クラウドコンピューティングとは何か、なぜ金融機関が使うのか

広く使われている定義

米国の国立標準技術研究所、NISTは、2011年に短い定義を公表し、これは今も広く参照されています。NISTはクラウドコンピューティングを、ネットワーク、サーバー、ストレージ、アプリケーション、サービスといった設定可能な計算資源の共有の集まりに、どこからでも、便利に、必要なときにネットワークでアクセスできるようにするモデルであり、その資源は最小限の管理の手間や提供者とのやり取りで、すばやく用意し、解放できるものだと説明しています。NISTは、5つの本質的な特徴を挙げています。

• オンデマンド・セルフサービス：顧客は、サーバーの稼働時間やストレージなどの計算能力を、提供者の担当者とやり取りすることなく、必要に応じて自ら確保できます。
• 幅広いネットワークアクセス：その機能には、電話、タブレット、ノートパソコン、ワークステーションから、標準的な仕組みを通じてネットワーク経由で到達できます。
• 資源の共用：提供者の資源は多くの顧客に同時に使われ、需要に応じて割り当てと再割り当てが行われます。顧客は一般に資源の正確な所在地を管理することも知ることもできませんが、国やデータセンターといった、より大まかな単位で所在地を指定できる場合があります。
• 迅速な伸縮性：能力は、需要に合わせて、場合によっては自動的に、すばやく追加し解放できます。
• 計測されるサービス：利用は計測されるため、監視し、管理し、提供者と顧客の双方に報告することができます。

所在地についての点は、金融機関にとって重要です。この講座の第4回で、データがどこにあり、誰がそれに到達できるのかに戻ります。

3つのサービスモデルと4つの配置モデル

NISTは、顧客がどこまで管理するかによって、3つのサービスモデルを区別しています。サービスとしてのソフトウェア、SaaSでは、顧客は提供者のアプリケーションを使い、限られた利用者ごとの設定を除いて、基盤も、オペレーティングシステムも、さらにはアプリケーションの機能も管理しません。サービスとしてのプラットフォーム、PaaSでは、顧客は自らのアプリケーションを提供者のプラットフォームの上に配置し、そのアプリケーションは管理しますが、その下にあるサーバー、オペレーティングシステム、ストレージは管理しません。サービスとしてのインフラ、IaaSでは、顧客は処理能力、ストレージ、ネットワークを確保し、その上で動かすオペレーティングシステムとアプリケーションを管理しますが、その下にあるクラウドの基盤は管理しません。

NISTはまた、4つの配置モデルを挙げています。プライベートクラウドは1つの組織が専用で使うもので、その組織または第三者が、その組織の構内または構外で運営することがあります。コミュニティクラウドは、共通の関心を持つ組織の集まりが専用で使うものです。パブリッククラウドは一般に開かれたもので、提供者の構内にあります。ハイブリッドクラウドはこれらの2つ以上を組み合わせたもので、データとアプリケーションがその間を移動できるように結び付けられています。

金融機関がクラウドに移る理由

金融安定理事会は、クラウドサービスへの第三者依存に関する2019年の報告で、クラウドサービスが金融サービスへの参入障壁を下げ、費用を減らしうること、そして提供者の規模の経済が顧客の費用の低下につながりうることを指摘しています。報告は強靭性にも触れています。大手の提供者は、冗長性、地理的な分散、単一障害点の除去、高度なインシデント対応を提供でき、報告はこうした特徴を、ほとんどの金融機関が自前のITで達成できる水準をはるかに超えるものと述べています。そのうえで、但し書きを加えています。パブリッククラウドに移るだけで機関がより強靭になるわけではないとし、クラウド基盤の設定の誤りがセキュリティやコンプライアンス上の事案につながったという調査結果を引いています。

能力に対して支払う場合：費用 ＝ ピーク時の能力 × 日数 × 1単位1日あたりの価格。利用に対して支払う場合：費用 ＝ 各日の利用量の合計 × 1単位1日あたりの価格。

計算例（数字は説明のためのものです）：ある貸し手の申込みのシステムは、月のうち忙しい5日間に100単位の計算能力を必要とし、残りの25日間は30単位で足ります。ピークに十分な能力を自ら持つと、毎日100単位分を支払うことになり、月に3,000単位日です。利用に対して支払うと、忙しい日に500単位日、その他の日に750単位日、合計1,250単位日です。クラウドの1単位日あたりの価格が1.5倍だとしても、支払いは3,000に対して1,875です。この例には、システムを移す費用と提供者を監督する費用は含まれていません。これらは第3回と第5回で扱います。

移らないもの：責任

金融安定理事会は、クラウドサービスを使っても金融機関の責任は軽くならないと明言しています。金融機関は関連するすべての法的要件を守る責任を負い続け、それに伴うリスクと法的責任も金融機関に残ります。バーゼル銀行監督委員会の2025年の第三者リスクの健全な管理のための原則も、同じところから出発しています。原則1は、取締役会が銀行の第三者リスクの監督について最終的な責任を負うと定めています。そして原則は、ある取決めが銀行と提供者の間の責任の共有を伴う場合でも、それによって取締役会の最終的な責任がなくなるわけではないと付け加えています。

この講座の第2回では、サービスモデルごとに機関と提供者の間で管理がどう分かれるのかを、第3回では、監督当局がクラウドを外部委託の一形態としてどう扱うのかを見ます。

多くの機関、少ない提供者

金融安定理事会は、パブリッククラウドサービスの市場を少数の提供者が支配しており、金融機関は大きくその同じ少数の提供者に依存していると述べています。報告は、機関も当局も、これらの提供者がどこまで共通して使われているのかを知らない可能性があること、そして主要な第三者の提供者の破綻が、理論上は金融の不安定を引き起こしうることを指摘しています。国際決済銀行の金融安定研究所による2023年の論文は、3つの提供者が世界のクラウド市場を支配し、その3分の2近くを占めていること、そして金融機関がクラウドに移した重要な業務処理は大きく増えているとみられるものの、なお比較的低い水準にとどまっていることを報告しています。

それぞれの機関には自らの契約しか見えず、集中はシステム全体を見てはじめて分かります。この講座の第5回では、機関と監督当局がそれにどう対処するのかを扱います。外部委託とテクノロジーのリスクの扱いは地域の市場ごとに異なり、各市場で何が適用されるのかは規制のページに示されています。