基本情報技術者 2016年 春期 午前（科目A） 問41

SaaS利用時の責任範囲【午前解説】

正解の理由

解法ステップ

1. 問題文での「SaaS利用時に企業が行う/行わない作業」を明確にする（構築・開発 vs 運用・設定）。
2. 各選択肢が「構築／開発に関する作業」か「運用／管理に関する作業」かを分類する。
3. SaaSの責任分界（提供者が行うもの／利用者が行うもの）と照らし合わせて矛盾する選択肢を除外する。
4. 構築や開発固有の作業が不要と述べる選択肢を正解候補とし、運用や管理の責任放棄を主張する選択肢を誤りと判断する。

選択肢別の誤答解説

• ア: 「障害時の業務手順やバックアップの検討が不要」→誤り。SaaSでも障害対応手順（事業継続計画）やデータ保護（バックアップ方針・復旧要件）は利用者が確認・整備する必要があります。
• イ: 「アクセス管理を行わずに済み、パスワードポリシーの検討が不要」→誤り。認証・認可、パスワードポリシーや手続きは利用側の運用責任範囲であり、SSOやMFAの導入、初期化手続きのフロー整備が必要です。
• ウ: 「システムの構築を行わずに済み、アプリ開発に必要なセキュリティ要件定義やログ保存容量設計が不要」→正解。利用企業が自らアプリを構築しないため、開発工程に固有の設計作業は基本的に不要である点が適切。
• エ: 「セキュリティ管理を行わずに済み、規定策定や管理担当者設置が不要」→誤り。外部サービス利用でも情報セキュリティ方針、委託管理・監査、責任者の設置などガバナンスは必要です。

よくある誤解

1. SaaSだから全てのセキュリティ管理が不要になる：提供者が構築していても、利用者は設定・アクセス制御・データ管理の責任を負います。
2. パスワードやアクセス管理が不要になる：SaaSでもアカウント管理、権限設定、認証強化（SSO/MFA）などは利用企業の運用課題です。
3. 情報セキュリティ規定や担当者を置かなくてよい：外部サービス利用でもガバナンスや委託管理の体制は不可欠です。

補足コラム

• 提供者責任の主な例：アプリケーション本体の開発・パッチ適用、基盤インフラの構築・冗長化、物理的な設備保護。
• 利用者責任の主な例：アカウントとアクセス管理、アプリ設定（データ保持設定やログ設定の選択）、データ分類と暗号化、SLAや法令対応の確認、委託先監査。
  実務では、契約時にログ保持期間やエクスポート可否、バックアップ頻度、インシデント通知の手順などを明確に定め、実際の設定と監査で担保することが重要です。

FAQ