この記事の要点
- 運用を「見張る」「受けて切り分ける」「直して再発を防ぐ」の3つの層に分けると、外に頼む範囲と、自社に残す判断が整理できます。
- 設定や運用を委託しても、最終的な責任は利用する会社に残るため、委託先を監督できる形で契約し、報告を受け取ります。
- 選ぶときは、対応の範囲と時間、手順書の扱い、権限の渡し方、報告、やめるときの引き継ぎを、同じ物差しで比べます。
クラウドの運用を外部に頼むときは、最初に「何を頼むか」を決めてから会社を比べます。運用の仕事を「見張る」「受けて切り分ける」「直して再発を防ぐ」の3つの層に分けると、外に頼む範囲と自社に残す判断が整理でき、会社ごとの違いも見えやすくなります。この記事では、経営の立場から、頼む範囲の決め方と、選ぶときの確かめ方を説明します。
最初に決めるのは、何を頼むかです
会社を探す前に、自社の運用のうち、どこを外に頼むかを決めます。頼む範囲があいまいなまま見積もりを取ると、会社ごとに前提が違い、金額だけを比べることになりがちです。
クラウドの運用を頼める会社は、マネージドサービスの事業者（MSP）と呼ばれることがあります。ただし、引き受ける範囲は会社によってさまざまで、監視の通知を転送するだけの会社もあれば、設計の見直しまで受け持つ会社もあります。マネージドサービスで頼めることと頼めないことは、マネージドサービス（MSP）とは。頼めること、頼めないことで説明しています。
運用を3つの層に分けて考える
クラウドの運用は、役割の違いから次の3つの層に分けられます。層ごとに、時間帯、必要な技能、判断の重さが違うため、同じ会社にまとめて頼むか、層ごとに分けるかを考えやすくなります。
- 見張る：監視の仕組みが、サーバーやサービスの状態を24時間365日自動で確かめ、異常があれば知らせます。人が画面を見続けるのではなく、仕組みに任せる層です。何を見張り、どの状態で知らせるかの設計と設定が仕事の中心になります
- 受けて切り分ける：知らせを受けて、決められた手順書に沿って一次対応をします。再起動などの決まった対応で戻るものは戻し、戻らないものは担当へ引き継ぎます。夜間・休日もあるため、交代で受ける体制が必要です
- 直して再発を防ぐ：原因を調べ、設定や構成を直し、同じことが起きないように手当てをします。月ごとの報告や改善の提案もこの層です。システムのことを深く知っている人が受け持ちます
3つの層に分けると、「夜間の受付だけを専門の会社に頼み、原因の調査と改善は、システムを作った会社が受け持つ」といった組み合わせも選べます。どの層を頼むにしても、2つ目の層が使う手順書は、3つ目の層が作り、直していくものです。手順書の持ち主を決めておくと、層の間の受け渡しが途切れにくくなります。
監視で何を見るかはクラウドの監視は何を見るのか。死活・リソース・アプリ、一次対応の流れは障害が起きたときの一次対応。連絡の流れと手順書で説明しています。
頼んでも、責任は自社に残ります
運用を外部に頼んでも、クラウドの使い方の最終的な責任は利用する会社に残ります。総務省の「クラウドの設定ミス対策ガイドブック」は、設定の作業をシステム会社などに委託してミスが起きた場合でも、最終的な責任は利用者が負うため、委託先を監督することを挙げています。
出典：クラウドの設定ミス対策ガイドブック（総務省、2024年4月）
監督といっても、作業の一つひとつを見る必要はありません。毎月の報告を受け取り、変更の記録や対応の記録を確かめられる形にしておくことが出発点です。委託先の管理の考え方は、委託先・クラウドサービスの管理をどう確かめるかで説明しています。
選ぶときに、何を比べればよいですか
候補の会社は、同じ物差しで比べます。次の表の項目を、提案書や打ち合わせで確かめておくと、金額の差の理由が見えてきます。
| 比べる項目 | 確かめたいこと |
|---|---|
| 対応の範囲 | 3つの層のどこまでを受け持つか。対象のアカウントやサービスはどこまでか |
| 対応の時間 | 夜間・休日の受付の有無、知らせから対応を始めるまでの目安 |
| 手順書 | 誰が作り、誰が直し、どこに置くか。自社が中身を見られるか |
| 権限の渡し方 | 作業に要る分だけの権限か。誰がいつ操作したかの記録が残るか |
| 報告 | 月ごとの報告の中身（起きたこと・対応・改善の提案） |
| やめるとき | 手順書・構成図・設定の記録を引き渡してもらえるか |
権限は、最小権限の原則に沿って、作業に要る分だけを渡します。管理者の権限を外部の会社にすべて預けてしまうと、やめるときに困ることがあります。
セキュリティの監視を含めて頼む場合は、経済産業省の「情報セキュリティサービス基準」も手がかりになります。この基準は、情報セキュリティのサービスを、情報セキュリティ監査、脆弱性診断、ペネトレーションテスト、デジタルフォレンジック、セキュリティ監視・運用、機器検証の6つに分けて、品質の要件を定めています。基準に適合すると確認されたサービスは、IPA の「情報セキュリティサービス基準適合サービスリスト」に載ります。
出典：情報セキュリティサービス基準 第4.1版（経済産業省、2025年3月31日）、情報セキュリティサービス基準（経済産業省）
決めたことは、契約に書きます
比べて決めた範囲や時間は、契約や運用の取り決めに書いておきます。口頭の説明だけでは、障害のときに「そこまでは頼まれていない」という食い違いが起きやすくなるためです。契約で決めておく項目は、クラウド運用の契約で決めておくこと（範囲・対応時間・責任）で説明しています。契約の条項の個別の判断は、弁護士などの専門家にご確認ください。
社内に運用の担当が少ない会社では、外部に頼む範囲を広くとることが多くなります。その場合の考え方は、インフラの担当が1人しかいない会社のクラウド運用にまとめています。
当社のご支援
アメリア・テクノロジーのクラウドの構築と運用管理では、監視の設計と設定、原因の調査と再発の防止、月ごとの報告を当社が受け持ちます。夜間・休日の知らせの受付と一次対応は、当社が作る手順書にもとづいて外部の専門の会社が行い、その後の調査と恒久の対策は当社が営業時間内に引き継ぐ形です。運用管理の月額のメニューは料金の目安に載せています。まずは無料のクラウドの自己診断で、いまの運用の状態をおおまかに確かめることもできます。
- クラウド
- 運用管理
- 外部委託
- MSP
この記事に出てくる用語
このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。