データをクラウドに移しても安全か、それとも自社サーバーで保管すべきか？

新しいソフトウェアや顧客アシスタント、予約システムの話をしていると、よく出てくる質問があります。「データはどこに置かれるのか、クラウドなのか。クラウドは安全なのか」。もっともな質問です。しかし多くの場合、注目する場所がずれています。データが物理的にどの建物にあるか、という点です。実際には、データが安全かどうかを決めるのは場所よりも、誰がそれを守り、誰が開くことができ、失われたときにどう復旧するかです。

自社サーバーとクラウド：本当の違いはどこにあるか

「自社サーバー」と言うとき、多くはオフィスの片隅にあるコンピューター、またはホスティング会社から借りたサーバーを指します。一方「クラウド」は、大手インフラ事業者のデータセンターで稼働するサーバーです。両者の違いは次の点に表れます。

• 物理的な保護。オフィスのサーバーは火災、浸水、停電、盗難にさらされています。データセンターにはこうしたリスクに対する個別の対策があります。
• 更新と保守。自社サーバーでは、OSやソフトウェアの更新を誰かが定期的に行う必要があります。行われなかった更新は、既知の脆弱性が玄関先で待ち構えているのと同じです。
• 管理権。自社サーバーではすべてが自分たちの手の中にあり、それは利点であると同時に負担でもあります。クラウドではインフラの一部を事業者が管理し、自社は自分の担当分を管理します。

要するに、自社サーバーとは「自分たちで守る」ということです。しかし実際にそれを担う人がいなければ、データは思っているほど守られていないかもしれません。

誰が何を守るのか：責任共有

クラウドでは、セキュリティの責任が二者に分かれます。事業者は建物、ハードウェア、基盤となるインフラを守ります。一方、アカウント、パスワード、誰がどのファイルを閲覧できるか、アプリケーションそのもの、そしてバックアップの管理は、多くの場合、顧客またはその委託を受けたソフトウェア会社が担います。データ漏えいの少なくない部分は、インフラが破られたことではなく、設定を誤った共有リンク、弱いパスワードや共用のパスワード、退職者の閉じられていないアカウントから起きています。こうした誤りは、クラウドでも自社サーバーでも同じように起こり得ます。

バックアップ：セキュリティの最も忘れられがちな半分

セキュリティとは、悪意ある人物がデータにたどり着くのを防ぐことだけではありません。データを失わないことでもあります。ディスクは故障することがあり、社員が誤ってフォルダーを削除することもあり、ランサムウェアがファイルをロックすることもあります。そうしたとき唯一の頼みの綱は、定期的に取得され、別の場所に保管されたバックアップです。確認すべき点は次のとおりです。

• バックアップはどのくらいの頻度で取得されているか。
• バックアップは元のデータとは別の場所に保管されているか。
• バックアップはどのくらいの期間保存されるか。
• バックアップからの復元を最後に試したのはいつか。

最後の問いは特に重要です。一度も試していないバックアップは、機能することが証明されていないバックアップです。URİKEMの製品では、顧客・予約・アシスタントの記録がどこに保管され、どのくらいの頻度でバックアップされ、どのくらいの期間保存されるかをデータセキュリティのセクションに明記しています。

アクセス：誰がデータを見られるのか

データがどこにあるかと同じくらい、誰が開けるかも重要です。全員が同じユーザー名でログインするシステムでは、誰が何を変更したのかわかりません。良い運用では、一人ひとりが自分のアカウントを持ち、各自は業務に必要なデータだけを見られ、退職者のアクセスは当日中に停止され、可能であればログイン時に二段階目の認証が求められます。ウェブサイトや管理画面にも同じ考え方が当てはまり、サイトを最新の状態に保ち、監視し、バックアップすることもこの仕事の一部です。私たちがこれをどう運用しているかは、サイト保守・セキュリティの製品ページで紹介しています。

AIが関わる場合

AIを使うツールでは、もう一つ疑問が生じます。テキストをAIサービスに送ったとき、何が起きるのか。このテーマはAIはあなたのデータを学習するのかの記事で別途取り上げました。要点は、送信するデータは最小限にすること、サービス事業者がデータをモデルの学習に使うかどうかを契約に明記すること、そしてデータが国外に移転される場合は、個人データの観点から別途の通知と同意が必要になることです。

決める前に確認すべきこと

• データはどの国の、どの事業者のインフラ上にあるか。
• インフラは誰が、アプリケーションとアカウントは誰が管理しているか。
• バックアップはどのくらいの頻度で、どこに取得され、どのくらい保存されるか。
• 誰がアクセスでき、アクセスはどのように停止されるか。
• サービスが終了した場合、データをどの形式で取り戻せるか。

注意すべき点

「クラウドは安全だ」「自社サーバーのほうが安全だ」といった一般論に頼って判断しないでください。どちらの選択肢も、適切に管理されていれば安全で、放置されればリスクがあります。個人データを扱う場合は、データがどこに保管され、国外に移転されるかどうかがKVKK（トルコの個人データ保護法）の観点からも重要です。この点については自社の法律顧問の意見を求めてください。取引先のソフトウェア会社には、上記の問いへの回答を書面で求めましょう。答えられない会社は、あなたのデータをどう守っているのかも把握していない可能性があります。

よくある質問

クラウドは自社サーバーより安全ですか？

自動的にそうなるわけではありません。クラウド事業者は物理的なインフラを守りますが、アカウント、パスワード、アクセス権限、バックアップの管理は引き続きあなた自身またはソフトウェア会社の責任です。適切に管理されていれば、どちらの選択肢も安全になり得ます。

データをバックアップするには何をすべきですか？

バックアップが定期的に取得され、元のデータとは別の場所に保管され、一定期間保存されていることを確認してください。最も重要なのは、バックアップからの復元を時々実際に試すことです。

サービスをやめた場合、データを取り戻せますか？

これは契約に最初から明記しておくべき事項です。サービス終了時にデータがどの形式（たとえばExcelやCSV）で引き渡され、その後どのように削除されるかを、利用を始める前に確認してください。