情報セキュリティマネジメント 2018年 春期 午前（科目A） 問45

PaaSの特徴【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「何を利用者ができるか」を確認する。アプリだけを使うのか、自分で開発・配置できるのか、基盤を直接操作できるかを見分ける。
2. 各クラウドモデルの役割を整理する。主な3つは次のとおり。
   • IaaS（Infrastructure as a Service：仮想サーバ等を提供）→ 利用者がOSまで操作できる。
   • PaaS（Platform as a Service）→ OSやDB、ランタイムなどの組合せを使ってアプリを配置・実行できる。
   • SaaS（Software as a Service：完成したアプリを提供）→ 利用者はアプリを使うのみで開発はできない。
3. 選択肢の記述が上のどれに該当するかを当てはめる。アプリの「利用のみ」ならSaaS、基盤の「変更・拡張」まで書いてあればIaaS寄り、組み合わせて使えるのはPaaS。
4. 当てはめて一致する選択肢を選ぶ。

選択肢別の誤答解説

• ア: 利用者が「OSやストレージに対する設定や変更をして利用することができるが、クラウド基盤を変更・拡張できない」とある。これはIaaSの説明に近いです。IaaSでは仮想サーバやストレージを利用者が設定できる場合が多く、基盤の上位まで操作可能な点が特徴です。よってPaaSの説明としては不適切です。
• イ: 利用者がOSやデータベース、言語処理系（ランタイム）を組み合わせて使える、と述べています。これがPaaSの本質であり正答です。利用者はアプリ開発と実行に必要な「プラットフォーム」を選んで使えますが、下位の物理基盤の管理は事業者側が担います。
• ウ: 「サービスとして提供されるアプリケーションを利用するが、自らアプリを開発することはできない」とあります。これはSaaS（例：メールや会計ソフトをそのまま使う形態）の説明で、PaaSとは異なります。
• エ: 「ネットワークを介して端末のデスクトップ環境を利用する」とあります。これはDaaS（Desktop as a Service：デスクトップをサービスで提供する形態）やVDI（仮想デスクトップ）に該当し、PaaSの定義ではありません。

よくある誤解

• PaaSは「ただのサーバ提供」と思う誤解：PaaSはOSやランタイム、DBなどのミドル層をあらかじめ整え、開発者がアプリに集中できることが目的です。単なる仮想サーバ提供（IaaS）とは管理範囲が違います。
• 「PaaSではアプリのソース変更もできない」と考える誤解：PaaSはむしろ開発・デプロイ（配置）を前提にしたサービスです。アプリを自分で作り、配置することが可能です（SaaSとは逆）。
• 「PaaSはすべての構成要素が固定」と考える誤解：PaaSでも選べる言語やDB、拡張機能はサービスによって幅があります。自由度はIaaSほど高くはないが、選択肢は存在します。

補足コラム

• 実務でのイメージ：社内システムを短期間で作りたい場合、PaaSを使うと「OSやミドルウェアのインストール・保守」を気にせずに済みます。開発チームはコードを書くことに専念できます。運用ではパッチ適用やOSの監視は提供事業者が担う場合が多く、社内の担当者はアプリやデータの管理に注力します。
• 代表的なPaaS例：Heroku、Google App Engine、Azure App Service、AWS Elastic Beanstalk（これらはPaaSの機能を提供する有名サービスです）。
• セキュリティ上の注意点：PaaSでは事業者が下層（インフラやOS）のセキュリティ管理を行いますが、アプリケーションの脆弱性対策やアクセス制御、データ暗号化などは利用者側の責任となる点を覚えておきましょう（責任共有モデル）。

FAQ