データセンター選びにおける認証とは？各認証や基準の詳細を徹底解説

企業がデータセンターを選定する際、第三者機関による認証や評価基準は信頼性やセキュリティレベルを客観的に判断するための重要な指標となります。

本記事では、データセンター選定時に確認すべき主要な認証や評価基準について解説します。

データセンター選定時に認証を確認するポイント

データセンターの認証や評価基準は数多くありますが、各認証は評価対象や目的が異なるため、自社のシステム要件や業種、取り扱う情報の特性に応じて確認する必要があります。

顧客情報や機密情報を扱う企業であれば、情報セキュリティマネジメント体制を評価するISO 27001が重要な判断材料となります。

クラウドサービスの利用が前提であれば、クラウド環境における管理策を定めたISO/IEC 27017の取得状況も確認するとよいでしょう。また、クレジットカード情報を扱うシステムを運用する場合は、PCI DSSへの対応が求められます。

基幹システムや24時間365日の稼働が求められる重要システムでは、認証だけでなく、データセンターファシリティスタンダードのティア評価や電源・空調設備の冗長性など、施設そのものの信頼性も重要な判断基準となります。

認証取得の有無だけでなく、災害対策を確認することも大切です。認証は一定の基準を満たしていることを示す有効な指標ですが、自社の要件に適合しているかを総合的に評価することが重要です。以下に、認証選定の考え方を整理した早見表を掲載します。

データセンター選定におけるファシリティ基準

データセンターの信頼性を評価する基準として、日本データセンター協会(JDCC)が策定した「データセンターファシリティスタンダード」があります。

評価内容は建物(地震や火災などへの対策)、設備(電気・空調・通信の冗長構成)、運用・セキュリティ(入退室管理や監視体制)などがあります。ティア1からティア4までの4段階で評価され、ティア3では複数系統による運用継続が可能な設計、ティア4ではフォールトトレラント(耐障害性)を備えた完全冗長構成が求められます。

自社システムの重要度や可用性要件に応じて、適切なティアレベルを持つ施設を選ぶことが重要です。ミッションクリティカルなシステムでは、ティア3相当以上を求めるケースが多く見られます。なお、ティア評価は設備設計の指標であり、SLA等のサービス保証そのものではない点に注意が必要です。

以下の記事で「データセンターファシリティスタンダード」をより詳しく解説しています。ぜひ併せてご確認ください。

関連記事：データセンターのファシリティスタンダードとは？ティアの評価基準を解説

データセンター選定におけるセキュリティ基準・認証

データセンターのセキュリティレベルを客観的に判断するため、様々な基準や認証が採用されています。以下では、データセンター選定における主要なセキュリティ基準・認証について解説します。

なお、解説に出てくるISOやIECは国際規格を策定する機関です。

・ISO（国際標準化機構）
各国の国家標準化機関が加盟しており、製品やサービス、システムなどに関する国際規格を策定し、品質・安全・互換性の確保と国際取引の円滑化を支えています。

・IEC（国際電気標準会議）
電気・電子および関連技術に関する国際標準を策定している機関です。製品やシステムの安全性や品質、互換性を国際的に確保することを目的としています。

ISO 27001(ISMS)

ISO 27001はISMS（情報セキュリティマネジメントシステム）に関する国際規格です。
ISMSとは、組織が情報資産を守るための方針策定から運用改善までの一連のサイクルを定めた枠組みのことです。

ISO 27001では、組織が保有する情報資産の機密性、完全性、可用性を維持する仕組みが確立されているかを評価します。認証を取得している事業者は、第三者機関による審査を受けており、情報セキュリティマネジメント体制が構築されていることを示しています。業種を問わず、顧客情報や機密情報を扱う企業にとって基本的な規格です。

ISMS（ISO/IEC 27001）は情報セキュリティの運用・管理体制を評価する認証でありますが、ファシリティスタンダード（ティア評価）は障害発生時や災害発生時、メンテナンス時などでのデータセンター設備・建物の信頼性を評価する基準です。

ISMSは「運用面・管理面」、ティア評価は「設備面・建物」を評価するものであり、データセンター選定時には両方の観点を確認することが重要です。

ISO/IEC 27017

ISO/IEC 27017はISO 27001を基盤としつつ、クラウド環境特有のセキュリティリスクに対応する追加管理策を定めています。

クラウドサービス事業者と利用者の双方に対する管理策が定められており、責任分界点の明確化、データの保管場所の透明性、仮想環境のセキュリティ、マルチテナント環境でのデータ分離など、クラウド特有の課題に対応しています。

PCI DSS

PCI DSSはクレジットカード情報を取り扱う企業が遵守すべき国際的なセキュリティ基準です。

複数の国際カードブランドが共同で策定した基準で、カード情報の保護に特化した要件が定められています。対象は、EC事業者、決済代行業者、カード加盟店など、決済情報を扱う企業で、非準拠の場合、取引制限や罰金といったペナルティが科される可能性があります。

なお、データセンターを利用してカード関連のシステムを運用する場合は、データセンター事業者側の責任範囲と、利用者側の責任範囲を明確にしておくことが重要です。

データセンター選定におけるその他の基準・認証

運用品質や個人情報保護、プロセス成熟度に関する認証も、データセンター選定時の重要な判断材料となります。これらの認証は、事業者の運用体制や管理の成熟度を評価する指標として有効です。以下では、代表的な認証について解説します。

ISO/IEC 20000

ISO/IEC 20000はITサービスマネジメントシステム(ITSMS)を評価する国際規格であり、選定時はSLAの運用(報告頻度・逸脱時の扱い)や障害・変更のプロセスが開示されるかを確認します。長期的な利用やミッションクリティカルなシステム運用を前提とする企業において、運用品質を重視する場合の指標です。

IT部門がサービスを提供する際の品質や効率性を評価し、継続的なサービス改善の仕組みが確立されているか判断します。認証を取得している事業者は、サービスレベル管理が適切に行われ、顧客との合意に基づいたサービス提供が実施されていることを示しています。
インシデント管理や問題管理のプロセスが確立され、障害発生時の迅速な対応と再発防止策が講じられているかが判断可能です。変更管理やリリース管理のプロセスが整備されており、システム変更時のリスクが適切にコントロールされているかも重要です。

プライバシーマーク(Pマーク)

プライバシーマークは個人情報保護マネジメントシステム(PMS)を評価する日本国内の認証制度であり、選定時は従業員教育の実施状況と個人情報のライフサイクル管理を確認します。医療、金融、人材サービスなど、個人情報保護法の厳格な遵守が求められる業種で重要な指標です。

一般財団法人日本情報経済社会推進協会(JIPDEC)が運営しています。事業者が認証を取得している場合、個人情報の取り扱いに関する社内規程が整備され、従業員への教育が適切に実施されているかを確認できます。

なお、プライバシーマークは事業者の個人情報保護体制に対する認証であり、データセンター設備そのものの認証ではありません。

能力成熟度モデル統合(CMMI)

CMMIは組織のプロセス改善を評価するフレームワークであり、選定時はインシデント対応や変更管理などの運用プロセスが文書化・標準化されているかを確認します。運用プロセスの標準化や改善文化を重視する企業、長期的なパートナーシップを前提とする場合に有効な指標です。

もともとソフトウェア開発プロセスの成熟度を評価するために開発されましたが、現在ではサービス提供やプロジェクト管理など幅広い領域で活用されています。プロセスの成熟度をレベル1(初期)からレベル5(最適化)までの5段階で評価するものです。レベルが高いほど、組織のプロセスが標準化され、継続的な改善活動が実施されていることを示します。

CMMIは組織のプロセス成熟度に対する評価であり、データセンター設備そのものの評価ではありません。

データセンター選定におけるその他のポイント

データセンターを評価する上で、基準や認証と併せて、災害対策も重要な選定要素となります。地震、水害、停電といった個別の災害リスクに対して、十分な対策が取られているか確認しましょう。

また、自社拠点から距離のあるデータセンターを利用する、DR拠点を設けバックアップデータを保管する、などBCP対策に取り組むことで、広域災害時のリスクを低減できます。

これらの選定ポイントについては、以下の関連記事で詳しく解説していますので、併せてご確認ください。

関連記事：データセンターの立地が重要な理由｜データセンターを選ぶ際のポイントも解説

まとめ

本記事では、データセンター選定時に確認すべき主要な認証や評価基準について解説しました。

ファシリティ基準としてのJDCCファシリティスタンダード(ティア評価)、セキュリティ基準としてのISO 27001、ISO/IEC 27017、PCI DSS、その他の基準としてISO/IEC 20000、個人情報保護のプライバシーマーク、プロセス成熟度のCMMIなど、各認証は異なる観点からデータセンターの信頼性を評価します。

データセンター選定では、自社のシステム要件や業種特有のコンプライアンス要求に応じて、必要な認証を持つ事業者を選ぶことが重要です。複数の認証を取得している事業者は、多角的な品質管理体制が整っていると判断できます。

AGSのさいたまiDCは、高い信頼性とセキュリティレベルを証明する各種認証を取得しています。詳細な認証取得状況については、こちらで確認できます。

さいたまiDCの詳細ページとあわせてご確認ください。