クラウドサービス利用契約で安全管理条項が重要な理由
生成AI、オンラインストレージ、顧客管理システム、勤怠管理、会計ソフトなど、企業がクラウドサービスを利用する機会は急速に増えています。
クラウドサービスは、自社でサーバーを用意する必要がなく、導入や運用の負担を抑えられる点が大きな利点です。その一方で、重要なデータを外部事業者に預けるため、情報漏えい、サービス停止、データ消失、国外移転などのリスクを完全に避けることはできません。
そのため、クラウドサービスの選定では、機能や料金だけでなく、利用契約にどのような安全管理条項が定められているかを確認する必要があります。
特に重要なのは、事故が起きないことを前提にするのではなく、事故や障害が起きた場合に「誰が、何を、どこまで対応するのか」を契約上明確にすることです。クラウド契約では、利用企業とサービス提供事業者がそれぞれ責任を持つ「責任共有モデル」を前提にした管理が求められます。
クラウドサービス契約における責任共有モデルとは
クラウドサービスでは、すべてのセキュリティ対策を事業者側に任せられるわけではありません。
一般的には、サービス提供事業者がクラウド基盤、ネットワーク、データセンターなどを管理し、利用企業はアカウント、アクセス権限、保存するデータ、端末などを管理します。
例えば、クラウド事業者が高度なセキュリティ対策を実施していても、利用企業が退職者のアカウントを削除していなかったり、簡単なパスワードを使っていたりすれば、不正アクセスが発生する可能性があります。
逆に、利用企業が適切にアカウントを管理していても、サービス提供事業者のシステム障害や脆弱性によってサービスが停止する場合もあります。
クラウド契約では、こうした責任の境界を曖昧にせず、次のような事項を確認することが重要です。
- サービス提供事業者が管理する範囲
- 利用企業が管理する範囲
- 障害や事故が起きた場合の連絡方法
- データ消失時の復旧範囲
- 再委託先や国外拠点の管理方法
- 契約終了後のデータの取扱い
責任分担を契約書や利用規約に明記しておくことで、事故発生時の対応の遅れや、事業者間の責任の押し付け合いを防ぎやすくなります。
個人情報を扱うクラウド契約で確認すべき事項
クラウドサービス上で顧客情報、従業員情報、購買履歴、問い合わせ履歴などを取り扱う場合、個人情報保護の観点から契約内容を確認する必要があります。
クラウド事業者への情報の保存が、法律上の「委託」に該当する場合、利用企業には委託先を適切に監督する責任があります。
委託先の選定基準を明確にする
個人情報を預けるクラウド事業者を選定する際は、単に知名度や価格だけで判断するのではなく、安全管理体制を確認します。
確認項目としては、次のようなものがあります。
- 情報セキュリティに関する社内規程
- 従業員への教育体制
- アクセス権限の管理方法
- 通信や保存データの暗号化
- セキュリティ事故の対応体制
- データセンターの管理状況
- 第三者認証の取得状況
ISO/IEC 27001やSOC報告書などは、事業者の管理体制を確認する参考資料になります。ただし、認証を取得していることだけで安全性が保証されるわけではありません。
認証の対象範囲や、実際に利用するサービスが認証範囲に含まれているかも確認する必要があります。
再委託先の管理方法を確認する
多くのクラウドサービスでは、サービス提供事業者がデータセンター、保守、監視、問い合わせ対応などを別の会社に委託しています。
契約では、再委託が行われる可能性だけでなく、次の点を確認します。
- 再委託先の選定基準
- 再委託先に課される安全管理義務
- 再委託先で事故が起きた場合の責任
- 再委託先の名称や所在地の開示方法
- 再委託先が変更された場合の通知方法
サービス提供事業者が自由に再委託先を変更できる契約では、利用企業が知らないうちにデータの保存場所や管理者が変わる可能性があります。
重要な情報を扱う場合は、再委託先の変更通知や、重大な変更に対する異議申立ての仕組みがあるかを確認するとよいでしょう。
国外へのデータ移転と保存場所を確認する
クラウドサービスでは、日本国内で契約していても、データが海外のサーバーに保存されたり、海外拠点から運用担当者がアクセスしたりする場合があります。
そのため、次の事項を確認します。
- データを保存する国や地域
- 国外からアクセスされる可能性
- 国外移転に関する説明や同意
- 現地法令による政府機関からの情報開示要求
- 利用企業が保存地域を選択できるか
データの保存場所は、単なる技術仕様ではありません。個人情報保護、機密情報管理、取引先との契約条件にも関係します。
クラウドサービスを導入する前に、自社のデータ分類と照らし合わせて、国外保存が許容できる情報かどうかを判断する必要があります。
SLAで確認すべきクラウドサービスの品質条件
SLAとは、サービスレベル合意のことです。クラウドサービスの稼働率、性能、サポート、障害対応などについて、事業者が提供する水準を定めます。
SLAはサービス品質を判断する重要な資料ですが、数値だけを見て契約してはいけません。
可用性と稼働率
多くのクラウドサービスでは、「月間稼働率99.9％」などの基準が示されています。
しかし、稼働率の計算方法はサービスによって異なります。
次の点を確認する必要があります。
- 稼働率の算定期間
- 計画停止が停止時間に含まれるか
- 一部機能の停止が障害に含まれるか
- 利用企業側の通信障害が除外されるか
- 稼働率を下回った場合の補償内容
稼働率が高くても、障害発生時の復旧時間や連絡方法が不明確であれば、業務への影響を抑えられない場合があります。
信頼性とバックアップ
クラウドサービスの契約では、バックアップが行われているかだけでなく、どこまで復旧できるかを確認します。
重要なのは、次の2つの指標です。
- RPO：どの時点までデータを復旧できるか
- RTO：どの程度の時間でサービスを復旧できるか
例えば、毎日1回しかバックアップされていない場合、障害発生のタイミングによっては、最大で1日分のデータが失われる可能性があります。
また、バックアップが存在していても、利用企業の操作ミスによる削除が復旧対象外となっているサービスもあります。
「バックアップあり」という表現だけで判断せず、復旧条件、保存期間、復旧費用まで確認することが重要です。
性能と拡張性
クラウドサービスでは、利用者数やデータ量が増えた場合に、動作が遅くなることがあります。
契約や仕様書では、次の項目を確認します。
- 同時接続数
- データ保存容量
- APIの利用回数制限
- 通信量の上限
- 処理速度に関する基準
- 容量超過時の追加料金
特に生成AIやデータ分析サービスでは、APIの呼び出し回数や処理量に制限が設けられていることがあります。
業務拡大後に追加費用が急増しないよう、現在の利用量だけでなく、将来の利用量も想定して契約条件を確認する必要があります。
サポート体制
障害や不具合が発生した際に、どのようなサポートを受けられるかも重要です。
確認すべき項目は次のとおりです。
- 問い合わせ受付時間
- 電話、メール、チャットなどの連絡手段
- 初回回答までの時間
- 重大障害の対応時間
- 日本語サポートの有無
- 有料サポートと無料サポートの違い
24時間稼働する業務で利用する場合、平日の営業時間内だけのサポートでは十分でない可能性があります。
自社の業務時間やサービスの重要度に応じて、必要なサポートレベルを判断します。
データ管理条項で確認すべきライフサイクル
クラウド契約において、最も重要な確認事項の一つがデータの取扱いです。
データを預ける時点だけでなく、契約開始から終了後までのライフサイクル全体を確認する必要があります。
データの所有権と利用目的
契約では、クラウド上に保存したデータの権利が誰に帰属するのかを確認します。
原則として、利用企業が登録した業務データは利用企業に帰属する形が望ましいと考えられます。
一方で、サービス改善やAI学習などを目的として、事業者が利用データを使用できる規定が設けられている場合があります。
特に生成AIサービスでは、入力した文章やファイルがモデルの学習に使われるかどうかを確認する必要があります。
利用目的が広く定められている場合は、機密情報や個人情報を入力しないなど、社内ルールによる制限も必要です。
データの暗号化
クラウドサービスでは、通信中のデータと保存中のデータの両方について暗号化を確認します。
- 通信経路が暗号化されているか
- 保存データが暗号化されているか
- 暗号鍵を誰が管理するか
- バックアップデータも暗号化されているか
機密性の高い情報を扱う場合は、事業者が暗号鍵を管理する方式だけでなく、利用企業側で鍵を管理できるかも選定基準になります。
契約終了時のデータ返却と削除
クラウドサービスを解約するときに、データを簡単に取り出せないケースがあります。
契約前に、次の内容を確認します。
- データを出力できる形式
- データ出力にかかる費用
- 解約後のデータ保存期間
- データ削除の実施時期
- バックアップからの削除方法
- 削除証明書を発行できるか
データを独自形式でしか出力できない場合、別サービスへの移行が難しくなります。
特定の事業者から離れにくくなるベンダーロックインを防ぐためにも、一般的な形式でデータを取得できるかを確認することが重要です。
セキュリティ事故発生時の通知条項
情報漏えいや不正アクセスが発生した場合、利用企業は顧客、取引先、関係機関などへの対応を求められる可能性があります。
そのため、クラウド事業者から迅速に情報提供を受けられる契約になっているかを確認します。
事故通知条項には、次の内容を定める必要があります。
- 通知対象となる事故の範囲
- 通知までの時間
- 通知方法
- 原因調査への協力
- 影響範囲の報告
- 再発防止策の提出
- 証拠やログの保存
「速やかに通知する」という表現だけでは、具体的な対応時期が分かりません。
重要なサービスでは、「事実を把握してから何時間以内」など、可能な範囲で通知期限を具体化することが望まれます。
第三者認証やSOC報告書をどう活用するか
クラウドサービスの安全管理体制を確認する方法として、ISO/IEC 27001、SOC 1、SOC 2などの第三者認証や監査報告書があります。
SOC 1は、主に財務報告に関係する内部統制を対象とします。
SOC 2は、セキュリティ、可用性、処理の完全性、機密保持、プライバシーなどの管理状況を評価します。
クラウドサービスの安全性を確認する場合は、SOC 2が参考になることがあります。
ただし、SOC報告書は専門的な内容を含むため、取得して終わりではなく、次の点を確認する必要があります。
- 対象サービス
- 対象期間
- 監査範囲
- 指摘事項
- 利用企業側に求められる統制
- 外部委託先の扱い
報告書に記載された管理策が、自社の利用方法や情報の重要度に適合しているかを判断することが大切です。
社内セキュリティ規程とクラウド契約を一致させる
クラウドサービスを安全に利用するには、契約書だけでなく、社内規程との整合性を確保する必要があります。
例えば、社内規程で多要素認証を必須としていても、導入するクラウドサービスが多要素認証に対応していなければ、規程どおりの運用はできません。
反対に、契約上は高度な機能が用意されていても、社内で設定や運用が行われていなければ、十分な効果を得られません。
クラウド導入時には、情報の重要度に応じて次のような運用基準を設けるとよいでしょう。
公開情報を扱うサービス
公開済みの情報だけを扱う場合は、基本的なアクセス管理とログ管理を中心に確認します。
社内限定情報を扱うサービス
社内資料や業務情報を扱う場合は、多要素認証、アクセス権限、ログ保存、バックアップなどを確認します。
機密情報や個人情報を扱うサービス
顧客情報、技術情報、未公開情報などを扱う場合は、暗号化、国外移転、再委託、事故通知、監査権限、データ削除まで詳細に確認する必要があります。
すべてのクラウドサービスに同じ基準を適用するのではなく、データの重要度と業務への影響に応じて管理水準を変えることが現実的です。
クラウドサービス利用契約の実務チェックリスト
クラウドサービスの導入前には、最低限、次の項目を確認します。
契約と責任分担
- 事業者と利用企業の責任範囲が明確か
- 規約を事業者が一方的に変更できる条件は何か
- 損害賠償の上限が適切か
- 免責事項が広すぎないか
データ管理
- データの所有権は利用企業にあるか
- データがAI学習や広告に利用されないか
- 保存場所や国外移転の有無が明確か
- 契約終了後にデータを取得できるか
- データ削除の方法が定められているか
セキュリティ
- 多要素認証に対応しているか
- 通信と保存データが暗号化されているか
- アクセスログを取得できるか
- 第三者認証や監査報告書があるか
- 脆弱性への対応方針が示されているか
障害と事故対応
- SLAに稼働率が定められているか
- 障害時の連絡方法が明確か
- 情報漏えい時の通知期限が定められているか
- バックアップと復旧条件が明確か
- 原因調査や再発防止への協力義務があるか
再委託とサプライチェーン
- 再委託の範囲が明確か
- 再委託先に同等の安全管理義務が課されるか
- 再委託先変更時の通知があるか
- 国外の再委託先を把握できるか
中小企業がクラウド契約を安全に進める方法
中小企業では、法務やセキュリティの専門担当者を置くことが難しく、すべての契約条項を詳細に交渉できない場合があります。
その場合でも、少なくとも次の3段階で確認すると、重大な見落としを減らせます。
1．サービス上で扱う情報を分類する
公開情報、社内情報、個人情報、機密情報などに分け、事故が起きた場合の影響を考えます。
2．情報の重要度に応じて契約やSLAを確認する
重要度に応じて、契約、SLA、セキュリティ資料を確認します。重要な情報を扱うサービスほど、詳細な確認が必要です。
3．契約で補えない部分を社内運用で補う
入力禁止情報、アカウント発行、退職者の権限削除、定期的なアクセス権限の見直しなどを社内ルールとして定めます。
契約書だけで安全を確保しようとするのではなく、契約、技術、社内運用を組み合わせることが重要です。
まとめ
クラウドサービスの安全性は、サービス提供事業者の技術力だけで決まるものではありません。
利用企業が、どのデータを預け、誰にアクセスを許可し、障害や事故にどう対応するかまで含めて設計する必要があります。
クラウドサービス利用契約で特に確認すべきなのは、責任分担、SLA、データの所有権、バックアップ、再委託、国外移転、事故通知、契約終了時のデータ返却と削除です。
また、契約内容と社内セキュリティ規程が一致していなければ、実際の運用で安全管理が形骸化する可能性があります。
クラウド導入を単なるITサービスの購入として扱うのではなく、データ管理と事業継続を含む経営上の判断として進めることが大切です。
コメント