NRIセキュアテクノロジーズ（NRIセキュア）は2020年1月28日、クラウドサービスの安全利用に向けて、クラウドサービスに関して評価すべき項目を網羅した標準化フレームワーク「NRI Secure Framework for Cloud（NSF for Cloud）」を発表した。NRIセキュアは、NSF for Cloudを活用し、クラウドサービスの選定に対するアドバイスやセキュリティレベルの評価を提供するほか、必要な対策の立案・実行を支援する。
NRIセキュアテクノロジーズ（NRIセキュア）の「NSF for Cloud」は、国内外の複数の機関が定めるセキュリティ対策基準や、最新のサイバー脅威の動向、クラウドに関する業務で得た自社のノウハウなどを基に、クラウドサービスに対する評価項目をまとめたものである（図1）。
図１：セキュリティ対策評価の流れ（出典：NRIセキュアテクノロジーズ）拡大画像表示
クラウド利用を前提としたシステムや、新規に導入を検討しているクラウドサービス、あるいは現在利用中のクラウドサービスなどを対象に、NRIセキュアの専門家がNSF for Cloudを基に、評価と対策を支援する。
新たにクラウドサービスを利用する際に、目的に応じたクラウドサービスの選定や、考慮すべきセキュリティ対策について、専門家の観点からアドバイスする。この上で、クラウドサービスの利用時に実施すべきセキュリティ対策を、網羅的に評価・分析する。これにより、対象システムにおけるセキュリティ水準や運用状況を可視化する。何らかの対応をすべき事項を検出した場合は、セキュリティ対策の立案や対応ロードマップの策定も支援する。
さらに、クラウドサービスにおけるセキュリティ対策の実行を支援する。顧客企業の要望や課題に応じて、コンサルテーションや継続的なセキュリティ監視体制を提供するほか、各種セキュリティソリューションの提案なども行う。解決策のアドバイザリから対策完了までを一気通貫で支援する。
NSF for Cloudを策定した背景について同社は、様々な企業において、利便性や柔軟性が高いことなどを理由に、クラウドサービスの利用が一般的になってきている状況を挙げる。「一方で、オンプレミスのみを採用した従来型のシステム環境とは異なり、自社の責任範囲の把握やリスクマネジメント、セキュリティ対策の状態管理などを十分に行うことが難しいことも明らかになっている」（同社）。
同社によると、多種多様なクラウドサービスが登場していることや、クラウドに関連する技術の進展も著しいことから、あるクラウドサービスが自社の利用目的とセキュリティ水準に適合しているかどうかを評価したり、最適なサービスを選定したりするにあたって、高度な知識や専門性が求められるようになったという。
「また、クラウドサービスでは、提供企業と利用企業それぞれが負う責任の範囲が細かく定められており、利用企業が行うべきセキュリティ上の設定があっても、その存在に気付かなかったり、設定は行ったとしても、その内容に不備が生じたまま放置されてしまったりする恐れもある。クラウドサービス環境に置かれている情報が、外部からアクセス可能な状態に置かれ、サイバー攻撃を受けたり、情報漏洩を起こしてしまったりする事例も発生している」（同社）
NRIセキュアは、クラウドサービスを利用する際には、サービスの適切な選定に加えて、クラウドの特性を踏まえたうえで、安全な使い方やセキュリティ設定ができているかどうかについて、定常的なモニタリングを行うことが重要だとしている。
