情報処理安全確保支援士 2013年 春期 午前2 問09

責任共有モデル【午前2解説】

正解の理由

解法ステップ

1. NISTの各サービスモデルで「誰が何を管理するか」を確認する（下記参照）。
2. 「ゲストOSに係る設定作業及びセキュリティパッチ管理」がどの層に該当するかを判定する（OS管理はOSレイヤの責任）。
3. 各モデルでそのレイヤを利用者が管理できるかを照合する。
4. 各列の可否を並べ替え、選択肢と一致する行を選ぶ。

選択肢別の誤答解説

• ア（IaaS=実施可、PaaS=実施可、SaaS=実施不可）
  誤り。PaaSではプラットフォーム（OS／ランタイム等）を事業者が管理するため、ゲストOSの設定やパッチは利用者側で通常実施できません。
• イ（IaaS=実施可、PaaS=実施不可、SaaS=実施不可）
  正解。IaaSは仮想マシンのOSを利用者が管理でき、PaaS/SaaSは事業者側がOSレイヤを管理するため不可となります。
• ウ（IaaS=実施不可、PaaS=実施可、SaaS=実施不可）
  誤り。IaaSで利用者がOS管理不可という説明は逆です。PaaSがOS管理を利用者に許すという点もNIST定義と反します。
• エ（IaaS=実施不可、PaaS=実施不可、SaaS=実施可）
  誤り。SaaSでは利用者はアプリケーション利用者であり、ゲストOSの設定やパッチ管理は行えません。

よくある誤解

• PaaS = 「アプリを載せるだけで何でもできる」と誤解し、OS設定も可能と思い込む。実際はランタイムやOSの管理は事業者側が担います。
• IaaSとオンプレミスを混同し、仮想化レイヤ（ハイパーバイザ）までアクセスがあると誤認する。利用者はゲストOSまで管理できるが、ハイパーバイザや物理ホストは事業者側管理です。
• 「マネージド」や「自動パッチ適用」オプションがあると常に利用者権限が無いと考える誤り。契約や提供オプションにより事業者が代行する場合があるが、基本の責任範囲はモデルで決まります。

補足コラム

• 標準的な責任分界（簡易図）
  • IaaS: 事業者→物理設備・ハイパーバイザ、利用者→ゲストOS・ミドルウェア・アプリケーション
  • PaaS: 事業者→OS・ランタイム・ミドルウェア、利用者→アプリケーション・データ
  • SaaS: 事業者→OS〜アプリの全層、利用者→データ入力・設定（アプリ内）
• 実運用では「マネージドOSパッチ」などの有料サービスで事業者がOSパッチを代行するケースもあります。このような追加サービスは契約で明確に確認してください。
• コンテナやFaaS（関数型サービス）などの進化により「ゲストOS概念」が薄れる場合がありますが、責任分界の考え方自体は維持されます（どのレイヤを自分が管理するかを明確に）。

FAQ