情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問05

SaaSの責任範囲【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「SaaSとは何か」をまず確認：提供者がソフトウェアを運営し、利用者はサービスを使う形態であることを押さえる。
2. 各選択肢が「利用者が実務として行う必要があるか」を問い直す。
   • 「運用」や「アクセス管理」「規程の策定」は利用者側で残ることが多いか？
   • 「ソフトウェアの開発」や「基盤の設計」は提供者側で行われるか？
3. SaaSの責任分界（誰が何をするか）に照らし合わせ、不要となる業務を選ぶ。
4. 選択肢を消去：運用や管理が不要とするものは現実には誤りなので除外。最終的に「構築・開発に関する設計作業が不要」とする ウ が一致する。

選択肢別の誤答解説

• ア：誤り
  「障害時の業務手順やバックアップの検討が不要」というのは誤りです。SaaSでもサービス停止やデータ消失が業務に影響を与えます。利用企業は業務継続計画（BCP：Business Continuity Plan）や、提供者の復旧時間・データ復元方針（SLA：Service Level Agreement）を確認・準備する必要があります。
• イ：誤り
  「アクセス管理が不要」というのは誤りです。ユーザーIDの管理や権限設定、パスワードポリシー（初期化手続きや複雑性要件）は、利用者側で運用・監督することが一般的です。多くの場合、SaaSは提供者が機能を用意しますが、利用組織が設定や運用ルールを決めます（例：誰に管理者権限を与えるか）。
• ウ：適切（正解）
  SaaS利用では、利用企業が自らアプリケーションを開発したり、システムログの保存容量を一から設計することは通常不要です。これらは提供者の業務領域だからです。ただし「不要＝検討不要」ではありません。ログの保持期間やログの提供可否は契約で定め、要件を伝える必要があります。
• エ：誤り
  「情報セキュリティ管理を行わずに済む」というのは誤りです。利用企業は情報セキュリティ管理規程の策定や管理担当者の設置を行い、委託先（SaaS事業者）の管理や契約・監査を行う責任があります。外部委託だからといって統制や監督が不要になるわけではありません。

よくある誤解

1. 「SaaSなら何も考えなくてよい」
   → 実務では、サービスの選定、契約（SLA・データ取扱い）、アクセス権設定、障害時対応の手順策定など、利用者側の管理業務は残ります。
2. 「ベンダーがすべて責任を持つ」
   → 提供者が技術的な部分を担う分、利用者は業務要件や法令順守（個人情報保護など）を満たす責任を負います。共有責任モデルを意識してください。
3. 「ログ設計が不要ならログ確認も不要」
   → ログの保存期間や提供方法は契約で確認し、必要なら提供者にログの保全・輸出を求めることが必要です。

補足コラム

• 委託管理（契約書）で明記する項目例：データ所有権、データ消去方法、ログの保存期間・提供可否、インシデント通知の時間、復旧目標（RTO：復旧時間目標）と復旧点（RPO：復旧時点目標）。
• 運用イメージ：総務や業務担当が「誰が使うか」「どの権限が必要か」を決め、情報システム担当（または外部ベンダー）がアカウント発行と監査ログの定期確認を行う。インシデントが起きたら、SaaS事業者と協力して原因究明・通知を行う。
• 監査の実務：定期的に事業者のセキュリティ評価（証明書や監査報告書の確認）を行い、リスクが高い場合は代替手段や追加の技術対策を検討する。

FAQ