クラウドセキュリティのガイドラインはどれ？利用する会社の読む順番

クラウドを利用する中小企業は、IPAの手引き、総務省のガイドブック、総務省の設定ガイドライン、経産省のガイドラインの順に読みます。全部を通読する必要はなく、1冊目と2冊目で社内の決まりを作り、残りは必要な項目を引く資料として使います。

今日やることは2つです。主に使っているクラウドを1つ選び、IPAのチェックシート15項目⁠を埋めてください。そして、そのクラウドの設定をする人と、確かめる人の名前を決めます。この2つで、次に読むべき資料が絞れます。

クラウドの対策全体はクラウドセキュリティの一覧⁠にまとめています。

どのガイドラインを、どの順に読めばいい？

資料の数が多く見えるのは、書かれた相手が違うためです。使う側の会社に要るものを、順に並べます。

順番は私たちの整理で、各機関が定めたものではありません。短くて具体的な資料から始め、詳しい資料へ進む並びにしました。

自社でサーバーを組むIaaSを使わず、Microsoft 365や会計ソフトのようなSaaSだけなら、1と2でかなりの部分を決められます。IaaSの上で業務システムを動かしているなら、3まで担当者か委託先と読みます。

1冊目はIPAの手引きで何を確かめる？

IPAの中小企業の情報セキュリティ対策ガイドラインは、2026年3月27日⁠に第4.0版が公開されました。その付録7が「中小企業のためのクラウドサービス安全利用の手引き」⁠で⁠す⁠。付録は全8ページで、説明資料が全32ページあります。

説明資料の2026年6月⁠版⁠によると、チェックシートは3つ⁠の場面に分かれています。

このシートの良さは、専門用語が少なく、社長や総務の方でも答えられることです。答えられない項目があれば、それが次に調べる点になります。

たとえば、図面をオンラインストレージに置き、協力工場と共有する部品メーカーの場合を考えます。項目3で図面が漏れたときの影響を確かめ、項目4でお客様から預かった情報を社外に置いてよいかを、自社のルールと照らします。説明資料も、社外に置くことを禁止しているデータの例に、お客様から預かった情報を挙げています。

図面の場合は、顧客との契約や秘密保持の条件も確かめてください。項目8で協力工場の担当者に渡す権限を決め、取引が終わったあとの扱いまで決めておきます。

2冊目の総務省ガイドブックでは何を決める？

クラウドの設定ミス対策ガイドブックは、総務省が2024年4月26日に公表した解説書です。対象はクラウドを利用する企業で、情報システム部門に限らず、個別にサービスを導入した部門も含みます。

ここで決めるのは、人と手順です。ガイドブックは次のことを求めています。

• 責任者と担当者を明確にする。中小企業では役員が責任者になることもある
• 少なくとも、設定をする人と、設定をチェックする人を置く
• 担当者が設定し、責任者がチェックする方法もある

担当が1人⁠の会社にとって、最後の1行⁠は大事です。ガイドブックは、情報システムの担当が1人⁠の組織の問題として、ミスに気づきにくいこと、ノウハウが1人⁠に偏ることを挙げています。専門知識がない責任者でも、変更の内容を聞き、共有の範囲を画面で一緒に見ることはできます。

ガイドブックが前提に置くのが責任分担です。サービスの種類で利用者の範囲が変わり、利用規約に免責の定めがあることもあります。契約したサービスの規約は、一度は読んでください。

総務省の設定ガイドラインはいつ開く？

クラウドサービス利用・提供における適切な設定のためのガイドラインは、総務省が2022年10月31日に公表しました。ガイドブックの元になった資料で、読者には利用者のほか、SIerや事業者も含まれます。

背景の説明として、IPAの2021年⁠の届出状況で、不正アクセスの原因のうち設定不備がおよそ17.7%⁠で第3位だったことが書かれています。古い年の数字ですが、設定が対策の中心に置かれている理由が分かります。

開くのは次の場面です。

• 担当者や委託先と、設定の責任の分け方を確かめるとき
• SaaS、PaaS、IaaSごとの範囲を見るとき
• 変更の手順や、チェックの入れ方を決めるとき

責任の分け方は、SaaSの場合に特に誤解されます。ガイドラインでは、アプリの動作に関わる設定は事業者の責任ですが、利用者のアカウントと業務データの設定は利用者の責任としています。「大手のサービスだから安全」という判断では、この部分が抜けます。

ガイドラインによると、クラウドを利用する企業の約60%が、運用支援の全部か一部をSIerなどに委託しています（2021年の民間調査の引用）⁠。委託していても、どの設定を誰が確かめるかは、契約の前に書面で決めます。ガイドブックも、利用企業から委託を受けて設定する企業を読者に含めています。委託先に「このガイドラインのどの項目を担当するか⁠」⁠と聞くと、話が具体的になります。

経産省のガイドラインはまだ使える？

クラウドサービス利用のための情報セキュリティマネジメントガイドライン 2013年度版⁠は古い資料です。ただし、IPAの2026年6月版の説明資料も、役立つ情報として名前を挙げています。

このガイドラインは、JIS Q 27002から適切な管理策を選び、導入するための助言をまとめたものです。情報資産の多くをクラウドに任せる組織を想定し、一部だけ使う場合は必要な管理策を選ぶよう書いています。

だから、通読する資料ではありません。ISMSの認証を取る、取引先の監査に備える、社内規程を見直すといった場面で、該当の管理策を探します。2013年度版なので、個別の技術の記述は今のサービスに合うかを確かめて読んでください。

認証の準備を進めるなら、書類の管理を助けるISMS取得を支援するツールの比較も手段になります。ただし、中身の判断まで任せられるわけではありません。

事業者向けの資料は、利用者も読むの？

読むというより、事業者に何を聞けるかを知るために使います。

選ぶときの助けになるのが、第三者の制度です。IPAの説明資料は、次の4つ⁠を挙げています。

• ISMAP（政府が求める水準を満たすサービスを評価・登録する制度）
• ISMSクラウドセキュリティ認証（ISO/IEC 27017）
• クラウド情報セキュリティ監査制度（CSマーク）
• ASP・SaaS情報開示認定制度

テレワークや取引先の要請があるときは？

場面が決まっているなら、次の資料を足します。

テレワークの環境がある会社は、総務省のテレワークにおけるセキュリティ確保のページ⁠を見ます。専任の担当がいない中小企業を想定した手引き（チェックリスト）⁠の第3版（2022年5月）⁠があります。テレワークセキュリティガイドライン第5版（2021年5月）⁠は⁠、クラウドへ直接つなぐ形では、オフィスの機器による対策が使えないため、クラウドプロキシやCASBの検討が必要だと書いています。

自社でIaaSの運用を組むなら、設定ガイドラインが利用側の資料として挙げる、内閣サイバーセキュリティセンターの「クラウドを利用したシステム運用に関するガイダンス（詳細版）⁠」（2021年11月）⁠も候補です。

取引先からセキュリティの状況を聞かれるなら、IPAの第4.0版が、経産省と国家サイバー統括室が検討を進めるサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）⁠の基本的な考え方に沿っています。発注元の要請に応えるときも、まず第4.0版と付録7から整えると話がつながります。

読んだあと、製品は必要？

ガイドラインを読むと製品の名前が出てきますが、すぐ買う話ではありません。ガイドブックは設定ミスを減らすツールとして、CASB、CSPM、SSPMの3つ⁠を挙げています。3つ⁠は見る対象が違います。

• 社員が使うクラウドが把握できない：CASBの製品比較
• SaaSの設定を継続して確かめたい：SSPMの製品比較
• IaaSの設定を確かめたい：CNAPPの製品比較

設定を見る2種類の分け方はCSPMとSSPMの違いで、拠点の回線まで含めるかはCASBとSASEの違い⁠で整理しています。

順番を逆にすると、担当者と確認の手順がないまま警告だけが増えます。チェックシートと、設定をする人、確かめる人を決めてから、足りない部分に製品を当ててください。読む資料は1冊目と2冊目で止めて構いません。止まったところが、今の自社に要る範囲です。

半年に一度、何を見直す？

チェックシートは一度埋めて終わりにせず、サービスの追加や契約の更新に合わせて見直します。ガイドブックも、運用開始後もクラウド関連の業務を担当する体制が必要だとし、サービス内容の変更や新規導入で環境が日々変わることを理由に挙げています。

見直す間隔は決まりがないので、私たちの案として半年に一度とします。見る項目は多くありません。

1. 使っているクラウドの一覧に増減はあるか
2. 退職者と異動者のアカウントが残っていないか
3. 社外との共有が、今も必要なものだけか
4. 大事なデータのバックアップを戻せるか
5. 事業者の規約や機能に変更はないか

IPAの資料は、第4.0版のあとも更新が続いています。更新履歴では、2026年9月30日にも解説編が公開されました。見直しのときに、版が変わっていないかも確かめてください。