説明
アクセス制御は、組織がSaaSプロバイダーに移行する際の保証要件です。アクセス制御によって、承認されたユーザーのみがクラウドサービスとデータにアクセスできるようになるためです。また、アクセス制御は、クラウドリソースの機密性、整合性、可用性の保護にも役立ちます。アクセス制御は、クラウドコントロールマトリックス（CCM）のドメイン「IAM-01：アイデンティティおよびアクセス管理のポリシーと手順」の一部であり、「組織は、ユーザーのアイデンティティとクラウドサービスおよびデータへのアクセスを管理するためのポリシーと手順を備えるべきである」と規定されています。1 参考文献：CCAK学習ガイド、第4章「CCMを用いたクラウドの脅威分析方法論」、751ページ

SOC2認証などの従来のクラウドコンプライアンス保証アプローチには、組織のコンプライアンス体制の特定時点のスナップショットを提供するという大きな制約があります。つまり、これらのアプローチは特定の日付または期間における組織のセキュリティおよびコンプライアンス管理の状態のみを反映しており、現在の状態や将来の状態を反映していない可能性があります。クラウド環境は動的かつ絶えず変化しており、クラウド環境に影響を与える脅威やリスクも同様に変化しています。そのため、従来のクラウドコンプライアンス保証アプローチに頼っていては、組織のクラウドサービスとデータが適切に保護され、関連する要件や標準に準拠していることを、十分かつタイムリーに保証できない可能性があります。12 この制約を克服するために、継続的な監視、監査、レポート作成などの継続的なクラウドコンプライアンス保証アプローチを採用している組織もあります。これらのアプローチにより、組織は自動化されたツールとプロセスを使用して、クラウド環境のセキュリティとコンプライアンスの状態をほぼリアルタイムで収集、分析、レポートできます。継続的なクラウドコンプライアンス保証アプローチは、組織がクラウドセキュリティとコンプライアンスの姿勢に影響を与える可能性のある変更、問題、またはインシデントを特定して対応し、利害関係者、顧客、規制当局との高いレベルの信頼と透明性を維持するのに役立ちます。34 参考資料：SOC 2とは？ SOC 2レポートの完全ガイド | CSA1; クラウドセキュリティ評価と承認に関するガイダンス - ITSP.50.105 - カナダサイバーセキュリティセンター2; 継続的なコンプライアンス：
クラウドセキュリティの未来 | CloudCheckr3; 継続的なコンプライアンス: クラウドセキュリティコンプライアンスを自動化する方法4

説明
クラウドサービスプロバイダーの活動において、サブスクリプション所有者アカウントの削除は、必ずクライアントの承認を得る必要があります。サブスクリプション所有者アカウントは、クラウドサブスクリプション内のリソースとサービスの所有権と制御権を保持しているため、非常に重要です。これらのアカウントを削除すると、アクセスや制御権の喪失、潜在的なデータ損失など、重大な影響が生じる可能性があります。したがって、クラウドサービスプロバイダーは、透明性を確保し、信頼を維持し、意図しない結果を回避するために、このようなアクションを実行する前にクライアントから明示的な承認を得ることが不可欠です。
参考文献:
Microsoft Trust Center、クラウド サービス デューデリジェンス チェックリスト 1。
Google Cloud、クラウド サービス プロバイダーとは何ですか?2.
パートナー センター、CSP 契約、価格表、オファー3。
Microsoft Azure、クラウド サービス プロバイダーの選択方法4.
FCA、FG16/5「クラウド」やその他のサードパーティITサービスにアウトソーシングする企業向けガイダンス

顧客管理インターフェースとは、顧客がクラウドサービスにアクセスし、プロビジョニング、監視、課金などの管理を行うためのWebポータルまたはアプリケーションです。これらのインターフェースはパブリックインターネットに公開されており、フィッシング、マルウェア、サービス拒否攻撃、認証情報の盗難などの攻撃に対して脆弱である可能性があります。攻撃者が顧客管理インターフェースを侵害した場合、顧客のクラウドリソース、データ、構成にアクセスして操作し、顧客のコンピューティングおよびデータの侵害につながる可能性があります。これは、データ侵害、サービス中断、不正なトランザクション、その他の悪意のあるアクティビティにつながる可能性があります。
参考文献:
* クラウドコンピューティング - セキュリティ上の利点とリスク | PPT - SlideShare1、スライド10
* クラウドセキュリティリスク：ENISAによるトップ8 - CloudTweaks2、管理インターフェース侵害のセクション
* クラウド監査知識証明書 (CCAK) 学習ガイド、セクション 2.3.2.1:
https://www.isaca.org/-/media/info/ccak/ccak-study-guide.pdf

ISO/IEC 15027017は、クラウドサービスの提供と利用に適用される情報セキュリティ管理に関するガイドラインを提供する、クラウド特有のセキュリティ規格です。情報セキュリティ管理の一般規格であるISO/IEC 27002をベースとしていますが、クラウドサービスに特化した追加の管理策と実装ガイダンスも含まれています。ISO/IEC 15027017は、クラウドサービスプロバイダとクラウドサービス利用者の両方が、クラウド環境のセキュリティと機密性を強化し、関連する規制要件と業界標準に準拠するのに役立つように設計されています。12 参考文献: ISO/IEC
27017:2015 - 情報技術 - セキュリティ技術 - クラウドサービス向け ISO/IEC 27002 に基づく情報セキュリティ管理の実践規範1; クラウドセキュリティ標準: ISO、PCI、GDPR、そしてクラウド - Exabeam3; ISO/IEC 27017 - Wikipedia2