NASA、クラウドコンピューティングのセキュリティ慣行に問題--報告書が指摘

　米航空宇宙局（NASA）がクラウドコンピューティングへの移行を進める中、セキュリティガイドラインに準拠する上でいくつかの困難に直面している。NASAの監察総監室（Office of the Inspector General）の新たな報告書によると、NASAはITセキュリティ対策の強化に取り組む必要があるという。

　報告書には、「われわれは、NASAのITガバナンスとリスク管理に関する慣行に弱点があることを確認した。このことが、クラウドコンピューティングの利点をNASAが十分に実現することを妨げており、またNASAのシステムとクラウドに保存されたデータをリスクにさらす可能性がある」と記されている。

　不適切な慣行を示すいくつかの例として、NASAが最高情報責任者（CIO）室へ通知しないまま、データをパブリッククラウドに移行することや、クラウドコンピューティングのITセキュリティリスクに「十分対応」していない請負業者と提携することなどが挙げられる。ある事例では、無許可、あるいはセキュリティ計画やテストシステムを実装しないまま、データがパブリッククラウドに2年間保存されていた。さらに、NASAの内外のウェブサイト100件以上に適切なセキュリティ管理が施されていなかった。

　「こうした問題が起きたのは、NASAのCIO室が適切な監視権限を持たず、クラウドコンピューティング固有のリスクを緩和する契約の締結に時間がかかり、クラウドプロバイダーにNASAのITセキュリティ要件を確実に履行させるための対策を実施していなかったためである」（報告書）

　報告書によると、NASAはクラウドホスティングに関する契約を5件結んでいたが、いずれもデータセキュリティ要件の順守からは「ほど遠かった」という。

　NASAは2009年、Ames Research Centerにある「Nebula」と呼ばれるデータセンターで、独自のプライベートクラウドコンピューティングの運用を開始した。しかし、パブリッククラウドコンピューティングの信頼性向上と低コスト化により、NASAは2012年にデータをパブリッククラウドに移行することを決断した。

　NASAがこの1年間、年間のIT予算15億ドルのうちクラウドコンピューティングに投じた費用は1％未満だ。しかし今後、NASAはさらに多くの予算をクラウドに関するセキュリティや取り組みに投じる計画だ。今後5年以内に、新規ITプログラムの最大75％をクラウドで開始し、パブリックデータを100％クラウドに保管することを予定している。