情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問41

サービス提供者の義務【情報セキュリティマネジメント解説】

正解の理由

• SLAやサービスカタログは「何を」「どのように」「どのレベルで」提供するかを定めるもので、サービスの仕様や達成度を決める権限と管理能力を持つのは提供者側であるため。
• 顧客や利用者は要求や合意の当事者になり得ますが、文書を作成・更新し、管理責任を持つのは提供者です。

解法ステップ

1. 問題文から「SLA」「サービスカタログ」「SMS」が管理・維持されるべきものだと把握する。
2. 各用語を簡単に確認する：
   • SLA：サービスの品質や対応時間などの合意事項を文書化したもの。
   • サービスカタログ：サービスの一覧・説明書。
   • SMS：これらを計画・運用・管理する仕組み。
3. 「誰がそれを文書化・維持するか」を考える。文書化・維持＝サービスの設計・品質管理を行う主体が行うべき業務。
4. 選択肢を照らし合わせて、サービスを提供する主体であるウを選ぶ。

選択肢別の誤答解説

• ア: 経営者
  経営者（会社の意思決定者）は方針や予算、リスク受容度を決めますが、SLAやサービスカタログの具体的な作成・更新・運用は通常業務の責任範囲であり、直接の作業責任者ではありません。経営者は承認や監督の立場です。
• イ: 顧客
  顧客（サービスを購入・契約する側）は要求や合意の当事者であり、SLAの合意相手になります。しかし、SLAの文書を継続して維持・管理するのはサービスを提供する側です。顧客は要求変更を申し出たり評価したりします。
• ウ: サービス提供者
  正解。サービスの定義、品質管理、監視、報告などを実行する主体であり、SLAとサービスカタログの作成・維持が職責です。
• エ: 利用者
  利用者（実際にサービスを使う人）はサービスの利用者経験や要求をフィードバックしますが、公式文書の管理責任は持ちません。利用者は運用面での協力（例：手順遵守）を求められます。

よくある誤解

1. 「SLAは顧客が作る」と思う誤解
   顧客が要求を提示することはありますが、正式なSLA文書の作成と定期的な更新・運用管理は提供者側の責任です。顧客は合意と評価の立場です。
2. 「経営者が作るべき」と考える誤解
   経営者は方針や最終承認を行いますが、SLAの詳細設計やサービスカタログの維持は運用担当（提供者側部署）の仕事です。経営は監督・資源付与を行います。
3. 「利用者＝顧客」と混同するミス
   顧客は契約当事者、利用者は日常の利用者で異なる場合があります。役割の違いを区別してください。

補足コラム

• 実務での運用イメージ：社内でITサービスを提供する部署（例：情報システム部）がサービスカタログを作成し、各サービスごとにSLA案を作って関係部署や経営の承認を得ます。SLAは契約や業務委託の根拠にもなるため、バージョン管理やレビュー周期（例：年1回）を決め、変更履歴を残すことが重要です。
• 標準との関係：ISO/IEC 20000（ITサービス管理の国際標準）は、サービスマネジメントシステムでSLAやサービスカタログの管理を求めます。組織が標準に準拠する場合、サービス提供者がこれらの整備・維持を行うことが明確になります。

FAQ