社で判断しづらいときは、相手に確認して認識をそろえてから答えるとよいでしょう。ISMSやISO/IEC 27017などの認証を取得していれば、個別項目の回答負担を軽くできる場合があります。

観点別に答えを用意しておくと迷いません。認証・アクセス管理なら多要素認証の利用可否やアクセス権の棚卸し頻度、データ管理なら保管場所の国・地域と暗号化の方式、可用性ならSLAの稼働率やRTO・RPOの実績を、設定画面や規程などのエビデンスとともに示すと、相手の確認がスムーズです。

チェックで見つかった不足を埋めるソリューション

点検の結果、「認証・アクセス管理が属人的だった」「クラウドの設定に抜けがないか確かめられていなかった」といった不足が見つかることがあります。こうした統制は、専用のソリューションで補えます。ここでは、チェック項目に直接対応する2つの手段を紹介します。

認証・アクセス統制やログ管理、端末管理など、守る対象ごとにどんなタイプのソリューションがあるのかを一覧で見比べたい場合は、次の記事がカテゴリ全体の入り口になります。

CloudGate UNO（株式会社インターナショナルシステムリサーチ）

「認証・アクセス管理」の不足を埋めるなら、ID基盤（IDaaS）が選択肢になります。CloudGate UNOは、株式会社インターナショナルシステムリサーチ（ISR）が自社開発する国産のクラウド型ID基盤で、シングルサインオン（一度の認証で複数のクラウドサービスへアクセス）、多要素認証、パスキー（FIDO2）によるパスワードレス認証、アクセス制限、ID管理を提供します。

アクセス制限では、IPアドレス・端末証明書・国や地域・時間帯による制限を設定でき、「セキュリティプロファイル」で役職や利用環境、端末の状態に応じて認証方式を切り替えられます。チェック項目でいえば、多要素認証・アクセス制御・権限管理・認証ログの確認にあたる統制をまとめて実装できる位置づけです。

料金は、2026年11月時点の公式料金ページでStandard Plusが月額400円（税込440円）／ユーザーからで、パスキー認証は全プランで無制限に使えます。提供元のISRはISMS（ISO/IEC 27001）を取得しています。初期費用や最適なプランは利用規模によって変わるため、詳細は資料で確認するとよいでしょう。

認証方式を見直すと、現場の運用にどのような変化が表れるのか。提供元であるISRの担当者は、独自インタビューで具体的な事例を挙げています。

Aikido Security（株式会社AndGo）

「クラウドの設定に抜けがないか確かめたい」なら、設定の誤りを検査するCSPM（Cloud Security Posture Management）が役立ちます。Aikido Securityは、株式会社AndGoが日本の窓口として提供するオールインワンの脆弱性診断SaaSで、ソースコード、依存ライブラリ、クラウド設定、コンテナ、稼働中のWebアプリを1つの管理画面で検査します。

クラウド設定の検査（CSPM）はAWS・Azure・GCPに対応し、外部から侵入されやすい設定になっていないかを点検します。アラートを自動でトリアージして誤検知を抑え、Slack・Teams・Jira・AWSなどと連携できるほか、PDF・CSVのレポートを出力できるため、社内での対応の優先順位づけにも使えます。

無料のDeveloperプランがあり、導入前に試せます。日本窓口での料金は、2026年11月時点でBasicが年額3,780ドルから（年間契約・利用者10人までの参考価格）で、日本円の請求書払いにも対応します。契約経路によって対象機能や価格が変わるため、正式な見積りはAndGoに確認してください。

脆弱性診断を実際に運用する現場でつまずきやすい点について、日本窓口のAndGoの担当者は独自インタビューで次のように話しています。

クラウドの設定ミスを検査するツールは、Aikido Securityのほかにも複数あります。SaaSの設定不備を見つけるSSPMとCSPM・CASB（Cloud Access Security Broker）の違いや、製品ごとの対応範囲・選び方まで見比べたい場合は、次の記事が参考になります。

まとめ

クラウドのセキュリティチェックは、「何を確認すればいいか」の項目を押さえることから始まります。本記事では、可用性・データ管理・認証/アクセス管理・セキュリティ対策/ログ・インシデント対応/サポート・契約/責任範囲・利用者側の体制という7つの観点を、経済産業省とIPAの公表資料をもとに一覧にしました。

確認するときは、使っているクラウドの類型（SaaS・PaaS・IaaS）で自社の責任範囲が変わる点を意識し、第三者認証は「何を保証するか」を見極めて使い分けます。点検で不足が見つかった統制は、IDaaSやCSPMといった手段で補えます。自社に合うサービスの資料を見比べるところから、具体的な一歩を進めてみてください。

よくある質問（FAQ）

Q. クラウドのセキュリティチェックリストとは何ですか？

A. クラウドのセキュリティチェックリストとは、クラウドサービスを安全に使う・選ぶために確認すべき項目をまとめた点検票です。代表的なものに経済産業省「クラウドサービスレベルのチェックリスト」（7種別49項目）と、IPA「中小企業のためのクラウドサービス安全利用の手引き」付録7（15項目）があり、可用性・データ管理・認証やアクセス管理・契約などの観点で構成されます。

自社でクラウドの安全性を点検する物差しにも、取引先から配られるセキュリティチェックシートに答える手がかりにもなります。

Q. クラウドのセキュリティチェックで稼働率99.9%は合格ラインですか？

A. 稼働率99.9%は経済産業省チェックリストの設定例であって、公的な合格基準ではありません。同チェックリストも「必ずしも全ての項目についてレベルを定める必要があるわけではない」としており、求める水準は自社が扱うデータの重要度に応じて決めるものです。基幹業務のように止まると影響が大きい用途ほど高い稼働率を求めるなど、業務への影響度を基準に判断してください。

Q. SaaSを使う場合、クラウドのセキュリティで自社が確認・設定すべき項目はどこまでですか？

A. SaaSでは、アカウント・権限・公開範囲の設定、多要素認証、利用データの管理が主に自社の責任範囲で、アプリ本体やインフラは事業者側が守ります。これは事業者と利用者で守備範囲を分ける「責任共有モデル」の考え方によるもので、利用者の責任は選ぶサービスの種類で変わります。

IaaSのように基盤だけを借りる形ではOS・ミドルウェア・ネットワーク設定まで自社の守備範囲が広がるため、まず使っているクラウドの類型（SaaS・PaaS・IaaS）を押さえると、見るべき範囲がはっきりします。

Q. 取引先からクラウドのセキュリティチェックシートを渡されたら、どう回答すればよいですか？

A. クラウドのセキュリティチェックシートへの回答は、現状を正直に書くことが基本です。できていないことを「できている」と答えると、後で発覚したときにかえって信頼を損ないます。

認証書・規程・設定画面などの根拠（エビデンス）を用意し、意味が判断しづらい項目は相手に確認して認識をそろえてから答えると、確認がスムーズです。ISMSやISO/IEC 27017などの認証を取得していれば、個別項目の回答負担を軽くできる場合があります。

Q. 経済産業省のクラウドサービスレベルのチェックリストはどこで入手できますか？

A. 経済産業省のクラウドサービスレベルのチェックリストは、現在は経済産業省のサイトでは公開されておらず、国立国会図書館のインターネット資料収集保存事業（WARP）のアーカイブから入手できます。2010年に公表された資料で、7種別・49項目で構成されています。

可用性やデータ管理、セキュリティなど7種別の観点をカバーし、項目の出所が公的資料にたどれるため、社内説明や取引先への説明の根拠としても使いやすい一覧です。

Q. 第三者認証を取得しているクラウドサービスなら、個別の項目は確認しなくてよいですか？

A. 第三者認証は客観的な判断材料になりますが、認証ごとに「何を保証するか」が違うため、自社が重視する観点に合う認証かを見極める必要があります。たとえばISMS認証は情報セキュリティ全般の管理体制、ISMSクラウドセキュリティ認証（ISO/IEC 27017）はクラウド固有の管理策、プライバシーマークは個人情報の取り扱い体制を対象とします。

認証の有無だけで判断せず、データの保管場所や解約時のデータ返却など自社が特に確認したい項目は、個別に確かめるのが安全です。

Q. クラウドのデータ保管場所はなぜ確認が必要なのですか？

A. データの保管場所（国・地域）を確認すべき理由は、保存先によって適用される法規制が変わるためです。国内のサーバーに保存されるか海外に保存されるかで、個人情報保護法やGDPRなど守るべきルールが異なります。IPAの手引きもデータ保存先の地理的所在地の確認を項目に挙げており、重要なデータを扱うクラウドほど保管場所の確認は欠かせません。

Q. 情報システムの専任者がいない中小企業でも使えるクラウドのチェックリストはありますか？

A. 情シス不在の中小企業には、IPA「中小企業のためのクラウドサービス安全利用の手引き」付録7のチェックシート（15項目）が向いています。「選択するとき」「運用するとき」「セキュリティ管理」の3区分を平易な質問文でまとめており、専門知識がなくても自社の状況に当てはめて点検できます。まずクラウドで扱う業務と情報の重要度を見極め、社内の管理担当者を決めることが出発点になります。

社内セキュリティソリューションの料金・資料を一括チェック

MCB FinTechカタログでは、クラウドの認証・アクセス統制やセキュリティ診断など、社内セキュリティソリューションの最新資料を無料で一括請求できます。機能や対応範囲、費用を見比べて、チェックで見つかった不足を埋めるサービスを選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。