アプリケーションを開発・実行するためのプラットフォームを、Web経由のサービスとして提供する。流行を取り入れた低価格の衣料品を、短いサイクルで販売するブランドや業態。今回、cybozu.comのために、自社でクラウド基盤を構築したそうですね。青野社長は「サイボウズはクラウド企業になる」と言い切っていて、結構インパクトがありました。「よくぞそこまで!」という感じですが、自社でクラウド基盤を構築した理由はなんだったのでしょう。大きな理由は「企業向けにセキュリティをばっちりにしないと、受け入れてもらえないよね」ということでした。今回、特にセキュリティにはこだわりました。クラウドの利用を考える企業が最も気にするのはセキュリティです。企業は気にしますよね。日本国内にデータセンターを置かないと導入してもらえないというケース、本当にあるんです。ベタにいくと、例えば「ほかのユーザーが相乗りしていない、専用のハードウェアじゃないと......」という話があったり。それらに応えられないと、日本の多くの企業に使ってもらうのは難しい。これはもう、自社でやるしかないんですね。内部のネットワーク構成をどうするかとか、機材はどれを使うか、考えました。そのとき重視したのは、汎用品を使って安く仕上げようということです。サーバー、ストレージ、ネットワーク、それぞれ良い機材は世の中にあるのですが、大抵お高い。そこで、例えばストレージは専用品ではなく、サーバーを買ってきて、それをストレージとして仕立て上げて使っています。ネットワークも、ロードバランシング▼は汎用サーバーを使えば良いじゃないかと。いえいえ、初めてのことばかりで、何のノウハウもなかったんです。お話を聞いてると、はてなとやっていることがものすごく一緒だな、と(笑)。ロードバランシングも専用サーバーでなく汎用サーバーを使ってソフトウェアでやったりとか、アプリケーションサーバーも商用ディストリビューションを使わないとか。ちなみにはてなでは、Debian▼とCentOS▼を使い分けてます。こちらはUbuntu▼ですね。はてなの場合は、何もない、それこそ1台のサーバーでやっていたところから段々進化していった結果ですけど、サイボウズさんは上から降りてきて、いま結果的に同じようなことをしているんですね。複数の機器で並列処理をする際、処理の分散を最適化すること。はてなCTOの田中慎司も著者として参加している、2008年に技術評論社から出版された書籍。キャッチコピーは「止められないサービスのために今、何ができるのか」。GNU/Linux」のこと。Linuxとの互換を目指したフリーのLinuxディストリビューション。GNU/Linuxを元にしたLinuxディストリビューション。こだわったと言われているセキュリティの話も、ぜひお聞かせください。企業向けのクラウドで求められるセキュリティには、どんな質がどの程度必要なのかを洗い出しました。その中でやっぱり、機能要求と非機能要求▼の両方が出てくるんですね。機能要求的な部分は、お客様へのヒアリングなどを通じて定めました。非機能要求的な部分は、経済産業省から出ているガイドラインを参考にしつつ、SLOを策定しました。Objective」の略で、日本語では「サービスレベル目標」ですね。「サービス稼働率99.9%を目標とします」とか、「解約の翌日から30日後にデータを消去します」とか、社内で30から40項目くらい目標値を定めています。そのうち15項目▼をシンプルにまとめて公開しています。ISMS認証の取得も必要だなと分かって、頑張って取得しました。大変だったんじゃないかと想像するのですが......。そもそも「ISMSって何だ?」というところから始まって、どういう体制を整えていくか、どういう文書を作って更新していくか、自分たちなりにまとめて、社内の運用体制に落とし込んでいきました。ISMSを簡単に説明すると......。System」の略で、日本語だと「情報セキュリティマネジメントシステム」。組織としてどうセキュリティ対策を行うか、という仕組みのことですね。「オペレーターのセキュリティ」とか。簡単な例で言うと、「A社だけど、パスワード忘れちゃったから変えてくれない?」とかって電話がかかってきて、言われた通りにしちゃまずいでしょう。実はA社の人じゃないかもしれないわけです。やって、人がセキュアに対応できるように定めたものがISMSです。ありがとうございます(笑)。実は、オペレーターの部分が一番難しいんです。データセンターの入退室記録をください、と言われたりするんです。マルチテナントだと、「ログを出して」と言われても、それを出すと他社さんのも出ちゃうから、出せないですよね。それだと信用してもらうのは難しいので、ISMSを取得して、第三者機関で認定してもらっていますよ、というのが重要になります。システムやソフトウェアが達成すべき機能以外の要求を記述したもの。セキュリティなどが該当する。公開していないそれ以外の項目は、まだ公開していないサービスに関する項目などであるという。サブドメイン方式、というのもセキュリティに関係しているんですよね。「hoge.cybozu.com」というように、企業ごとに異なるサブドメインを設定していただく方式です。1つのブラウザで複数のアカウントに別々にログインできたり、JavaScriptを好きに書けたりと、良いことが多いんですよね。その上、ログイン画面にIPアドレス制限やBASIC認証をかけられる。サブドメインにしない理由がないですね。サブドメインといえば大西さん▼ですよね。この場合は、サブドメインごとに別の世界があるから安心だ、ってことですよね。サブドメイン方式だろうと。ドメインを分けることで、Cookieが自然に使い分けられるし、IP制限やBASIC認証などのアクセス制限を個々の企業の都合に合わせて自由に設定できるわけですね。ログイン画面さえ、社外の人は見られないようにできるんですね。