情報セキュリティマネジメント 2016年 春期 午前（科目A） 問47

SaaS（クラウド型サービス）【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワードを探す：「インターネット経由」「サービスプロバイダのシステムに接続」「アプリケーションの機能をオンラインで利用」。
2. それらが一致する選択肢を確認する。
3. 「提供形態（どのように提供されるか）」を問う語句なので、サービスの提供モデル（SaaS、PaaS、IaaS 等）を優先して検討する。
4. 選択肢の中でアプリケーションをオンラインでそのまま使うモデルは SaaS であると判断する。

選択肢別の誤答解説

• ア: ERP（Enterprise Resource Planning：基幹業務を統合するパッケージ・システム）
  • ERP は業務パッケージの種類であり、提供形態（オンプレミス/クラウド/SaaS）とは別軸です。クラウドで提供される ERP もありますが、ERP 自体は「何をするか（業務統合）」を示す言葉で、この問題が問う「提供形態」には直接当たりません。
• イ: SaaS（Software as a Service：ソフトウェアをサービスとして提供）
  • 正解。アプリケーションをサービスとしてインターネット経由で利用するモデルそのものです。イが該当します。
• ウ: SCM（Supply Chain Management：供給連鎖管理）
  • SCM は物流や調達などの「業務領域・機能」を指す言葉で、これも提供形態ではありません。SCM を実現するシステムが SaaS で提供されることはありますが、用語自体はサービスの提供方法ではありません。
• エ: XBRL（eXtensible Business Reporting Language：企業財務情報などを交換するためのXMLベースの標準形式）
  • XBRL はデータフォーマット（報告書の表現方法）であり、ソフトウェア提供形態とは無関係です。インターネット経由で利用することを示す用語ではありません。

よくある誤解

1. 「SaaS = 特定の業務パッケージ（ERPなど）」と混同する
   • 実務ではERPがSaaSとして提供されるケースも多く、用語を取り違えやすい点です。用語の軸（機能領域 vs 提供形態）を分けて考えましょう。
2. 「SaaSならセキュリティ対策は全部業者任せ」と考える誤解
   • 多くの場合、SaaSは共有責任モデルになっており、業者がインフラやアプリ本体を守る一方で、利用者側もアカウント管理・アクセス制御・データ分類などを行う必要があります。

補足コラム

• SaaS のメリットと注意点（職場での運用イメージ）
  • メリット：短期間で利用開始できる、初期投資が少ない、保守は提供者側が行うため社内運用負担が減る。
  • 注意点：データの保存場所（国やリージョン）、サービス停止時の業務継続（バックアップ・出口戦略）、アクセス管理（ID管理、二要素認証）などは自社で設計・運用する必要があります。契約時には SLA（Service Level Agreement：サービス品質保証）やデータ処理に関する条項を確認してください。
• SaaS と PaaS / IaaS の違い（簡単まとめ）
  • IaaS（Infrastructure as a Service：仮想サーバやストレージを提供）→ インフラを貸す。利用者がOSやミドルウェアを管理。
  • PaaS（Platform as a Service：アプリ実行環境を提供）→ 開発・実行基盤を貸す。アプリの構築は利用者。
  • SaaS → 完成したアプリをそのまま利用する。管理負担が最も小さい。
• セキュリティ面の実務対応例（総務・人事でもできること）
  • 利用者のアカウント発行・権限管理のルール化、機密データを扱う場合の利用可否判定、ログ取得や監査証跡の確認、委託先のセキュリティ評価（質問票や監査結果の確認）など。

FAQ