コラム

CTC教育サービス・ホーム　＞　コラム　＞　sugipoohのデータセンター・クラウドインフラ　＞　第4回　様々な基準とセキュリティ対策と認証

sugipoohのデータセンター・クラウドインフラ

CTC 教育サービス

[IT研修]注目キーワード Python UiPath(RPA) 最新技術動向 Microsoft Azure Docker Kubernetes

第4回　様々な基準とセキュリティ対策と認証 (杉田正 @sugipooh) 2013年10月

　データセンターを利用する場合、どのような基準でセキュリティを維持しているか？、インターネットを経由してサービスを受けるので、サーバーの管理、ネットワーク回線の管理などがどうなっているか？気になるところです。

　データセンターを建設する場合は日本データセンター協会（JDCC)が定める「データセンターファシリティスタンダード」基準があります。法令で定められている建築設計での建築士が行う範囲だけなく、基礎や鉄骨などの強度計算、設備での施工基準など様々な規則に適合しないといけません。特に日本は地震が多い国なので欧米のデータセンター規格のTiar規格、TIA規格、ASHREなどに適合するだけでなく、建物を免震構造にするのか？耐震構造にして内部設備強度を上げるのか？など、データセンター運用によるサービス構築ポリシーにも関係します。
　サーバーは電気で動きますから、電源を供給する工事でも電気設備を管理するにも工事を施工するのも資格が必要で、工事では電力会社規定（内線規程）で電線の太さ、アース抵抗値など守らないといけません。水漏れやサーバーに触って感電などを発生させないための漏電対策なども重要です。これらは元々工場での大電力（強電とも言います）を効率良く使うための規定であり、サーバー運用で重要な落雷対策などの弱電機器を扱う詳細まで定められていません。また冬季乾燥時に発生する静電気障害などを別途考慮しなくてはいけません。

　データセンターからは、様々なITサービスを受けるのですからサービス基準も大事です。サービス基準にデータセンター設備も含まれます。サービスの価格差は設定された基準により変わるもので、「サービスレベル契約」（以後SLAと略す）で各データセンター事業者が定めています。例えば電源をA系B系とラック内部まで2重化されSLAが高度に設定すれば利用料は高額になります。SLAは各事業者が「サービス約款」を定めて公開しています。サービスが中断されるとユーザーは多大な損害を受ける場合がありますが、損害発生時の保証もSLAにより定められています。SLAに定められていない内容については最終的に裁判所の判断を仰ぐことになります。管理サーバー設置場所が海外であり争議は海外裁判所で行うと規定されているサービスを日本で提供している場合などもあり日本法令に準拠しないため注意が必要です。

　SLAを設定するにあたり、セキュリティ基準として多くのデータセンターに採用されている基準が　ISO27001（ISMS）です。ISO27001が定める基準は広範囲に渡り「リスクをコストで判断」し、「リスクを管理している」ことを、外部監査を受け認証してもらいます。ISMSは英国BSIが本家です。銀行などのデータを管理するには、金融情報システムセンターFISCが定める「金融機関等コンピュータシステムの安全対策基準」があり、基準を外部監査して認証する日本品質保証機構JQAの「データセンター安全対策適合証明」などがあります。銀行のデータセンターがどこにあるのか？一般的に知られていないのはこの基準に適合しているからです。

　データセンターへは、ADSLや光回線で接続しますが、回線事故が発生すると復旧まで数時間以上かかる場合も多く、サービス停止での損害が大きな場合は回線業者を2社（電話系と電力系とか）使い、主たるIX（インターネットエクスチェンジ）までの経路も2重化（冗長化）します。このとき回線利用料もSLAにより価格に大きな差があります。

　サーバーで運用するデータベースが何らかの障害で停止しても、データセンターが停電しても"サービスが停止"していることになります。これらのレベルまで定めた基準にISO20000（ITIL）があります。ISO認証を受けずにITIL基準準拠としてSLAを定めサーバを預かるサービスを実施している事業者もあります。