クラウドを安全に使うための基本
この記事の結論
クラウドを安全に使うには、事業者と利用者の責任の分担を確かめたうえで、利用者が受け持つアカウント・権限・公開設定・記録・データの確保を、選ぶ・使う・やめるの段階ごとに固めることが基本です。
自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）
メールやファイル共有、会計、生成AIなど、業務の多くがクラウドで動くようになりました。この記事では、IPA（情報処理推進機構）の「中小企業のためのクラウドサービス安全利用の手引き」と、総務省の「クラウドサービス利用・提供における適切な設定のためのガイドライン」にそって、利用する会社が押さえたい基本をまとめます。
この記事でわかること
- クラウドで事業者と利用者が分担する責任の考え方
- 情報の流出につながりやすい「設定ミス」の原因と対策
- 選ぶとき・使うとき・やめるときに確かめること
クラウドのセキュリティは、誰が守るのですか？
クラウドのセキュリティは、事業者と利用者が責任を分担します。IPAの手引きは、事業者と利用者がそれぞれ必要な対策を行うことで安全が保たれ、利用者は事業者が担う部分を直接管理できないため、事業者の対策の内容を確かめる必要があると説明しています。手引きのチェックリストには、利用者の範囲と認証の管理や、バックアップを利用者の責任で取ることも含まれています。
総務省のガイドラインは、SaaS・PaaS・IaaSで利用者の責任の範囲が異なるため、契約の前に事業者との分担と免責事項を確かめるよう求めています。SaaSは完成したサービスを使う形、PaaS・IaaSは基盤の上に自社でシステムを組む形で、後者ほど利用者が受け持つ範囲が広くなります。
システム会社（SIer）に構築や設定を委託しても、発注者である利用者が管理・監督の責任を負うとされている点にも注意が必要です。
なぜ「設定ミス」が起きるのですか？
総務省のガイドラインは、クラウドを利用する事業者で情報流出のおそれにつながる事案が続いたことを背景に、2022年10月に策定されました。2024年4月には、利用者向けに内容を解説した「クラウドの設定ミス対策ガイドブック」も公表されています。
ガイドラインは、設定の不備を利用者の単純なミスとしてだけ捉えず、要因が重なって起きると分析しています。
- 利用する側の要因：クラウドへの理解の不足、管理や作業の体制の不備
- 提供する側の要因：利用者が誤らないための情報やツールの不足、ミスが起きにくい設計への配慮の不足
ガイドラインでは、IPAに届け出のあった2021年の不正アクセスの原因のうち、設定の不備が約17.7％で3番目に多かったことも紹介されています。
設定の不備は、要因が重なって起きます
- 利用する側の要因クラウドへの理解の不足、管理や作業の体制の不備
- 提供する側の要因利用者が誤らないための情報やツールの不足、ミスが起きにくい設計への配慮の不足
- 考え方利用者の単純なミスとしてだけ捉えない
総務省「クラウドサービス利用・提供における適切な設定のためのガイドライン」（2022年10月）の分析にもとづく整理です。
利用する会社は、何をすればよいですか？
総務省のガイドラインが利用者向けに挙げる対策を、中小企業でも取り組みやすい順に整理します。
① 利用の方針とルールを決めます。 クラウドの利用方針に設定の不備への対策を書き、社内に伝えます。事業部門が独自にクラウドを使う場合のルールを定め、会社が把握していない利用（シャドーIT）を把握し、抑えます。
② アカウントと権限を分けます。 管理者のアカウントと一般の利用者のアカウントを分け、管理者には多要素認証を使います。強い権限を持つアカウントは最小限にし、社外の利用者（ゲスト）には必要な最小限の権限だけを与えます。退職した人のIDは速やかに止めます。
③ 公開範囲を確かめます。 ファイルの保存場所などの公開範囲と、初めから設定されている値（初期値）を確かめます。重要なデータは暗号化を検討します。
④ 記録（ログ）を残します。 記録が初めは無効になっているサービスもあるため、有効になっているか、保存期間と通知の設定を確かめます。管理者の操作の記録は重点的に見ます。
⑤ 手順書と二重の確認を入れます。 作業の手順書を整え、設定する人と確かめる人の2人で確認し、作業の記録を残します。手順書は定期的に見直します。
⑥ 続けて点検します。 設定の変更を検知して元に戻す仕組みや、設定を診断するツール・外部の診断サービスを定期的に使います。サービスの機能追加や仕様変更のときは、リリースノートを確かめて設定を見直します。
生成AIのサービスもクラウドの一つです。入力した情報の扱い、利用者の範囲、記録の残り方を、ほかのクラウドと同じ目で確かめます。
選ぶ・使う・やめるの段階で、何を確かめますか？
IPAの手引きは、15項目のチェックリストを「選択する」「運用する」「セキュリティ管理」の3つに分けています。要点は次のとおりです。
| 場面 | 主に確かめること |
|---|---|
| 選ぶとき | どの業務・情報をクラウドで扱うか、事故が起きたときの影響、自社のルールとの整合、事業者の信頼性、稼働率や復旧の目標などの品質保証（SLA） |
| 運用するとき | 管理担当者を置く、利用者の範囲と権限の管理、強いパスワード・IDの共有をしない・多要素認証、重要な情報を手元にも確保する |
| セキュリティ管理 | 事業者の対策の公開状況、問い合わせの窓口、利用終了時のデータの返却・移行と消去、法令や契約の条件（再委託先の管理を含む）、データを保存するサーバーの国・地域 |
やめるときのことは、選ぶときに確かめておきます。 全データを返却・移行できるか、移行先で取り込めるか、事業者の側にデータが残らないかを、契約の前に確かめておくと、乗り換えや解約で困りにくくなります。
選ぶ・使う・やめるで確かめること
IPA「中小企業のためのクラウドサービス安全利用の手引き」のチェックリスト（15項目）から、選ぶ・使う・やめるの場面ごとに要点を抜き出したものです。
事業者の信頼性を見るときは、第三者の認証の取得状況も参考になります。政府の情報システム向けには、クラウドサービスを評価して登録する制度「ISMAP」があり、2022年11月からはリスクの小さな業務向けの「ISMAP-LIU」の運用も始まっています。登録の有無は判断材料の一つで、自社の用途に合うかは別に確かめます。
チェックリスト
関連するひな形・ガイド・用語
ひな形
よくあるご質問
Qクラウドの事業者が対策しているなら、利用する会社は何もしなくてよいですか？
Aそうではありません。クラウドのセキュリティは事業者と利用者が責任を分担します。アカウントの管理、データの扱い、公開範囲の設定、バックアップなどは利用者が受け持つ部分です。SaaS・PaaS・IaaSで利用者の範囲は異なるため、契約の前に分担を確かめます。
Q設定ミスは、どうすれば減らせますか？
A総務省のガイドラインは、手順書を整え、設定する人と確かめる人の2人で確認する、記録を残す、設定の変更を検知する、定期的に設定を診断する、といった対策を挙げています。サービスの機能追加や仕様変更のときに、リリースノートを確かめて設定を見直すことも大切です。
Qシステム会社に設定を任せていれば安心ですか？
A委託すること自体は有効ですが、総務省のガイドラインは、委託しても発注者である利用者が管理・監督の責任を負うとしています。何をどの設定にしたかの報告を受け、自社でも分かる状態にしておくと安心です。
この記事に出てくる用語
「基盤とセキュリティ」のほかの記事
この柱の解説 →出典
- IPA「中小企業の情報セキュリティ対策ガイドライン」付録7「中小企業のためのクラウドサービス安全利用の手引き」
- 総務省「クラウドサービス利用・提供における適切な設定のためのガイドライン」（2022年10月）
- 総務省「クラウドの設定ミス対策ガイドブック」の公表（2024年4月26日）
- 総務省「令和6年版 情報通信白書」クラウドサービスの安全性確保に関する取組
最終確認日：2026-11-12