クラウドサービスカスタマの責務｜情報処理安全確保支援士 平成30年 秋期午前Ⅱ試験 問10
出典：平成30年秋期 午前Ⅱ 問10
分野：セキュリティ ／ 情報セキュリティ対策
JIS X 9401:2016（情報技術－クラウドコンピューティング－概要及び用語）の定義によるクラウドサービス区分の一つであり，クラウドサービスカスタマの責任者が表中の項番1と2の責務を負い，クラウドサービスプロバイダが項番3～5の責務を負うものはどれか。
| 項番 | 責務 |
| 1 | アプリケーションに対して，データのアクセス制御と暗号化の設定を行なう。 |
| 2 | アプリケーションに対して，セキュアプログラミングの脆弱性診断を行なう。 |
| 3 | DBMSに対して，修正プログラム適用と権限設定を行なう。 |
| 4 | OSに対して，修正プログラム適用と権限設定を行なう。 |
| 5 | ハードウェアに対して，修正プログラム適用と権限設定を行なう。 |
- ア：HaaS
- イ：IaaS
- ウ：PaaS
- エ：SaaS
TSUNAGARU-ADVICE
まず押さえたいこと
この責任分界は、PaaSに該当します。クラウドサービスカスタマは、アプリケーションのアクセス制御・暗号化設定・セキュアプログラミングや脆弱性診断など、自分で開発・配置するアプリケーション部分に責任をもちます。一方、DBMS、OS、ハードウェアなどの基盤部分はクラウドサービスプロバイダ側の責任になります。
迷ったときの判断軸
IaaSでは、OSやミドルウェアの設定・更新も利用者側の責任になりやすく、SaaSではアプリケーションまで提供者側が担う範囲が広くなります。HaaSはIaaSと近い意味で使われることがありますが、JIS X 9401:2016のサービスモデルとしては定義されていません。PaaSは、アプリケーションは利用者、実行基盤は提供者と切り分けて判断しましょう。
科目Bにつなげるために
科目Bでは、クラウド利用時の責任分界・脆弱性対応・アクセス制御・ログ管理・暗号化設定・委託先管理などが問われることがあります。PaaSでは、基盤を提供者に任せられる一方で、アプリケーションの作り込みやデータ保護の設定は利用者側の責任として残る点を押さえましょう。
クラウドサービスの代表的な形態には、SaaS・PaaS・IaaSがあります。
違いは、「利用者がどこまで自分で管理するか」です。上にいくほど完成品に近く、下にいくほど自由度は高いですが、利用者が管理する範囲も広くなります。
SaaSは、メール・グループウェア・会計ソフトなどのように、すでに用意されたアプリケーションを利用する形態です。利用者は、ソフトウェアを開発したりサーバを管理したりする必要は少なく、基本的にはサービスを使うだけです。
PaaSは、アプリケーションを動かすための土台を利用する形態です。OS・ミドルウェア・実行環境などはクラウド事業者が用意し、利用者は自分で作ったアプリケーションをその上に配置して動かします。
IaaSは、仮想サーバ・ストレージ・ネットワークなどのインフラ部分を利用する形態です。自由度は高い一方で、OSやミドルウェア、アプリケーションなどは利用者側で構築・管理する範囲が広くなります。
HaaSはHardware as a Serviceの略で、IaaSに近い意味で使われることがあります。ただし、JIS X 9401:2016では、クラウドサービスモデルとしてHaaSは定義されていません。
つまり、SaaSは「使うだけ」、PaaSは「作ったアプリを動かす」、IaaSは「基盤から使う」と整理すると分かりやすいです。
したがって、ウが適切です。
❌他選択肢が誤りの理由ア：HaaS
⇒HaaSは、サーバやストレージなどのハードウェア資源をサービスとして提供する形態です。一般的なクラウドサービス区分としてはIaaSに近く、OSやDBMSの管理までプロバイダが担当する本問の責任分界とは異なります。
イ：IaaS
⇒IaaSでは、プロバイダが主にハードウェアや仮想化基盤を管理し、OS、DBMS、アプリケーションはカスタマが管理します。本問ではOSとDBMSもプロバイダの責務なので、IaaSには該当しません。
エ：SaaS
⇒SaaSでは、プロバイダがアプリケーションを含むサービス全体を提供・管理します。カスタマがアプリケーションのセキュアプログラミングや脆弱性診断を担当する本問の責任分界とは異なります。