2026年10月8日にNIST SP 800-145の本文を再確認した。クラウドはオンデマンドの共有資源、ネットワークアクセス、弾力的な供給、計測を含む5つの基本特性、SaaS・PaaS・IaaSの3サービスモデル、private/public/community/hybridの4配置モデルで整理される。採用判断では、事業者と利用者の責任分界、データ所在地、復旧・出口、権限、費用の変動を契約と運用で確認し、「クラウドだから安全・安い・止まらない」と一般化しない。
クラウドコンピューティングは、計算・保存・アプリケーションなどの資源をネットワーク越しに必要に応じて利用する仕組みです。「自分のサーバーがなくなる」という説明だけでは、利用者側に残る設定、データ管理、障害への備えを見落とします。
30秒で要点
- IaaS、PaaS、SaaSは、利用者が管理する層の違いを整理する言葉です。どのモデルでも利用者の責任がゼロになるわけではありません。
- 費用は利用料だけで比較せず、通信、運用、バックアップ、移行・解約まで同じ範囲に含めます。
- 導入前に、一つの業務を選び、誰が復旧し、どこまでのデータ損失を許すかを決めて試します。
クラウドを構成する五つの性質
NIST SP 800-145は、オンデマンドのセルフサービス、広範なネットワークアクセス、資源の共有、迅速な拡張・縮小、計測された利用を基本的な性質として整理しています。単に別の場所へサーバーを置くこととは異なります。表が収まらない場合は、横にスクロールできます
| 性質 | 利用者が確かめること |
|---|---|
| 必要時に用意できる | 承認、上限、作成権限を誰が管理するか |
| ネットワーク経由で使う | 拠点や端末からの接続と障害時の代替手段 |
| 資源を共有する | データの分離、契約、保存地域の条件 |
| 拡張・縮小できる | 上限、縮小できない部分、課金への影響 |
| 使用量を計測する | 何を単位に請求し、誰が異常を確認するか |
拡張できることと、自動で適切な台数になることは別です。自動化する場合も、起動条件、最大数、費用アラート、縮小時の処理を設定し、結果を観察します。
IaaS・PaaS・SaaSを責任から理解する
IaaSは仮想マシンやネットワークなどの基盤を利用し、OSやアプリケーションを管理する自由が大きい方式です。PaaSはアプリケーションを動かす基盤の一部を任せ、コードや設定、データに集中する方式です。SaaSは完成したアプリケーションを使い、アカウント、アクセス権、入力データ、業務上の運用を管理します。
利用者が確認する範囲（一般的な整理。契約で変わる）
IaaS: データ・権限・アプリ・実行環境・OS・ネットワーク設定
PaaS: データ・権限・アプリ・利用サービスの設定
SaaS: データ・権限・共有設定・利用と持ち出しのルール
全モデル: 責任分担、復旧方法、解約時のデータ回収を確認
たとえば「マネージドDBだからバックアップは不要」とは判断できません。事業者による保持期間、誤削除からの復元、別環境への移動、暗号鍵を失った場合の回復は異なる論点です。契約上の機能と自分たちが復元できた実績を分けて記録します。
配置モデルは四つを区別する
パブリッククラウドは広い利用者へ提供される形、プライベートクラウドは一つの組織に専用の形です。コミュニティクラウドは共通の要件を持つ複数組織が共有する形、ハイブリッドクラウドは異なる基盤を組み合わせて利用する形を指します。
プライベートという名前だけで安全性が高いと決まるわけではなく、パブリックだからデータが一般公開されるわけでもありません。権限・通信・監視・運用を実際にどう構成するかが重要です。ハイブリッドでは既存システムを残せる一方、認証、接続、監視、障害切り分けの境界が増えます。
利点と負担を同じ検討表に置く
表が収まらない場合は、横にスクロールできます
| 期待する利点 | 成立する条件 | 一緒に負う作業 |
|---|---|---|
| 初期設備を抑える | 必要な構成がサービスで得られる | 継続費用と契約の確認 |
| 短時間で環境を用意する | 権限と承認が準備されている | 不要環境の停止、上限設定 |
| 拠点から利用する | ネットワークと認証が利用可能 | 通信断時の業務手順 |
| 運用の一部を任せる | 委託範囲が業務要件に合う | 残る責任と障害連絡の担当 |
| 利用量に応じて変える | 拡縮可能な設計である | 容量・性能・費用の監視 |
サービス停止、インターネットの障害、提供条件の変更、移行の難しさも検討に含めます。可用性の約束があっても、自社業務の復旧時間や失われるデータ量をそのまま保証するわけではありません。
一つの業務で導入計画を埋める
次は、社内の公開済み資料を共有する架空の小規模業務です。顧客の機密データを試験へ持ち込む計画ではありません。いきなり全システムを移す代わりに、要件と停止時の行動を具体化します。
表が収まらない場合は、横にスクロールできます
| 欄 | 記入例 |
|---|---|
| 対象と利用者 | 社内公開資料、10人、平日業務時間 |
| 必須機能 | 個人アカウント、閲覧権限、履歴、持ち出し |
| 復旧目標 | 翌営業日の午前までに閲覧再開するという社内目標 |
| データ損失の許容 | 前営業日終了時まで戻せればよいという仮定 |
| 担当 | 総務が業務確認、情報システム担当が復元、管理者が権限確認 |
| 試験 | 架空資料の登録、誤削除、別環境への回収、復元後の権限確認 |
| 保留条件 | 取り出せない形式、復元担当不在、必要な権限分離ができない |
この目標は提供事業者の保証ではありません。バックアップファイルが存在するだけで合格にせず、取り出したファイルが読めるか、版や権限を回復できるかまで確認します。復元結果を業務担当が確かめ、手順の所要時間も記録します。
費用を計算するときの分母をそろえる
架空の月額見積もりで、構成Aが計算資源3,000円、保存1,000円、通信2,000円、運用作業相当8,000円なら、合計14,000円です。構成Bがサービス料9,000円と運用作業相当3,000円なら12,000円です。いずれも実際の料金ではなく、比較範囲を示す計算例です。
表が収まらない場合は、横にスクロールできます
| 比較項目 | A | B |
|---|---|---|
| サービス・計算・保存・通信 | 6,000円 | 9,000円 |
| 運用作業の見積もり | 8,000円 | 3,000円 |
| 同じ範囲の合計 | 14,000円 | 12,000円 |
差額2,000円だけでBを採用しません。復旧、保存地域、権限、移行時の取り出しが同じ要件を満たすか確認し、利用人数や通信量が増えた場合の再計算も用意します。無料枠を恒久的な費用として扱ったり、通信や運用を片方だけ除いたりすると判断を誤ります。
導入を判断する前の実施事項
現状の業務とデータを棚卸しし、必要な権限・保存・復旧・接続条件を短く書きます。次に同じ架空データで候補を試し、費用と復元の結果を比較します。採用後も予算、使用量、不要なアカウント、バックアップの復元を定期的に見直します。
最初の成果物は製品名の一覧ではなく、対象業務、残る責任、復元担当、費用の範囲が埋まった一枚の検討表です。条件を満たさない候補は保留し、満たした候補について移行と戻し方を具体化してください。