クラウドコンピューティングのセキュリティパッチの管理と適用の範囲｜情報処理安全確保支援士 平成29年 春期午前Ⅱ試験 問8
出典：平成29年春期 午前Ⅱ 問8
分野：セキュリティ ／ 情報セキュリティ管理
NISTの定義によるクラウドコンピューティングのサービスモデルにおいて，パブリッククラウドサービスの利用企業のシステム管理者が，仮想サーバのゲストOSに対するセキュリティパッチの管理と適用を実施可か実施不可かの組合せのうち，適切なものはどれか。
| IaaS | PaaS | SaaS | |
| ア | 実行可 | 実行可 | 実行不可 |
| イ | 実行可 | 実行不可 | 実行不可 |
| ウ | 実行不可 | 実行可 | 実行不可 |
| エ | 実行不可 | 実行不可 | 実行可 |
- ア：
- イ：
- ウ：
- エ：
TSUNAGARU-ADVICE
まず押さえたいこと
クラウドのサービスモデルでは、利用者が管理できる範囲が異なります。IaaSでは、仮想サーバを利用者が管理するため、ゲストOSのセキュリティパッチ管理と適用を実行できます。一方、PaaSやSaaSでは、OSや実行基盤はクラウド事業者側が管理するため、利用企業のシステム管理者はゲストOSへのパッチ適用を直接実行できません。
迷ったときの判断軸
IaaSは「仮想サーバを借りる」イメージなので、OS以上は利用者側の管理範囲になります。PaaSは「アプリケーション実行基盤を借りる」イメージで、OS管理は提供者側です。SaaSは「完成したアプリケーションを使う」イメージなので、OSだけでなくアプリケーション基盤の多くも提供者側が管理します。判断するときは、利用者がOSを直接管理するモデルかに注目しましょう。
科目Bにつなげるために
科目Bでは、クラウドの責任分界・パッチ管理・脆弱性対応・ログ管理・アクセス制御などが問われることがあります。クラウド利用時は、すべてをクラウド事業者任せにできるわけではなく、サービスモデルごとに責任範囲が変わるため、IaaS・PaaS・SaaSで誰が何を管理するかを整理しておきましょう。
IaaSでは、クラウド事業者が物理サーバ・ストレージ・ネットワーク・仮想化基盤などを提供し、利用企業は仮想サーバ上のゲストOSやミドルウェア、アプリケーションを管理します。
そのため、IaaSでは利用企業のシステム管理者がゲストOSのセキュリティパッチを管理・適用できます。一方、PaaSではゲストOSをクラウド事業者が管理し、SaaSではOSだけでなくアプリケーションもクラウド事業者が管理するため、利用企業によるゲストOSへのパッチ適用はできません。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：IaaS 実行可、PaaS 実行可、SaaS 実行不可
⇒PaaSでは、ゲストOSはクラウド事業者の管理範囲です。利用企業は主にアプリケーションやデータを管理するため、ゲストOSへのセキュリティパッチ適用は実行できません。
ウ：IaaS 実行不可、PaaS 実行可、SaaS 実行不可
⇒IaaSでは利用企業がゲストOSを管理するため、パッチ適用は実行できます。一方、PaaSではゲストOSをクラウド事業者が管理するため、組合せが逆です。
エ：IaaS 実行不可、PaaS 実行不可、SaaS 実行可
⇒SaaSでは、利用企業は完成したアプリケーションサービスを利用します。ゲストOSを直接管理しないため、セキュリティパッチを適用することはできません。