クラウド・コンピューティング

今回は、近時話題になっているクラウド・コンピューティングについて検討する。
なお、本コラム中の意見にわたる部分は、すべて筆者の個人的見解であって、筆者の所属組織とは無関係であることに注意されたい。

サイバー法

2010/11/30

クラウド・コンピューティングとは

クラウド・コンピューティングという表現が用いられたのは、２００６年８月９日にGoogleのCEOであるエリック・シュミットが、米国カリフォルニア州サンノゼ市で開催された「検索エンジン戦略会議」(Search Engine Strategies Conference）のときであるとされている。

クラウド・コンピューティングとは、一般に、インターネット上にグローバルに拡散したＩＴ関連資産を使って、ユーザーに対して情報サービス又はアプリケーションサービス等を提供するコンピュータ構成・利用に関するコンセプトのことをいう。

これを簡単にいうと、クラウド・コンピューティングとは、インターネット上の「どこか」に、ソフトウェアやデータ等が保管されてあり、ユーザーは、その所在や内部構造等を全く意識することなく、これらのソフトウェア及びデータ等を利用することができる環境又は利用スタイルのことをいう。

クラウド・コンピューティングの長所

クラウドの長所としては、①コストの削減及び②情報の共有という点を挙げることができる。

①コストの削減

まず、インターネット上にあるＩＴ関連資産を利用し、かつ、その利用する内容に応じた料金のみを支払うことで足りるため、同じようなＩＴ関連資産を自社で保有した場合と比べて、サーバー設置やソフトウェア購入等の初期投資費用、その後の運営・管理・保守費用、さらにはソフトウェアのバージョンアップやハードウェアの追加、交換等の新たな投資費用等が不要となり、その分、自社のＩＴ投資に関するコストを削減することが可能となる。

②情報の共有

次に、例えば、複数企業での共同研究・開発等のプロジェクトを行う場合、通常、各企業は、ファイヤーウォールによって外部と遮断された自社内サーバーにおいて、各企業の情報管理を行っているが、複数企業での共同研究・開発等のプロジェクトでの情報共有を行う際、クラウドを用いた場合、容易にプロジェクト・メンバー間の情報共有を行うことができるようになる。

また、クラウドに保存されたＩＴ関連資産に、各メンバーがそれぞれ追加、修正等を加えることになるので、クラウド上には、常に最終版のＩＴ関連資産が備えられている状態となる。そして、各メンバーは、いつでもどこでも当該ＩＴ関連資産の内容を確認、修正等をすることができるようになる。

クラウド・コンピューティングに関する問題点

秘密情報保持

クラウド・コンピューティングは、上記のとおり、インターネット上に保管されているＩＴ関連資産の所在や内部構造等を全く意識することなく、これらのＩＴ関連資産を利用することができることをいうため、企業の機密情報をクラウドにおいて保管、管理した場合、当該機密情報がどこに、どのような形で保管されているのかが、ユーザー側には、知り得ないこととなる。

そのため、例えば、物理的に同一のサーバー内で、かつ、競業企業の機密情報の隣の番地において、貴社の機密情報が保管、管理されているような場合もあり得る。現実社会においては、競業会社の機密情報が隣り合って保管されているようなことはあり得ないことであるが、サイバー社会においては、そのようなこともあり得ることとなる。もちろん、実際には、それに伴う不都合は発生しないと考えられるが、システム・エラーやシステムの障害が発生した場合における保管状況の危険性はあると考えられる。

また、このように重要情報がクラウドにおいて保管、管理されるようになった場合、次で述べる情報セキュリティの観点での問題が重要であるが、法的には、クラウドの提供業者による守秘義務契約や秘密保持義務契約が問題となる。

一般的に、クラウドの提供業者は、個人情報保護法による規制については及ぶと考えられるものの、クラウドの提供業者が出している利用規約等を確認した上で、守秘義務ないし秘密保持義務についての規定を確認しておく必要はあるといえる。

情報セキュリティ

まず、クラウド・コンピューティングを利用する場合、当然のことではあるが、本来、自社が保管、管理する情報を外部のサーバー上に保存することになるため、当該情報について、データ漏洩の危険性が問題となる。

あくまで一般論ではあるが、クラウド提供業者は、情報セキュリティに関する善管注意義務を負うとともに、情報セキュリティ対策を日々講じていると考えられるので、自社で情報管理をしている場合より、セキュリティレベルは高いのが通常である。

もっとも、クラウドを利用した場合、上記のとおり、企業の機密情報をクラウドにおいて保管、管理した場合、当該機密情報がどこに、どのような形で保管されているのかが、ユーザーである当該企業には知り得ない。そのため、クラウド提供業者によるサーバーの故障、障害又はサーバーのバージョンアップやメンテナンス等によって、サービスの利用が制限される可能性がある。

また、実際にサービスに障害が生じた場合、クラウド提供業者とサービス利用者との間における責任分担の問題が生じる。

　具体的には、クラウドを利用するユーザーがサービスの障害によっていかなる損害を受けるかについては、利用するユーザーによって大きく異なるため、すべての損害をクラウド提供業者に転嫁させることは妥当ではないが、他方、クラウド提供業者によるサービス利用約款等において、サービスに障害が発生したような場合における免責を規定しているからといって、クラウド提供業者がまったく責任を免れるというのも、また妥当性に欠けると考えられる。

さらに、サイバー社会は、国境のない社会であり、クラウド・コンピューティングにおいては、利用するユーザーの情報がどこに、どのような形で保管されているのかが当該ユーザーには知り得ないこととなる。

しかし、クラウド提供業者による設置している現実社会におけるサーバーのどこかに当該情報が保管されることになる訳であるから、実際に当該情報が保管されているサーバーの設置場所の法律の影響を受ける可能性がある。

例えば、ＥＵは、１９９５年１０月２４日に、「個人データの取扱いに係る個人の保護及び当該データの自由な移動に関する欧州議会及び理事会の指令」（一般に「個人データ保護指令」と呼ばれている。）を採択した。

　この個人データ保護指令第２５条には、ＥＵ加盟国からＥＵ域外の第三国へと個人データが移動する際、個人データの保護に関する措置がＥＵデータ保護指令の水準を満たしていないような第三国及び当該国の企業には、個人データを移転してないけないという規定がある。クラウド提供業者によるサービスによっては、クラウド上に保管されている個人情報が第三国のサーバーへの移動をする際に、この条項に抵触する可能性があることになる。

また、国家安全保障上の観点から、自国内のサーバーに存在するデータについて、一定条件の下において調査権限を有する旨の法令を規定している国家が存在する。例えば、米国における「愛国者法」や、英国における「捜査権限規制法」等である。

ここで、米国の「愛国者法」は、２００１年９月１１日のアメリカ同時多発テロ事件後に成立した法律であり、米国内外のテロリズムと戦うことを目的として政府当局に対する権限を大幅に拡大させた法律である。

具体的には、電話やＥメール、医療情報、金融情報やその他記録について、政府当局に対し、調査する権限を拡大する内容となっている。また、英国の「捜査権限規制法」は、２０００年１０月２４日に施行された法律であり、捜査当局に電子メールの傍受を認めるなど、全国的に情報通信の傍受システムを整える一環として、英国内の企業や官公庁にも従業員・職員の通信記録をモニターする幅広い権限を付与する内容となっている。

このような場合、たまたまクラウド提供業者によって、自社の機密情報が上記のような規制法令がある国家のサーバーに保管されており、かつ当該国家の調査権限を満たすような事由が発生した場合、ユーザーが知らないうちに、ユーザーの機密情報を当該国家に強制的に取得されているという事態が起こりうることになる。

まとめ

いつでもどこでも、インターネットにアクセスできる環境さえあれば、各種サービスを利用できるという点で、クラウド・コンピューティングの利便性は高いといえるが、上記のとおり、クラウド・コンピューティングには長所とともに、問題点（短所）も存在している。

現実的な対応策としては、情報の保護レベルに応じ、重要な個人情報や企業の機密情報等については、自社内サーバーにおいて保管、管理をするようにして、それ以外の情報についてクラウドを利用することや、又は情報を暗号化した上で、クラウドを利用するということになると考える。

もっとも、今後も、クラウド提供業者によるサービスは発展していくと考えられるし、クラウドを取り巻く法令についても各国で整備されていくと考えられるので、今後の状況に応じて、クラウド利用法についても随時修正していくべきである。

山根義則（やまねよしのり）

弁護士

1972年福岡県生まれ。1996年九州大学工学部情報工学科卒業。2006年弁護士登録。2007年九州大学大学院システム情報科学府情報工学専攻博士後期課程に飛び級入学。暗号理論と情報セキュリティの研究に従事し、その後弁護士となる。弁護士として、事業再生、Ｍ＆Ａ、税務訴訟、住民訴訟、知的財産コンサルティング等の案件を扱う。研究者としては、電子商取引、電子マネー等の情報セキュリティに関する研究に従事する。法律と技術との架け橋となること、クライアントのニーズに対して戦略的解決を図ることに注力している。