[IDaaS] ようやく流行ってきた？

1年半ほど前に IDaaS について紹介しましたが、ここにきて続々とサービス化がされてきています。

5/24 の Intel Cloud SSO に関する記事です。
インテル、クラウド型シングル・サインオン・サービス「Cloud SSO」をリリース

5/23 の Windows Azure Active Directory に関する公式 blog ポストです。
Reimagining Active Directory for the Social Enterprise (Part 1)

同じく 5/23 の Kim Cameron 氏の blog です。
Identity Management As A Service


他にもクラウド・アイデンティティ界の雄である PingIdentity が日本にオフィスを開設したり IIJ と協業を開始してサービスを開始したり、ちょっと前ですが salesforce.com が SAML RP だけでなく IdP としても動作するようになりました。


最近の IDaaS の特徴を見ていると、

• フェデレーション
• プロビジョニング
• 認証強化

の3つの機能要素で構成されています。

それぞれの機能についてどんな選択肢が用意されているのか、が差別化の要因になると思います。

• フェデレーション
• 対応プロトコルはもちろん、接続先があらかじめメニューとして組み込まれていたりウィザードで簡単に設定できる、という部分が強みとなると思います。
• プロビジョニング
• サービス側の対応がまだ限られているので Google Apps、salesforce.com、WebEx、Office365 など限定的ですが実際には一番管理者にとってメリットが出る部分なので今後のサービス側の対応が望まれます。
• 認証強化
• ワンタイムパスワード（OTP）や SeucureID、IP 制限、モバイル対応など色々と選択肢がありますが、インターネット経由のアクセスを考えるとここも気になる点だと言えます。

現段階でのメジャーなサービスを比べてみます。（Windows Azure Active Directory の詳細はこれからなので微妙ですが）

ベンダ	サービス/製品	特長	フェデレーション	プロビジョニング	認証強化
Intel	Intel Cloud SSO	対応APLが多数	○	○（サービスによる）	OTP、IP制限、モバイル、時間帯、曜日
Microsoft	Windows Azure Active Directory	Office365連携	○	Office365	AD FS2.x ベースのカスタマイズ
PingIdentity	PingFederate	オンプレミス	○	○（サービスによる）	証明書、RSA SecureID、Symantec VIP、PhoneFactor

※ちなみに Intel は IAMaaS 、Microsoft は IdMaaS という表現を使うこともあります。

後は、やはり CSA のガイドライン対応や LoA などプロバイダの信頼性が一番気になるところかと。
また日本国内での普及についてはアイデンティティ情報がサービスプロバイダ側での物理的配置の問題など色々と気にすることになると思いますので、そのあたりを踏まえると国産の IDaaS プロバイダがもっと前面に出てくると良いかな、、と思います。

アイデンティティ・プロバイダにおける身元保証と岩波書店の縁故採用宣言

たまには時事ネタも、ということで。

岩波書店が2012年度の採用を縁故採用に限る、という宣言をしたことが賛否両論を呼んでいますね。

岩波書店の採用ページ
http://www.iwanami.co.jp/company/index_s.html

色々な意見があるのは確かだと思いますので、ここでは特に何の意見も述べるつもりはないので、少しだけWeb上の反応を紹介しておきます。
（私の周りには結構肯定的な意見が多いかも）

・雑種路線でいこう
　http://d.hatena.ne.jp/mkusunok/20120204/p1
・常識的に考えた
　http://blog.livedoor.jp/jyoushiki43/archives/51836165.html
・ドラゴンの抽斗
　http://ameblo.jp/nitta-ryo/entry-11153856843.html


で、ここからアイデンティティの話（およびサービスプロバイダの話）です。
先日の Kantara Initiative Seminar 2012 Winter でも Japan WG 議長の山田さんが紹介していましたが、現在 Kantara Initiative が生き残りを賭けて？力を注いでいるのが Identity Assurance Framework です。
※山田さんの講演資料はこちら：
　http://kantarainitiative.org/confluence/pages/viewpage.action?pageId=57606150


背景を含め簡単に説明すると、、、
特にパブリック・クラウドなど事業者をまたがってサービスを使う様な場合、「サービス・プロバイダの信頼」というものが非常に重要になってきます。
※これまでこの blog で紹介してきた AD FS2.0 などで言う証明書を使った信頼関係の実装とはレイヤが違う意味での「信頼」です。事業者同士の信頼をITシステムの中で表現するための一つの方法が証明書ベースでのIdP/RP間の信頼です。

例えば、アプリケーションを提供する側としては、外部のアイデンティティ・プロバイダからの認証結果や属性情報を受け入れるには普通に考えて結構な覚悟が要るはずです。本当に認証は正しく実行されているんだろうか？パスワードが漏れていて実際は本人以外の人がアカウントを使っているんじゃないだろうか？実は退職した後でもアカウントが消されていなくて不正利用をされているんじゃないだろうか？など考えただけで色々な懸念があるはずです。

また、逆にアイデンティティ・プロバイダ側からすると利用したいアプリケーション・サービスが本当に大丈夫なのか？については同様に気を使います。管理レベルが低くて提供したメールアドレスなどの属性情報をリスト化してスパム業者に売り払っているんじゃないだろうか？作成したデータを盗み見られているんじゃないだろうか？などなど、こちらも多くの懸念があります。

こうなってくると「何を持ってアイデンティティ・プロバイダ、サービス・プロバイダを信頼するか」の基準の確立が非常に大切になってきます。これを「トラスト・フレームワーク」と言います。
現在、Kantara Initiative は Open Identity Exchange（OIX）と並んでポリシー策定者である米国調達庁（GSA/ICAM）の認定したトラスト・フレームワーク・プロバイダとなっています。
GSA が行う電子調達においては OIX や Kantara Initiative が認定したアイデンティティ・プロバイダで認証された利用者 / 企業であることが必要となります。



ちょっと話がそれましたが、このトラスト・フレームワークの認定基準を見るとアイデンティティ・プロバイダ、サービス・プロバイダで事業に従事する人員の採用に関する要件についても規定されています。

Kantara Initiative Identity Assurance Framework
Identity Assurance Framework:Service Assessment Criteria

LoA2 ( Level of Assurance 2 )
AL2_CO_OPN#030 Personnel recruitment
Demonstrate that it has defined practices for the selection, evaluation, and contracting of all service-related personnel, both direct employees and those whose services are provided by third parties.

LoA3/4 ( Level of Assurance 3/4 )
AL3_CO_OPN#030/AL4_CO_OPN#030 Personnel recruitment
Demonstrate that it has defined practices for the selection, vetting, and contracting of all service-related personnel, both direct employees and those whose services are provided by third parties. Full records of all searches and supporting evidence of qualifications and past employment must be kept for the duration of the individual's employment plus the longest lifespan of any credential issued under the Service Policy.

特に LoA3や4（信頼レベル高）ともなると過去の従事者が資格を満たしていることのエビデンスや雇用履歴の調査など、かなり厳密な管理が必要となります。
それもそのはず、例えばイギリスでは LoA4 を要求するサービスとして生命や医療、国防にかかわるサービスをあげていたりします。


Kantara Initiative の他にも Cloud Security Alliance（CSA）でも Cloud Control Matrix（CCM）を定めており、その中にも従事者の採用に関する項目が規定されています。

CSA / Cloud Control Matrix（CCM）
https://cloudsecurityalliance.org/research/ccm/

HR-01
Pursuant to local laws, regulations, ethics and contractual constraints all employment candidates, contractors and third parties will be subject to background verification proportional to the data classification to be accessed, the business requirements and acceptable risk.

HR-02
Prior to granting individuals physical or logical access to facilities, systems or data, employees, contractors, third party users and tenants and/or customers shall contractually agree and sign equivalent terms and conditions regarding information security responsibilities in employment or service contract.

HR-03
Roles and responsibilities for performing employment termination or change in employment procedures shall be assigned, documented and communicated.

特に HR-01 では身元確認の重要性を強調しています。



色々と書きましたが、岩波書店の話に戻すと特に公共性の高いサービスにおいては「身元のしっかりした人を採用する」ことの重要性が認識され始めているのかも知れません。
しかし、これには色々と問題があるのも確かで、特にプライバシーの観点から見ると過去の犯罪歴や家族構成などが原因で仕事に就けない、といった事象を生む可能性も否めません。
※この辺りは崎村さんの blog で。
　http://www.sakimura.org/2010/12/686/

クラウドを含め単一の企業ネットワークに閉じた境界防御ではなく複数の事業者にまたがるビジネス・スキームが主流になってくると必ず話題に上る、いわゆる「セキュリティ vs プライバシー」の議論の典型的な例だと思いますので、岩波書店の例に関する結果がどうなるのか？は要ウォッチかも知れません。

Office365 の Cloud Control Matrix への対応

英語版では少し前（6月）にリリースされていた Office365 の Cloud Control Matrix ( CCM ) への対応に関するドキュメント「Request for Information (情報提供依頼書) に対する標準的なレスポンス - セキュリティおよびプライバシー」の日本語版が10月末にリリースされました。

- ダウンロード URL
　http://www.microsoft.com/downloads/ja-jp/details.aspx?FamilyID=6dd73e12-95d9-4834-98b4-49bd65a85cbe

で、CCM って何よ？という人のために簡単に解説しておくと、以前も紹介したことのある Cloud Security Alliance ( CSA ) という団体が出しているコントロール・フレームワークで、以下の様に説明されています。

The CSA CCM provides a controls framework that gives detailed understanding of security concepts and principles that are aligned to the Cloud Security Alliance guidance in 13 domains. The foundations of the Cloud Security Alliance Controls Matrix rest on its customized relationship to other industry-accepted security standards, regulations, and controls frameworks such as the ISO 27001/27002, ISACA COBIT, PCI, NIST, Jericho Forum and NERC CIP and will augment or provide internal control direction for SAS 70 attestations provided by cloud providers.

簡単に要約すると、これまた別に CSA が出しているセキュリティ・ガイダンスの13のドメインに沿った形で、且つ業界標準であるISO27001/27002やCOBIT、PCI DSS、HIPPAなどとの関係性を含めて各種コントロール仕様をまとめたもの、ということです。
中を見るとわかりますが、 NIST のサービスデリバリモデル（ SaaS / PaaS / IaaS ) 毎の適用有無、およびサービスプロバイダ / テナント別の適用有無などかなり詳細にまとまっている資料です。

CSA ガイドラインの13ドメインの中の12番目が「Identity and Access Management」だったり何故か Identity and Access Management に関してだけ別冊があったり、と CSA の中でもアイデンティティ管理はかなり重要視されている領域なので、もちろんこの CCM の中にもアイデンティティ管理に関連する項目が登場します。

先の Office365 での適用状況について少しピックアップしてみたので、紹介してみたいと思います。
（ちなみにベースとなっているのは CCM 1.1 Final 2010/12/17版の様です。現在は1.2が出ています）

• HR-03 人事 -  雇用の終了
• 要求
• 雇用手続きにおいて雇用の終了や変更を行う際の役割や責任に関して、割り当て、文書化、コミュニケーションを行う必要があります。
• 対応
• 従業員の雇用終了プロセスは、Microsoft 米国本社の人事ポリシーによって行われます。 
• 当社がお客様のアカウントを作成することはありません。お客様自身が、Microsoft Online 管理センターで直接アカウントを作成するか、またはローカルの Active Directory 内にアカウントを作成します。それらのアカウントは、Microsoft Online Services と同期することができます。そのため、作成するユーザー アカウントの正確性については、お客様がその責任を負います。
• IS-07 情報セキュリティ - ユーザー アクセス ポリシー
• 要求
• アプリケーション、データベース、サーバー、ネットワーク インフラストラクチャへの通常のアクセス権および特権付きのアクセス権を付与/無効化するためのユーザー アクセスに関するポリシーと手順を文書化し、承認し、実装する必要があります。これは、ビジネス、セキュリティ、コンプライアンス、サービス レベル契約 (SLA) の要件に準拠している必要があります。
• 対応
• アクセス制御ポリシーはポリシー全体を構成するコンポーネントの 1 つであり、正式な確認および更新のプロセスが適用されます。Microsoft Online Services の資産に対するアクセス権は、ビジネス要件に基づいて、資産の所有者の承認を得たうえで付与されます。加えて、以下の項目が適用されます。
• 資産に対するアクセス権は、知る必要性のある人間に限定する原則、および最小特権の原則に基づいて付与されます。
• 適用可能であれば、役割ベースのアクセス制御を使用して、個人ではなく、特定の職務または責任領域に対して論理的なアクセス権を割り当てます。
• 物理的および論理的なアクセス制御ポリシーは、規格に準拠します。
• ISO 27001 規格 (具体的には付属文書 A の項 11) で、"アクセス制御" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。 
• IS-08 情報セキュリティ - ユーザー アクセスの制限/承認
• 要求
• アプリケーション、システム、データベース、ネットワーク構成、および機密度の高いデータや機能に対する通常のユーザー アクセス権や特権付きのユーザー アクセス権は制限される必要があります。また、それらのアクセス権を付与する前に管理者によって承認される必要があります。
• 対応
• アクセス制御ポリシーはポリシー全体を構成するコンポーネントの 1 つであり、正式な確認および更新のプロセスが適用されます。Microsoft Online Services の資産に対するアクセス権は、ビジネス要件に基づいて、資産の所有者の承認を得たうえで付与されます。加えて、以下の項目が適用されます。
• 資産に対するアクセス権は、知る必要性のある人間に限定する原則、および最小特権の原則に基づいて付与されます。
• 適用可能であれば、役割ベースのアクセス制御を使用して、個人ではなく、特定の職務または責任領域に対して論理的なアクセス権を割り当てます。
• 物理的および論理的なアクセス制御ポリシーは、規格に準拠します。
• ISO 27001 規格 (具体的には付属文書 A の項 11.2) で、"ユーザー アクセスの管理と特権の管理" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。  
• IS-09 情報セキュリティ - ユーザー アクセスの無効化
• 要求
• 従業員、契約業者、顧客、ビジネス パートナー、またはサード パーティの状況に何らかの変更があった場合に、組織のシステム、情報資産、およびデータに対するユーザー アクセスの準備解除、無効化、変更のタイムリーな実行を実装する必要があります。こうした状況の変化には、雇用、契約、または合意の終了、雇用状態の変更、組織内での異動などが含まれます。
• 対応
• 管理者、およびアプリケーションやデータの所有者は、誰がアクセスしているかを定期的に確認する責任を負います。オンラインのさまざまな場所で、アクセスをチェックするためのツールを入手できます。適切なアクセスの準備が行われていることを検証するために、定期的にアクセスの確認監査が行われます。
• ISO 27001 規格 (具体的には付属文書 A の項 8.3.3) で、"アクセス権の削除" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。 
• IS-10 情報セキュリティ - ユーザー アクセスの確認
• 要求
• すべてのレベルのユーザー アクセスは、管理者によって計画された間隔で確認され、文書化されます。アクセス違反が見つかった場合は、文書化されているアクセス制御に関するポリシーと手順に従って改善策を実行する必要があります。
• 対応
• 管理者、およびアプリケーションやデータの所有者は、誰がアクセスしているかを定期的に確認する責任を負います。オンラインのさまざまな場所で、アクセスをチェックするためのツールを入手できます。Microsoft Online では、提供しているサービスの中でお客様がエンド ユーザーによるアクセスの監査と委任を行うための強化された機能を用意しています。詳細については、対応するサービスの説明を参照してください。
• ISO 27001 規格 (具体的には付属文書 A の項 11.2) で、"ユーザー アクセスの管理と特権の管理" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。  
• IS-15 情報セキュリティ - 職務分離
• 要求
• 職務の適切な分離を実施、保証するためのポリシー、プロセス、手順を実装する必要があります。興味の制約に関するユーザーの役割の競合が発生する場合は、組織の情報資産の承認されない変更や意図しない変更、または誤使用によって生じるリスクを軽減するための技術的な制御を行う必要があります。
• 対応
• Office 365 サービスは、異なるホスティング サービスの開発スタッフ、運用スタッフが職務分離の原則に従うことを必要とします。これにはソース コード、ビルド サーバー、および運用環境に対するアクセス制御が含まれます。例:
• Office 365 サービスの運用環境に対するアクセスは運用担当者に制限されます。開発チームとテスト チームには、運用環境内から提供された情報に対してアクセス権が与えられる場合があり、問題のトラブルシューティングに役立てることができます。
• Office 365 サービスのソース コード管理に対するアクセスは開発担当者に制限され、運用担当者がソース コードを変更することはできません。
• マイクロソフトの担当者は、マルチテナント環境の委託が行われる前にサーバーを構築します。サーバーの構築が完了すると、構築チームは自身のアクセス許可を削除します。サーバーを委託した時点から、マイクロソフトの担当者が委託されたサーバー上で実行されるシステムへのアクセス許可を得ることができる方法は限られています。ヘルプ デスクのスタッフは、アクセスを求めるサービス チケットの直接の結果として、またはソフトウェアのインストールや問題解決のためのシステム更新の直接の結果として、アクセス権を入手する場合があります。このような場合、監査ログによって、誰がいつログインしたかが示されます。マイクロソフトが採用しているプロセスは、保持している認定に準拠しています。
• 不正行為、誤使用、またはエラーの可能性を最小限に抑えるため、Microsoft Online Services の環境内の機密度の高い機能や重要な機能に対して、職務の分離が実装されています。                     
• ISO 27001 規格 (具体的には付属文書 A の項 10.1.3) で、"職務の分離" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。
• SA-02 セキュリティ アーキテクチャー - ユーザー ID 資格情報
• 要求
• アプリケーション、データベース、サーバーおよびネットワーク インフラストラクチャにユーザー資格情報およびパスワード制御を (自動化を通じて) 実装および実施します。この場合、以下の最低条件を満たす必要があります。
• パスワードをリセットする前にユーザー ID を検証する。
• ユーザー以外の人物 (管理者など) がパスワードのリセットを行った場合、ユーザーが最初に使用する際にパスワードを即座に変更する必要がある。
• 契約終了となったユーザーのアクセスの無効化をタイムリーに行う。
• 少なくとも 90 日ごとに、非アクティブなユーザー アカウントを削除または無効にする。
• 一意のユーザー ID を使用し、グループ、共有、または汎用のアカウントおよびパスワードを禁止する。
• パスワードの有効期限を 90 日以内にする。
• パスワードの最小文字数を 7 文字以上にする。
• 数字とアルファベットの両方を含んだ強力なパスワードを使用する。
• パスワードの再使用は、少なくとも 4 つのパスワードが使用された後に許可する。
• ユーザー ID をロックアウトする試行回数は、多くても 6 回までにする。
• ユーザー ID のロックアウト期間は最低 30 分にするか、管理者がユーザー ID を有効にするまでとする。
• セッション アイドル時間が 15 分以上経過した場合に、端末を再度アクティブにするには、パスワードを再入力するようにする。
• 特権付きのアクセスに対するユーザー アクティビティ ログを保持する。
• 対応
• Microsoft Online Services では、Active Directory を使用して、パスワード ポリシーの適用状況を管理しています。Microsoft Online Services システムは、強制的にユーザーに複雑なパスワードを使用させるように構成されています。パスワードには最長の有効期限と最小文字数が割り当てられます。
• Microsoft Online Services が所有されている環境または運用されている環境に関連サービスまたはシステムを導入する場合、その前に契約者提供の既定のパスワードを変更することが、パスワードの取り扱い要件に含まれています。
• ISO 27001 規格 (具体的には付属文書 A の項 11.2.1 および 11.2.3) で、"ユーザー パスワードの管理およびユーザー登録" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。  
• SA-07 セキュリティ アーキテクチャー - リモート ユーザーの多要素認証
• 要求
• すべてのリモート ユーザー アクセスに対して多要素認証が必要です。
• 高い保証を必要とする操作には、どの形式の認証を使用しますか。これには、管理インターフェイスへのログイン、キー作成、複数のユーザー アカウントへのアクセス、ファイアウォール構成、リモート アクセスなどが含まれます。
• ファイアウォールなど、インフラストラクチャ内の重要なコンポーネントを管理する場合に、2 要素認証が使用されていますか。
• 対応
• スタッフおよび契約業者のスタッフによる Microsoft Online Services の運用環境へのアクセスは、厳しく制御されています。
• ターミナル サービス サーバーは、高度な暗号化設定を使用するように構成されています。
• マイクロソフトのユーザーには、リモート アクセス セッションを確立するために、有効な証明書と有効なドメイン アカウントが含まれているスマートカードが Microsoft Online Services から発行されます。
• ISO 27001 規格 (具体的には付属文書 A の項 11.4.2) で、"外部接続に対するマイクロソフトのユーザー認証" が規定されています。詳細については、マイクロソフトが認定を取得し、公開されている ISO 規格を確認することをお勧めします。 

関連する項目を抜粋しただけですが結構なボリュームになりますね。これもライフサイクル管理、アクセス制御、認証、職務分掌など様々な角度での要求への対応を行っているためだと言うことが出来ます。

実際に内情がどうなっているかは別として各パブリック・クラウド事業者はこのようなガイドラインへの対応度合を利用者からはかなり厳しくみられる傾向にあるので、今回のように公開文書という形での対応を含め色々と対策を打ってきているように感じます。特にOffice365やGoogleAppsなどはメールやグループウェアという形でかなりの生情報をクラウド上へ配置することになるので、利用者の不安を払しょくすることが最大のポイントになりがちです。
同じような対応をプライベート・クラウドで行おうと思うと結構難しいような気もしますので、国内のクラウド事業者も色々と苦労があるんでしょうね。。と遠い目をしてしまいます。

日本クラウドセキュリティアライアンス キックオフシンポジウムに参加してきました

といっても途中までしか聴けなかったのですが、以前紹介したCSA（Cloud Security Alliance）の日本支部のキックオフシンポジウムが開催されたので行ってきました。（大盛況でした）

国内においてもクラウドサービスプロバイダが増えてくるに当たり、CSAのガイダンスを適用・実装するための指針を出したり、国内市場特有のニーズに対応したり、ということを目的として今後活動していくということなのでクラウドサービスを提供するプロバイダも利用する企業やユーザにとっても目の離せない存在になるのではないでしょうか？

ちなみにそもそもこのCSAをはじめとするクラウドコンピューティングにおけるセキュリティのガイドラインは、良く「クラウド」の定義で引き合いに出されるNIST（アメリカ国立標準技術研究所）がクラウドの効果的で安全に利用についてレポートを出していたものの、実際にクラウドサービスを調達する際のセキュリティ上の要求事項が具体的にまとまらなかった、というところから整備が進んで来たものだったようです。

日本においては特に契約条項や品質に対する要求レベル、情報の取り扱いに関連する法規も当然米国とは異なりますので、このような団体によって地域にあったガイドライン化が進むと良いのでは、と思います。


アイデンティティ管理に関しては今日はISACAの顔をした下道さんが「クラウドコンピューティングとeID」というテーマで講演をしてくださいました。
印象に残ったのは、改めて「ID=アイデンティティ」ということを強調していた点です。これは何年も前からアイデンティティ管理界隈では話がされてきていることですが、今でもID=Identifier（識別子）という認識が根強いということでした。

本シンポジウムの内容から少し横道にそれますが、、、

「アイデンティティ」とは個人を特徴づけるものであり、単なる識別番号やメールアドレスなどといったものだけではなく、趣味や身体的特徴や宗教などといったその人を特徴づける属性情報を含んでいます。
そのような意味でアイデンティティとは個人の尊厳そのものとも言うことが出来、それは実世界であろうがデジタルワールドであろうが適切に取り扱われるべきである、という考えはそのあたりに起因しています。

そのような意味でアイデンティティ管理とは広義で言うと単なるプロビジョニングやシングルサインオンといった技術や運用に関することだけでなく、各国（日本、米国、EUなど）のそれぞれの個人情報保護に関連する法規と深く関連してきます。
特にクラウドをはじめとするインターネット上のサービスでアイデンティティ情報が適切に（関連法規に従い）扱われるかどうかは管理（コントロール）されるべきである、というところから色々な技術や製品などが着目／実装されてきています。

機能	関連技術等
サービス側から必要となる情報を要求する	クレイムベースのセキュリティモデル、InfoCard
必要最低限の情報のみを開示する	U-Prove
本人の同意を持って情報を開示する	ID-WSF、OpenID-CX

と、少しそれてしまいましたが、参加メンバを見ても今後の活動がとても楽しみです。


尚、他にも下道さんも監訳に参加されているオライリージャパンさんより「クラウドセキュリティ＆プライバシー」の日本語版が先行販売されていました。

その他関連リソース
・ASPIC Japan（ASP・SaaSインダストリ・コンソーシアム）によるCSAクラウド・セキュリティ・ガイダンス ver.1.0 日本語版
　http://www.aspicjapan.org/pdf/20100324-csa.pdf
・日本クラウドセキュリティアライアンス
　http://www.cloudsecurityalliance.jp/
・CSA Security Guidance for Critical Areas of Focus in Cloud Computing V2.1
　http://www.cloudsecurityalliance.org/csaguide.pdf
・CSA Guidance for Identity & Access Management V2.1
　http://www.cloudsecurityalliance.org/guidance/csaguide-dom12-v2.10.pdf
　※CSAガイダンスの中でアイデンティティ＆アクセス管理に関する部分に特化したもの