クラウドサービスの利用にあたり、安全対策基準をどこまで充足すればよいのか教えてほしい。例えばクラウドの利用形態でSaaSの場合でもすべての基準を充足する必要があるのか。

一律的に定められるものではなく、クラウドの利用形態（SaaS、IaaS,PaaS）やシステムの特性、また各金融機関等で資金面や人材面（スキル・経験）は異なるため、自社の状況に応じて対応していくことが必要になります。 なお、チェックの際のポイントは２点あります。 ①当該クラウドサービスを利用することで具体的にどんなリスクが生じるのかを洗い出し把握する。 ②そのリスクに対しコストや負担を勘案しつつ何をどこまで対応するべきかを検討し、それでも残るリスク(残存リスク)にはどのようなものがあるのかを整理して、経営層に説明して了承を得る。 クラウドであっても何かあれば自社のサービスが停止するとお客さまから訴追を受ける可能性があるため、本来はオンプレと同様の項目でチェックするのが理想ではありますが、現実的ではありません。 チェックできない項目がリスクになるため、各社が自社の評価基準をもとにみずから決める必要があります。 ＜ガイドライン記載箇所＞ Ⅱ.フレームワーク　3.(1) Ⅷ.監査基準　1.(1)