クラウドの利用を考える企業にとって、自社データに関するセキュリティや顧客の個人情報保護は必須の検討事項だ。海外にあるデータセンターへ、機密データを置くことをためらう企業は多い。プライバシー保護戦略責任者のピーター・カレン氏は、「セキュリティとプライバシー保護は“永久”に続く取り組み。クラウドでも当社の基本姿勢は変わらない」と強調する。
クラウドコンピューティングに注目が集まる中、個人情報保護やデータセキュリティに対する懸念も高まっている。マイクロソフトのクラウド戦略における、個人情報保護やセキュリティの方針は？
マイクロソフトは企業とコンシューマにサービスを提供している。プライバシー保護の仕組みを整備して実践する義務、顧客の情報を最高のレベルで保護する義務を負っている。
まず基本は、プライバシー保護やデータセキュリティに対する当社のポリシー（方針）を明示することだ。「Windows Live」など一般消費者向けのサービスでは、どういった情報を集めていて、何に使っていて、どれくらいの期間保存していて、どういった状況の時に匿名化しているか、といったことをすべて明確に示している。とても透明な状況で、プライバシー保護の考え方や仕組みを製品やサービスに組み込んでいる。
Windows AzureやBusiness Productivity Online Service（BPOS）では、当社が情報やサービスのアウトソーサーとなるので、データに対する権限は限られてくる。例えばBPOSでは、顧客のデータは顧客自身が指定する目的以外には使わない。
共通点は、最初のデザイン、構築、展開の時点でポリシーを守っていくこと。プライバシー保護の技術を基盤の時点から作り込むのは同じだが、顧客や期待される保護レベルが異なるので、ポリシーが異なる。
Windows Azureにはどんなデータ保護の仕組みを実装しているのか？
Windows 7にセキュリティを組み込むのと同じように、Azureにも設計段階からセキュリティを組み込んでいる。セキュリティの脅威をモデル化して、それをエンジニアに説明して、デザインの段階から脅威に対抗する技術を組み込んでいく。データ暗号化やウイルス対策はもちろん、クラウドの場合にはデータセンターの物理的なセキュリティも必要になる。これらについて一定の要件を満たさなければ、製品としてリリースできない仕組みにしている。
こうしたセキュリティやプライバシー保護を重視した開発方針は、2002年に開始した全社活動「Trustworthy Computing（TWC、信頼できるコンピューティング）」の一環だ。同活動では製品開発にセキュリティを組み込むことをうたっている。
具体的な変化の一つが、当社における製品開発のエンジニアに対して、より細かい具体的なガイダンスを提供するようになったことだ。例えばエンジニアに対して、「顧客の情報を集める上ではプライバシーに配慮せよ」といった原則を提供するだけでは、エンジニアの言語ではないので適切に伝わらない。もっと細かい要件へと、原則を具体化するようにしている。
加えて、当社以外のITプロフェッショナルとか開発者が、当社の開発スタイルを共有できるようにもした。「セキュリティ開発ライフサイクル」と呼ぶ文書を公開している。
TWCの取り組みは「エンド・ツー・エンド」に拡大するしなければならない。つまりハードウエアとソフトウエア、アプリケーション、ユーザー、すべてのレベルでセキュアにしていくということだ。このコンセプトは2年前に発表した。
改善するべき具体例の一つが、アイデンティティマネジメント。例えばユーザーがサインインするプロセスの改善だ。
プライバシー保護ポリシーを明文化していると述べたが、ここにも改善するべき点はある。例えばポリシーを記した長い文章を読むのは、一般消費者にとっては大変なことだ。できるだけシンプルにすることにも取り組んでいる。例えば要点だけは一画面で閲覧できるようにして、別の画面で詳細な内容を見られるようにする、といったものがそうだ。
重要なのはプライバシー保護と消費者の利便性のバランスを取ることである。プライバシー保護は重要だが、消費者に負担をかけすぎないようにもする必要がある。
TWCがスタートしたとき、「どれくらい時間がかかるのか」とよく質問を受けたが、答えは「ほぼ永久に」というものだった。攻撃のレベルが変わってくるからで、継続的な投資が不可欠だ。
例えばクラウドに移行することで、セキュリティのレベルが高くなるという考え方もあり得る。攻撃される要素が、各々のパソコンや社内のシステムではなく、データセンターに限定されるからだ。反対に、より大きな脅威の要素になりうるとも言える。
セキュリティとプライバシーの両面で脅威がどんどん変化しているわけで、投資もずっと続けなければならない。TWCは永久に続く取り組みだ。
