ジェネラル
FinOpsとは?予算超過を防ぐ実践フレームワークの進め方
DX推進に伴いクラウド利用が拡大する中、想定外の請求額に頭を抱える「クラウド破産」のリスクが高まっています。単なる節約ではなく、投資対効果を最大化する経営戦略として注目されるのが「FinOps(フィンオプス)」です。
本記事では、FinOpsの基礎知識や実践フレームワークを解説するとともに、FinOpsの天敵である「予測不能な変動コスト(データの下り転送料金など)」を排除し、コスト最適化を実現する方法について提案します。
FinOps(フィンオプス)とは?言葉の意味と定義
まずは、FinOpsという言葉が持つ本来の意味と、よくある誤解について整理しましょう。
定義と語源
FinOpsとは、「Finance(財務)」と「DevOps(開発・運用)」を組み合わせた造語です。これは特定のツールやシステムを指すものではありません。クラウドの財務管理に対し、IT(エンジニア)、財務、ビジネスの各部門が垣根を超えて協力し、データに基づいた意思決定を行うための「規律」もしくは「文化的慣行」のことです。
従来、クラウドコストは財務部門が管理するもの、あるいはIT部門が技術的に処理するものとして分断されがちでした。FinOpsは、全員がコストに対する説明責任を持ち、組織全体で最適化に取り組む体制を目指します。
コスト削減との違い
FinOpsについて最も多い誤解は、「クラウド費用を安くすること(コスト削減)が目的」というものです。もちろん結果として無駄は削減されますが、FinOpsの本質は「クラウド支出から最大のビジネス価値を引き出すこと」にあります。
例えば、ビジネスの成長スピードを加速させるためにあえてコストを増やす判断が必要な場面もあります。単に予算を削ってイノベーションを阻害するのではなく、効率的な投資を行い、事業収益(リターン)を最大化する「攻めのコスト管理」こそがFinOpsの真髄です。
なぜ今、FinOpsが求められているのか
なぜ今、多くの企業がFinOpsに注目し、導入を急いでいるのでしょうか。その背景には、クラウド特有の事情と組織的な課題があります。
クラウド支出の増大
総務省の「令和6年 通信利用動向調査報告書(企業編)」によると、クラウドサービスを利用する国内企業は全体の80.4%に上ります。これに伴い、クラウド関連のインフラ支出は、多くの企業にとって負担となりつつあるのが実情です。
こうした状況を放置すれば企業の利益が圧迫され、経営課題にも直結しかねないため、早急な対策が求められているのです。
ITと財務のサイロ化(分断)
従来の組織構造では、IT部門と財務部門の間に溝がありました。エンジニアは「開発スピードと品質」を最優先KPIとし、財務部門は「予算遵守とコスト削減」を重視するため、両者の利害はしばしば対立します。
しかし、従量課金制のクラウドでは、エンジニアがコードを書き、リソースを起動したその瞬間にコストが発生します。従来の予算管理だけではこのスピードに対応できないため、部門横断的な連携が不可欠です。
FinOps実践のための3つのフェーズ
FinOpsを組織に導入し、定着させるためには、The FinOps Foundationが提唱する3つのフェーズを反復することが有効です。
フェーズ1:Inform(可視化)
フェーズ2:Optimize(最適化)
フェーズ3:Operate(運用)
フェーズ1:Inform(可視化)
最初のステップは現状把握です。「誰が、何に、いくら使っているか」をリアルタイムで可視化します。
クラウドの請求書は複雑で、そのままではどのプロジェクトがコストを消費しているか判別しにくい場合があります。そこで、リソースにタグ付けを行い、コストを各部門やプロジェクトに正確に配賦(アロケーション)します。これにより、各チームに「自分たちの使ったコスト」としての当事者意識が芽生え、自律的な管理への土台が築かれます。
フェーズ2:Optimize(最適化)
可視化されたデータに基づき、無駄を省いて効率を高めるフェーズです。具体的には以下のようなアクションが含まれます。
使用されていないリソースの削除や、開発環境の夜間停止などを行う
過剰なスペックのインスタンスを、適切なサイズに変更する
リザーブドインスタンス(RI)や、コミットメントベースの割引(確約利用割引)などを活用する
フェーズ3:Operate(運用)
最適化を一過性のイベントで終わらせず、継続的なプロセスとして定着させるフェーズです。予算超過を検知するアラート設定や、ポリシー違反のリソース作成を制限するガードレールの設置など、自動化ツールを活用してガバナンスを効かせます。
加えて、定期的なレビュー会議を開催し、ビジネス目標とクラウド活用が整合しているかを常に評価し続ける体制も作ります。
FinOpsを阻む「予測不能なコスト」の正体
FinOpsのフレームワークは強力ですが、実践する中で多くのCTOが突き当たる壁があります。それは、どれだけ管理しても排除しきれない「予測不能なコスト」の存在です。
どれだけ最適化しても残る「変動費」のリスク
フェーズ2(最適化)でインスタンスを予約購入し、ベースとなるコンピューティング料金を固定費化したとします。しかし、クラウドコストには完全な固定化が困難な「従量課金要素」が残ります。
その代表格が、データ転送料(Egress料金)やAPIリクエスト料金です。これらはサービスのアクセス数やユーザーの利用状況に比例して発生するため、事前に正確に見積もることが非常に困難です。キャンペーンでアクセスが急増した月や、バックアップからのリストアが必要になった際に、これらの料金が青天井で膨れ上がり、予算を崩壊させることがあります。
予実管理を難しくする「見えないコスト」
FinOpsの核心の一つは、将来の支出を予測(Forecast)し、計画的な投資を行うことにあります。しかし、複雑な課金体系に起因する予測不能な追加コストは、正確な予算策定を妨げます。
「見えないコスト」への不安があると、財務部門はバッファを多く積まざるを得ず、攻めの投資判断が鈍ります。また、毎月のように発生する「想定外の請求」の原因究明に追われ、FinOpsサイクルの「Inform(可視化)」と「Optimize(最適化)」の精度と信頼性が著しく低下してしまいます。
変動コストを排除し、FinOpsを成功させるインフラ選定
Wasabi Hot Cloud Storageのように「下り転送料金やAPIリクエスト料金がかからないサービス」を採用して、ストレージコストを固定化することは、FinOpsを成功させるうえで有効な戦略のひとつです。
複雑な変動要素を排除すれば、コスト構造がシンプルになり、可視化や将来予測(Forecasting)が容易になります。その結果、IT部門と財務部門は「想定外の請求」について議論する時間を減らし、どこに投資すべきか、どの施策が事業価値を生むかといった本質的なテーマに集中しやすくなります。
まとめ
FinOpsは単なるコスト削減ではなく、ITと財務が連携し、クラウド費用を「攻めの投資」に変えるための重要な仕組みです。その成功の鍵は、継続的な改善と、計画を狂わせる「予測不能なコスト」の排除にあります。
管理工数をかけずに予実精度を高めるには、インフラ選定の段階で変動要素を取り除くことが最も賢明な近道です。予測可能なコスト構造を持つWasabiは、持続可能なFinOpsを実現し、企業のビジネス成長を支える強力な基盤となるでしょう。
Wasabi Hot Cloud Storage
予算超過を防ぐためのコスト設計
FinOpsを実践するうえで重要なのは、可視化や最適化だけでなく、予測不能な変動コストをいかに減らすかということです。
Wasabiの料金体系は、下り転送料金やAPIリクエスト料金を気にすることなく利用でき、ストレージコストの予測精度向上と予実管理を支援します。
AIや自動化ワークフローがビジネスにもたらすメリットを求めて競い合う「AIのゴールドラッシュ」の時代が到来しています。テクノロジーからできるだけ多くの価値を得るべく、企業はGPU、高価なモデルライセンス、派手なツールに多額の資金を投じています。しかし、コンピューティングに重点を置くあまり、多くの企業がAI競争に潜む隠れたコストを見落としています。AIモデルは、学習や推論を実行する段階で大量の非構造化データを必要とします。クラウドはこうしたデータの保存に適していますが、データの移動や管理によって想定外に高額なクラウド料金が発生する場合があります。AIは未来そのものであり、企業はデータにアクセスして処理し、重要な洞察と価値を引き出せるようになる必要があります。組織内でAIの目標を達成するには、AI向けクラウドコストの最適化が必須です。データ量の多いAIワークロードでは、ストレージに費用を支払いすぎている可能性が高いAIはデータを大量消費することで知られています。現在広く使われているLLMは、公開されているインターネットから情報を収集し、それを抽出・凝縮する学習を通して、質問に答えたり推論を行ったりするAIモデルです。組織がAIパイプラインを開発する際、生成AI、マルチモーダルなワークフロー、RAGアーキテクチャは、真の価値を提供するために膨大な量のデータにアクセスする必要があります。さらに悪いことに、このデータの大半を非構造化データが占めています。外部データと組織内の知見や知的財産が組み合わさることで、競争優位を生み出されます。このデータへのアクセスは、AIライフサイクルのあらゆる段階で欠かせない要素です。AIモデルは大量のデータを取り込み、それを学習してモデルの重みに圧縮します。AIシステムの日常的な使用中にモデルのバージョン管理や推論を実行するためにも、モデルの重みやデータソースへのアクセスを必ず行う必要があります。多くの場合、企業のAI予算はコンピューティングを重視し、学習や推論を高速かつ十分な容量で実行できることを条件としています。しかし、大規模なデータセットへ一貫した高性能なアクセスが求められることで、AIのコストが劇的に増加し、予算が枯渇する可能性があります。見落とされがちな隠れたコストAIワークロードのなかでも分かりやすいコストとしては、GPUへの投資、モデルのライセンス、ツール、AIデータセットの基本ストレージコストなどが挙げられます。しかし、AIソリューションのデータ保存と管理に関連する隠れた料金については、多くの企業が気づいていません。ここでは、その主な要因を詳しく掘り下げます。頻繁なデータ移動マルチクラウド環境では、用途ごとに最適なソリューションを選択するため、ストレージとコンピューティングが同じ場所に配置されないことがよくあります。その結果、データレイク、アーカイブ、GPUクラスター間でデータが移動するたびに高額な下り転送料が発生する場合があります。下り転送料とAPI料金AIシステムは、特に学習や推論を実行する際にデータを必要とします。下り転送やAPIリクエストに課金するストレージプロバイダーを利用していた場合、これらの料金は急速に積み重なり、予期せぬ大きな負担となります。過剰なストレージ使用AIデータは非構造化されていることが多く、組織が保有するデータの内容と保存場所を把握しづらい状態にあります。その結果、データの重複コピーが生まれ、不要なストレージ使用と料金が発生します。非効率的なメタデータ構造化データと効率的なメタデータが不足していると、クラウドストレージ内で必要なデータを探しにくくなります。その結果、AIシステムは全量スキャンや過剰なデータ取得を強いられ、追加のアクセス料金が発生するとともに、AIワークフロー全体の効率が低下します。こういった隠れコストの多くは、AI対応ワークフローのコア機能に直結しているものの、予測や管理が難しい傾向にあります。そのため、気づかないうちにAI予算が圧迫され、支出超過に陥ったり、AI戦略のなかで別の要素を削減をせざるを得なくなったりする可能性があります。AIストレージを再考する:シンプル、予測可能、パフォーマンス重視AIの隠れコストを管理するには、コンピューティングと同じレベルの戦略的な考え方をデータストレージ設計にも適用する必要があります。AIストレージのコストを管理するためのベストプラクティスには、以下のようなものがあります。シンプルかつホットなストレージ:AIシステムを利用する際、どのようなデータにどのくらいの頻度でアクセスする必要があるかを正確に予測するのは困難です。高性能で常に利用可能なホットストレージにAIデータを置くことで、予期しないアクセスパターンによる潜在的な取得遅延や、予想外のコスト増加を回避できます。定額課金:データへのアクセスやストレージ環境およびコンピューティング環境間のデータ移動に料金が発生し、API料や下り転送料がAIコスト超過の主な要因となる場合があります。定額課金モデルのクラウドストレージを利用すれば、予測可能性が高まり、知らないうちにクラウドコストが上がってしまう状態を防げます。不変のストレージ:AIモデルは、入力データ・重み・来歴情報・監査記録などの高価値データに依存していますが、これらはランサムウェアの格好の標的になります。イミュータブルストレージを利用することで、悪意ある変更のリスクを排除し、データを保護します。メタデータのインデックス作成と検索性:AIデータの大部分は非構造化データであるため、学習や推論に必要な情報を見つけるのが困難な場合があります。インテリジェントなメタデータインデックス化を行うことで、必要なデータを迅速に特定し、重複アクセスやデータ探索に伴うコストを削減します。多くの企業はクラウドコストが正確に予測できておらず、AIストレージのコストが超過しています。ストレージ設計を賢く実装すると、隠れた料金を回避できるだけでなく、より効率的なデータアクセスによってAIワークロードの運用効率を高めることもできます。よりスマートなAIストレージが収益にもたらす影響コスト効率の高いAIストレージを知的かつ意図的に設計することで、AI投資のビジネス効果を最大化することができます。AIストレージに重点を置く実務的なメリットとして、以下のような点が挙げられます。キャッシュフローの明確化API使用料やデータ下り転送料などの隠れた予測不可能な料金によってAIコストが圧迫されることは珍しくありません。AIシステムは、多数の小さなデータに対して頻繁にアクセスします。最適化されたAIデータストレージにより、企業はAIストレージへの支出をより正確に予測できるようになります。 運用効率構造化・インデックス化されていないデータは、データの検出を遅らせ、重複アクセスを引き起こします。データの保存場所が曖昧な場合、すべてのデータをダウンロードしてシステム内を検索する必要がありますが、この方法では時間もアクセス料金も発生します。メタデータをインデックス化することで、AIツールで必要なデータをより迅速に特定することができるようになり、反復処理が高速化し、エンジニアの生産性が向上します。戦略的なレジリエンスイミュータブルかつインデックス化されたストレージは、不正な変更からデータを守り、データアクセスを簡素化します。これがなければ、ランサムウェアへの脆弱性が高まり、規制遵守、監査、AIモデルの再トレーニングに必要なデータを見つけられない恐れがあります。まとめAI導入は競争となっており、明確な勝者と敗者が存在します。一部の企業は、GPUをアップグレードしてコンピューティングに投資することで「ゴールドラッシュ」の波に乗り、より高速なデータ処理を活用して優位性を獲得しています。一方、ストレージ戦略が原因で気づかないうちにアクセスやデータ取得料金が超過し、足を引っ張られる企業もあります。AI戦略を設計またはレビューする際には、データの移動、料金体系、メタデータ設計などのストレージワークフローを確認し、潜在的な非効率性や隠れたコストを見つけることが重要です。その際、ストレージ層がビジネスに価値をもたらしているか、AI戦略の他の要素からリソースを奪っていないかを確認する必要もあります。...
コンテンツ所持者にとって明白なことは、保有するデータに価値があるということです。スポーツチーム・映画スタジオ・制作会社は、自らのコンテンツ以外で商売をすることはほぼありません。しかし彼らは、コンテンツそのものと同じくらい保存場所が重要であるということに気づいていない可能性があります。現代のコンテンツは、消費者・作成者双方からの高いアクセス性が求められています。こういった需要に対して、ストレージコストとデータへのアクセス性のバランスに秀でているのがクラウドオブジェクトストレージです。クラウドオブジェクトストレージでは、コンテンツをコスト効率よく大規模に保存し、必要なときに必要な場所から迅速にアクセスできます。これによって、多様なユースケースとテクノロジーにアクセスしながらメディアワークフローを改善し、コンテンツから新たな収益機会を生み出すことが可能になります。クラウドストレージが大規模に成長を続けるメディアエコシステムへの架け橋になる一方で、LTOには限界があると言わざるを得ません。LTOは一般的に、保護が必要だがアクセスする可能性のないアーカイブコンテンツを低コストで保存する目的で使われています。LTOが発売された当初は、長期保存用としては最高級の品質を誇っていました。しかし、新たに発表されたLTO10は、2世代以上前のフォーマットをサポートしていません。さらに現段階では、LTO10ドライブの下位互換性については一切言及されていません。そのため、現代のニーズに見合わないLTOについて再考し、クラウドへのデータ移行という新たな方向性を定めるべき時が来ています。移行を開始するコンテンツ所有者は、テープストレージが安価で、信頼性が高く、標準的であるというメリットを認識しています。しかし、速度が遅く、扱いにくく、時代にそぐわないというデメリットもおそらく把握していることでしょう。テープストレージの優れた点は、二度と見ない可能性のある映像を長期間保管できることですが、問題はそこにあります。テープストレージに保管されているコンテンツは、プライマリストレージに戻すまでほとんど何もできない状態になります。視聴者が閲覧することも、ストリーミングプラットフォームで検索されることも、パッケージが編集されることもありません。テープストレージがコンテンツの保存に適しているのは確かですが、コンテンツの寿命とは単にフィルムを保存することではなく、メディアエコシステム内で継続的な関連性を保つことにあります。LTOの課題は、慣性、つまり静止している物体が静止したままでいようとする性質にあります。すでにテープストレージへの投資を行っている場合、それを変更するのは困難です。映像をテープに保存することにはそれほどコストがかかりませんが、テープからクラウドストレージに移行するには時間と予算の両方がかかります。しかし、ニュートンの第一法則はこう言った状況にも解決策を与えてくれます。何事もやり始めは労力が必要かもしれませんが、データをテープストレージから移行させることで、流通の維持がはるかに容易になります。データの移行によって、ディスク上でもクラウド上でも、コンテンツがアクティブな状態で移動しやすくなり、価値を生み出すアプリケーションやメカニズムと自由に連携できるようになります。時代に沿った変化かつて主流だったテープストレージは、他のテクノロジーやエコシステムに置き換えられつつあります。このエコシステムによって、私たちの働き方やコンテンツ所有権をめぐるビジネスが改善されました。アーカイブコンテンツを扱う作業(カタログ作成、再配布、資料の編集など)は、もはやLTO形式では最適な対応ができなくなっています。コンテンツの世界では、必要なときに必要な場所で必要なものにアクセスできる環境が求められており、クラウドはこういった需要に最も適しています。データの表示、共有、検索はすべてオンラインで行われるため、コンテンツがそこになければ、作業を実行することができません。データの検索性コンテンツの量が多い組織では、図書館システムにおけるデューイ十進分類法と同じくらい検索性が重要です。しかし残念ながら、LTOの検索機能は極めて限られています。LTOの形式では、探しているものを見つけるために欠かせない詳細なメタデータがサポートされていません。一方、クラウドオブジェクトストレージは、詳細なメタデータをサポートする高度な検索オプションを備えています。そのため、編集者やその他の関係者は、コンテンツの名前や日付だけでなく、場所、カラープロファイル、カメラの種類、その他無数のパラメータで映像を検索することができます。AIと自動的なメタデータタグ付けの進歩によって、新たな方法でカタログ検索を行うことが可能になりました。コンテンツ別に検索できる機能(例:アルバート・プホルスの打席、シルバーのトヨタ車、山脈のある風景など)は、編集者やコンテンツ管理者にとって大きなパラダイムシフトとなっています。Googleがインターネットと利用者の関係を再定義したのと同じように、AIを活用した高度な検索機能は、コンテンツと私たちの関係を再定義することになるでしょう。収益化昨今、コンテンツを収益化する方法は豊富にあります。ストリーミングサービス、商用ライセンス、ソーシャルメディアなどは、コンテンツ所有者が既存のライブラリから使用料を徴収し、コンテンツを最新に保つ手段として扱われています。ここには分かりやすいメリットがありますが、真のセールスポイントは必要な労力が少なく済むという点です。収益化は、新しいコンテンツを得ずとも既存のライブラリをフィルタリング・変換・共有するだけで済みます。しかし、テープに記録されたままのコンテンツは、本来であれば実質的に活用できる素材をベンチに寝かせているようなものです。コンテンツを安価なLTOに保存することがコスト削減につながる場合もありますが、データが非アクティブな状態では組織に何の価値ももたらされません。コンテンツを保管するのであれば、その費用に見合った価値がある方が良いでしょう。クラウドへの移行は、ストレージコストを費用対効果の高い投資に変えることも含めて、継続的な収益性を実現するための重要な第一歩となります。大規模なアクセスLTOは信頼性とコスト効率に優れたストレージ形式ですが、他のストレージハードウェアと同様に、物理的な容量制限があります。保存および保持するコンテンツは際限なく増え続けるため、デバイス容量が限界に近づくたびにコストのかかるアップグレードを行う必要があります。LTOドライブは、圧縮データとネイティブフォーマット(RAWデータ)の容量が大きく異なる形で販売されることがよくあります。LTO10ドライブの場合、最大容量は圧縮データで90テラバイト、ネイティブデータはわずか36テラバイトです。メディアファイルは圧縮するには大きすぎるため、コンテンツ所有者はデータを非圧縮の状態で保存することを余儀なくされます。これは、利用可能なストレージ容量の167%に相当します。ドライブ自体と同じ場所にいるユーザーだけが保存されたコンテンツにアクセスでき、物理的なリニアストレージ形式からファイルを取り出すのに数分から数時間かかる状態では、使い勝手が大幅に低下します。こういった状況に対して、クラウドオブジェクトストレージは大規模なメディアに必要な無限の拡張性を提供します。これにより、新たなハードウェアを購入せずとも追加コンテンツを自由に取り込むことができるようになります。また、データの読み取りおよび書き込みが高速で行われるため、インターネットに接続されたあらゆるデバイスから大量のコンテンツにアクセスすることが可能になります。制作現場が世界中に広がり、映像編集のプロセスが分散化されるにつれて、こういったグローバルな展開の価値がますます高まっています。Wasabi Hot Cloud Storageでは、ハイパースケーラーでは高額になりがちな下り転送料やアクセス料が無料なうえ、コンテンツへの完全なアクセスが保証されており、リモートワーカーが制限なく創造活動を行える環境を実現しています。 (避けられない)移行もちろん、クラウドへの移行はそれほど簡単な作業ではありません。大規模なファイルのアップロードやインデックス作成には時間がかかるため、プロセス全体で貴重な帯域幅が消費される可能性があります。実際、移行の難しさは、LTOの長期ユーザーが現状のままでいる大きな要因になっています。しかし実際には、好むと好まざるとにかかわらず、LTOからの移行は必須になると思われます。現段階では、最新のLTO10フォーマットは旧バージョンとの下位互換性がありません。つまり、新しいLTO10はLTO9以下のドライブでは動作せず、新しいドライブが古いテープで再生できない状態になっています。新しいフォーマットにアップグレードするには、新しいドライブを用意し、既存のコンテンツをLTO10に完全に移行させる必要があります。いずれにせよ、古いLTO形式を使用している場合は移行せざるを得ないのです。ここでポイントとなるのは、これまでと同じようなテープライブラリに移行するのか、それとも無限の拡張性を備えたクラウドに移行するのかということです。全体的に見ると困難に思えるかもしれませんが、クラウドへの移行は段階的に進めるのが最適です。移行を迅速に進めたい場合は、役立つツールを使いましょう。たとえば、物理的なデータ転送アプライアンスにデータを入れることで、選択したクラウドプロバイダーに直接送信することができます。また、ファイル高速化サービスを利用すれば、パブリックインターネット経由の取り込みを大幅に高速化できます。結論従来、LTOはコンテンツを長期保存するうえでコスト効率の高い方法でした。しかし今は、データが最も貴重なリソースとなる新時代です。規模や形態を問わず、あらゆる組織では、古いコンテンツを利用し、アーカイブ映像の収益化、分析ツールによる新たなビジネスインサイトの獲得、AIモデルのトレーニングなどを行っています。LTOを利用していた場合、これらのいずれの目的にもデータを活用できないまま、ライブラリを新しい形式へアップグレードするだけの状態に陥ってしまいます。コンテンツの重要性や可能性を見誤らないでください。クラウドは、コンテンツにとって新たな可能性への入り口となります。コンテンツをクラウドベースのメディアライブラリに保存するのが早ければ早いほど、その分データの潜在能力を活用できるようになります。Wasabiの最新のホワイトペーパーでは、それを実現する方法について詳しくご説明しています。クラウドストレージの専門家による細やかな移行ガイドとベストプラクティスによって、テープからクラウドへのスムーズな移行を行うことができます。...
2023年に改訂された「サイバーセキュリティ経営ガイドライン Ver 3.0」。経営層への報告義務を負うCISOにとって、本改訂が強調する「サプライチェーン全体のリスク管理」や「復旧体制の整備」への対応は急務です。特にランサムウェア被害が拡大する今、従来のバックアップだけでは経営責任を果たせない可能性があります。本記事では、ガイドラインが求める要件に注目しながら、「不変性(Immutability)」を持つクラウドストレージを活用して、低コストかつ強固なセキュリティを実現する具体策を解説します。「サイバーセキュリティ経営ガイドライン Ver3.0」改定の背景経済産業省とIPAによって策定されたサイバーセキュリティ経営ガイドラインは、Ver 2.0から約5年ぶりの改訂となりました。この背景には、企業のデジタル環境への依存度の高まりや、攻撃手法の変化があります。デジタル依存とサプライチェーンリスクサイバーセキュリティ経営ガイドライン Ver 3.0(以下、ガイドライン)の冒頭では、改定の背景として、テレワークの普及に代表されるデジタル環境への依存度増大と、ランサムウェア被害の顕在化が挙げられています。特にランサムウェアによる被害は、単なる情報漏えいにとどまらず、事業活動そのものを停止させる事態へと発展しており、深刻な経営リスクとなっています。また、自社だけでなく、国内外の拠点や業務委託先など、サプライチェーン全体を通じた対策の推進も不可欠です。ガイドラインでは、サプライチェーン上のセキュリティが弱い組織を踏み台にした攻撃や、それによる事業停止リスクが強調されています。CISOに求められる「経営層への翻訳力」経営者は、サイバーセキュリティ対策をコストではなく、将来の事業活動や成長に必須な「投資」と位置づけ、リーダーシップを発揮する必要があります。ここで重要になるのが、CISO等の責任者の役割です。CISOには、経営者が予算措置や体制整備といった適切な判断を行えるよう、技術的なリスクを「経営へのインパクト」に翻訳して報告する義務があります。経営者が善管注意義務を果たせるよう、具体的かつ効果的な対策案を提示することが求められているのです。ガイドラインが求める「リスク対応」と「復旧体制」ガイドラインの「重要10項目」では、攻撃を防ぐだけでなく、侵入された後の検知や復旧に重点が置かれています。バックアップ破壊を「検知」する設計ガイドラインの「指示5:サイバーセキュリティリスクに効果的に対応する仕組みの構築」では、防御だけでなく、検知・分析の各機能を実現する仕組みの構築が求められています。近年のランサムウェアは、データを暗号化して使用不能にするだけでなく、復旧を阻害するために「バックアップデータ自体」も標的にします。そのために重要になるのが、バックアップシステムへの攻撃をいかに検知し、誰に通知し、迅速な復旧判断へつなげるかという設計です。従来の境界防御だけでは防ぎきれない現状を踏まえ、侵入を前提とした多層防御や監視体制が必要とされています。「復旧」へのパラダイムシフト「指示8:インシデントによる被害に備えた事業継続・復旧体制の整備」では、業務停止等の影響を考慮し、「いつまでに復旧すべきか(目標復旧時間)」を特定することが求められています。ここで重要なのは、侵入を完全に防ぐことは不可能であるという前提に立って、BCP(事業継続計画)と連携した具体的な復旧手順を策定することです。単にデータを戻せるだけでなく、事業再開に必要なシステム環境全体を、経営が許容できる時間内に復旧させる「復旧力(レジリエンス)」こそが、現代の企業に求められています。ガイドライン準拠の鍵となる「不変性(Immutability)」ランサムウェア対策として、ガイドラインが求める「確実な復旧」を実現するための鍵となる技術が「不変性(Immutability)」です。不変性バックアップとは「不変性(Immutability)」とは、一度書き込まれたデータを指定した期間、管理者であっても変更も削除もできなくする機能のことです。「指示5」では、リスクに対応する仕組みとしてバックアップの取得が求められていますが、不変性を持つストレージに保存することで、ランサムウェアによる暗号化や悪意ある改ざんを無効化できます。これは、攻撃者がシステム権限を奪取した場合でもデータを破壊できないため、確実な復旧手段を確保する「究極の仕組み」と言えます。オフラインと同等の安全性をオンラインで実現する方法従来、ランサムウェア対策として最強とされたのは、テープなどの「オフラインバックアップ」でした。しかしこの手法には、物理的な管理の手間や、復旧に時間がかかる(RTOが長い)という課題がありました。一方、クラウドストレージの不変性機能(オブジェクトロック機能など)を使えば、ネットワークにつながっていても論理的に書き換え不可能な「Virtual Air Gap(仮想エアギャップ)」を構築できます。これにより、オフライン保管と同等の堅牢性を持ちながら、クラウドの利便性を活かした迅速な復旧(RTO短縮)を両立することが可能です。ガイドラインが求める要件を低コストで実現する手法高度なセキュリティ対策にはコストがかかるのが常ですが、工夫次第でガイドラインの要件を満たすことが可能です。予算確保の壁を越えるクラウドストレージ活用ガイドラインの「指示3:サイバーセキュリティ対策のための資源(予算、人材等)確保」では、対策に必要な資源の確保が求められていますが、企業にとって予算は無限ではありません。そこで活躍するのが、Wasabiのような安価かつ高機能なクラウドオブジェクトストレージです。高価な専用バックアップアプライアンスを導入しなくても、「指示8」が求める高度な復旧体制を低コストで構築できます。サプライチェーン全体を守る「新・3-2-1ルール」「指示9:ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策」では、自社だけでなく委託先を含めた対策が求められています。しかし、中小企業を含むサプライチェーン全体に、高価な対策を強いるのは現実的ではありません。そこで注目したいのが、バックアップの基本である「3-2-1ルール(データ3つ、媒体2つ、場所1つ)」に「+1(不変性)」を加えた新基準です。安価なクラウドストレージを用いた不変性バックアップであれば、委託先企業でも導入しやすく、結果としてサプライチェーン全体のリスクを低減させることにつながります。まとめサイバーセキュリティ経営ガイドライン 3.0は、インシデント発生を前提とした「復旧力」を強く求めています。CISO等の担当者は、「不変性バックアップ」という技術的解を提示することで、経営者の善管注意義務をサポートし、企業の事業継続性を担保することができます。Wasabiのような低コストかつ高機能なソリューションを活用し、論理的な防御壁を構築することは、ガイドライン準拠への近道となるでしょう。...
