ACSC - Cloud Computing Security for Cloud Service Providers (クラウド サービス プロバイダーのクラウド コンピューティング セキュリティ)

このドキュメントは、評価者によるクラウド サービスのセキュリティ体制の検証をサポートすることを目的としています。これによって、評価者はクラウド サービス プロバイダー (CSP) からのセキュリティ要求に対する独自の保証を組織に提供できます。また、このドキュメントは CSP によるセキュアなクラウド サービスの提供をサポートします。

組織のサイバー セキュリティ チーム、クラウド アーキテクト、ビジネス担当者は、関連ドキュメント「Cloud Computing Security for Tenants (テナント向けクラウド コンピューティング セキュリティ)」を参照する必要があります。

米国国立標準技術研究所が定義するクラウド コンピューティングには、ビジネス成果の改善などの組織にとっての潜在的なメリットがあります。クラウド サービスの使用に伴うリスクを軽減することは、組織 (「テナント」と呼ばれる) と下請け業者を含めたクラウド サービス プロバイダー (「CSP」と呼ばれる) の共同責任です。ただし、最終的にデータを保護してその機密性、完全性、可用性を確保する責任は、組織に帰属します。

組織はクラウド サービスを使用する前に、リスク評価を実施して関連する緩和策を導入する必要があります。保存または処理するデータの機密性や重要度、クラウド サービスの導入方法と管理方法、組織が意図するクラウド サービスの使用方法、インシデントの検出と対応を適宜行う組織に関連する課題など、リスクは各種要因によってそれぞれ異なります。セキュリティや可用性が不十分、または最新のビジネス要件を満たせない社内のコンピューター システムを使用することについて、組織は客観的なリスク評価によってそれらのリスクを比較する必要があります。

このドキュメントは、サービスとしてのインフラストラクチャ (IaaS)、サービスとしてのプラットフォーム (PaaS)、サービスとしてのソフトウェア (SaaS) を対象としています。これらは、パブリック クラウド、コミュニティ クラウド、それより比較的規模の小さいハイブリッド クラウドまたはアウトソーシングしたプライベート クラウドの一環として CSP によって提供されます。