この状況は、代替ベンダーが提供する IaaS プラットフォームを効果的に管理および保護する技術チームの能力に潜在的なギャップがあることを示しているため、クラウド監査人にとって重大な懸念事項となります。
新しいプラットフォームの具体的な機能、セキュリティ対策、運用手順に関する適切なトレーニングがなければ、組織は設定ミス、セキュリティ上の脆弱性、そしてクラウド運用における非効率性といったリスクの増大に直面する可能性があります。堅牢なクラウド環境に必要なセキュリティとパフォーマンス基準を維持するためには、技術チームが使用しているすべてのプラットフォームを包括的に理解することが不可欠です。
参考資料 = この懸念は、ユーザーアクセスの制御と監視、ITチームがクラウド環境を効果的に管理するための体制の確保など、クラウド監査における一般的な課題に基づいています12。さらに、ベストプラクティスでは、ネットワークセグメンテーション、ユーザー認証、アクセス制御がクラウド監査で取り組むべき重要な領域であると示唆されています3。これらの原則は、クラウドセキュリティとコンプライアンスの分野で広く認識されています。

暗号化と認証は、継続的な監視と検証を必要とするクラウドセキュリティの重要な側面であるため、継続的な監査に適しています。暗号化と認証とは、クラウド環境におけるデータと通信の機密性、整合性、可用性を確保する方法と技術を指します。暗号化では、暗号化アルゴリズムと鍵を用いて、不正アクセスや改ざんからデータを保護します。認証では、資格情報とトークンを用いて、ユーザーまたはデバイスのIDとアクセス権を検証します。継続的な監査は、データ暗号化、鍵管理、パスワードポリシー、多要素認証、シングルサインオンといった暗号化と認証の制御の有効性とコンプライアンスを評価するのに役立ちます。また、継続的な監査は、データ侵害、鍵の漏洩、パスワードクラッキング、不正アクセスなど、暗号化と認証を侵害または阻害する可能性のある異常や問題を検出し、警告するのにも役立ちます123。
手順（A）は、クラウドセキュリティの具体的または測定可能な側面ではなく、容易に自動化またはテストできないため、継続的監査には適していません。手順とは、特定のドメインまたはコンテキストにおいて、特定の目的または結果を達成するために実行されるステップまたはアクションを指します。手順は、関連するタスクまたはプロセスの種類、性質、または複雑さによって異なる場合があります。継続的監査には、期待される結果または出力の明確かつ一貫した定義と、それを評価するための基準または指標が必要です。手順ではそのような定義や基準が提供されない場合があり、その有効性またはコンプライアンスを評価するために人間の判断または解釈が必要になる場合があります123。
ガバナンス（B）は、クラウドセキュリティの具体的かつ測定可能な側面ではなく、簡単に自動化またはテストできないため、継続的な監査には適していません。ガバナンスとは、組織またはドメインを管理および監督するための役割、責任、ポリシー、標準、手順、およびプラクティスを定義するフレームワークまたはシステムを指します。ガバナンスには、経営陣、取締役会、規制当局、監査人、顧客など、異なる利害、期待、または視点を持つ複数の利害関係者が関与する場合があります。
継続的監査には、期待される成果または出力の明確かつ一貫した定義、ならびにそれを評価するための基準または指標が必要です。ガバナンスではそのような定義や基準が提供されない場合があり、その有効性やコンプライアンスを評価するために人間の判断や解釈が必要になる場合があります123。
ドキュメント品質（D）は、クラウドセキュリティの具体的かつ測定可能な側面ではなく、容易に自動化またはテストできないため、継続的監査の対象にはなりません。ドキュメント品質とは、組織またはドメインを記述またはサポートするドキュメントの正確性、完全性、一貫性、関連性、および理解可能性の程度を指します。ドキュメント品質は、関連するドキュメントの目的、対象読者、形式、スタイル、言語、構造、内容など、さまざまな要因に左右されます。継続的監査には、期待される成果物または出力の明確かつ一貫した定義と、それを評価するための基準または指標が必要です。ドキュメント品質はそのような定義や基準を提供しない場合があり、その有効性またはコンプライアンスを評価するために人間の判断または解釈が必要になる場合があります123。参考文献：
* クラウド監査: クラウド サービス プロバイダー向けガイド - クラウド標準...
* クラウド監査: クラウド サービス顧客向けガイド - クラウド標準...
* クラウド監査の知識：CCAK認定試験の準備

説明
監査人にとって最も重要なのは、クラウド環境内の資産インベントリがセキュリティ管理プログラムの基礎となることを認識することです。資産インベントリとは、組織がクラウド内で所有、使用、または管理するすべてのハードウェア、ソフトウェア、データ、およびサービスのリストです。資産インベントリは、組織がクラウドリソースを識別、分類、優先順位付けし、それらを保護するための適切なセキュリティ管理策とポリシーを実装するのに役立ちます。また、資産インベントリは、クラウド環境に適用される可能性のある関連規制、標準、および契約への準拠にも役立ちます。12 監査人は、クラウド内の資産インベントリの重要性を認識する必要があります。なぜなら、それは組織のクラウド環境のセキュリティ体制とコンプライアンス状況を評価するための基準となるからです。監査人は、資産インベントリを使用して、組織がクラウドリソースとその特性（場所、所有権、構成、依存関係、脆弱性、リスクなど）を明確かつ正確に理解していることを確認できます。また、資産インベントリを使用して、組織が脅威やインシデントからクラウドリソースを保護するための適切なセキュリティ対策とプロセスを実施しているかどうかを評価することもできます。監査人は、資産インベントリを使用して、組織のセキュリティ管理プログラムのギャップや弱点を特定し、改善のための推奨事項を提供することもできます。34 参考文献：IT資産インベントリ管理が重要な理由 - Fresh Security1; 資産インベントリを使用してリソースのセキュリティ体制を管理する2; サイバーセキュリティにおける資産インベントリの重要性3; サイバーセキュリティとCMDBにおける資産インベントリの重要性 - Visore4

監査人にとって最も重要なのは、クライアント組織がプロバイダのサプライヤーについて明確に理解していることを確認することです。プロバイダのサプライヤーとは、インフラストラクチャ、ソフトウェア、ハードウェア、サポートなど、プロバイダにサービスまたは製品を提供する第三者機関です。プロバイダのサプライヤーは、プロバイダがクライアント組織に提供するクラウドサービスの品質、セキュリティ、信頼性、パフォーマンスに大きな影響を与える可能性があります。したがって、監査人は、クライアント組織がプロバイダのサプライヤーが誰であるか、どのようなサービスまたは製品を提供しているか、どのようなリスクを及ぼすか、そしてどのような契約上または規制上の義務を負っているかを把握していることを確認する必要があります123。
その他の選択肢は正しくありません。選択肢A「クライアント組織はプロバイダのサプライヤーについて心配する必要はない。これはプロバイダの責任である」は誤りです。クライアント組織は、サプライヤーの管理をプロバイダだけに頼ることはできないからです。クライアント組織は、プロバイダのサプライヤーがクライアント組織自身のセキュリティ、コンプライアンス、およびビジネス目標に影響を与える可能性があるため、プロバイダのサプライヤーに対してデューデリジェンスと監督を実施する必要があります12。選択肢B「サプライヤーは、提供しているプロバイダのサービスに対して責任を負う」は誤りです。サプライヤーはクライアント組織に直接責任を負うのではなく、プロバイダに対して責任を負うからです。プロバイダは、サービスの提供とパフォーマンスについて、最終的にクライアント組織に対して責任を負うことになります12。選択肢C「クライアント組織とプロバイダの両方がプロバイダのサプライヤーに対して責任を負う」は誤りです。プロバイダのサプライヤーに対する責任は、セキュリティとコンプライアンスに関するタスクと義務がプロバイダとクライアント組織の間でどのように分担されるかを定義する共有責任モデルによって決まるからです。共有責任モデルは、プロバイダが提供するクラウドサービスの種類とレベルによって異なる場合があります12。参考資料：クラウドコンピューティング：監査の課題 - ISACA1 クラウドコンピューティング：監査の考慮事項 - ISACA2 2023年トップ16のクラウドコンピューティング企業とサービスプロバイダー - Datamation

クラウドサービスプロバイダーの契約および規約に関しては、特に明記されていない限り、プロバイダーはクラウド顧客に対してのみ責任を負います。つまり、プロバイダーは、サービスの直接の支払者であるクラウド顧客と合意されたサービスを提供し、サービスレベル契約（SLA）を遵守する契約上の義務を負います。契約に明示的に規定されていない限り、プロバイダーはクラウド顧客のクライアント、エンドユーザー、規制当局など、その他の当事者に対して責任を負いません。クラウド顧客は、プロバイダーのサービスが自社のコンプライアンスおよびセキュリティ要件、ならびにステークホルダーの要件を満たしていることを確認する責任を負います12。
参照：
クラウドにおける責任の共有 - Microsoft Azure
クラウドセキュリティの責任共有モデル - NCSC