情報処理安全確保支援士 2013年 春期 午前2 問09

責任共有モデル【午前2解説】

正解の理由

解法ステップ

1. NIST の各サービスモデルで「誰が何を管理するか」を確認する（下記参照）。
2. 「ゲスト OS に係る設定作業及びセキュリティパッチ管理」がどの層に該当するかを判定する（OS 管理は OS レイヤの責任）。
3. 各モデルでそのレイヤを利用者が管理できるかを照合する。
4. 各列の可否を並べ替え、選択肢と一致する行を選ぶ。

選択肢別の誤答解説

• ア（IaaS=実施可、PaaS=実施可、SaaS=実施不可）
  誤り。PaaS ではプラットフォーム（OS／ランタイム等）を事業者が管理するため、ゲスト OS の設定やパッチは利用者側で通常実施できません。
• イ（IaaS=実施可、PaaS=実施不可、SaaS=実施不可）
  正解。IaaS は仮想マシンの OS を利用者が管理でき、PaaS/SaaS は事業者側が OS レイヤを管理するため不可となります。
• ウ（IaaS=実施不可、PaaS=実施可、SaaS=実施不可）
  誤り。IaaS で利用者が OS 管理不可という説明は逆です。PaaS が OS 管理を利用者に許すという点も NIST 定義と反します。
• エ（IaaS=実施不可、PaaS=実施不可、SaaS=実施可）
  誤り。SaaS では利用者はアプリケーション利用者であり、ゲスト OS の設定やパッチ管理は行えません。

よくある誤解

• PaaS = 「アプリを載せるだけで何でもできる」と誤解し、OS 設定も可能と思い込む。実際はランタイムや OS の管理は事業者側が担います。
• IaaS とオンプレミスを混同し、仮想化レイヤ（ハイパーバイザ）までアクセスがあると誤認する。利用者はゲスト OS まで管理できるが、ハイパーバイザや物理ホストは事業者側管理です。
• 「マネージド」や「自動パッチ適用」オプションがあると常に利用者権限が無いと考える誤り。契約や提供オプションにより事業者が代行する場合があるが、基本の責任範囲はモデルで決まります。

補足コラム

• 標準的な責任分界（簡易図）
  • IaaS: 事業者→物理設備・ハイパーバイザ、利用者→ゲスト OS・ミドルウェア・アプリケーション
  • PaaS: 事業者→OS・ランタイム・ミドルウェア、利用者→アプリケーション・データ
  • SaaS: 事業者→OS〜アプリの全層、利用者→データ入力・設定（アプリ内）
• 実運用では「マネージド OS パッチ」などの有料サービスで事業者が OS パッチを代行するケースもあります。このような追加サービスは契約で明確に確認してください。
• コンテナや FaaS（関数型サービス）などの進化により「ゲスト OS 概念」が薄れる場合がありますが、責任分界の考え方自体は維持されます（どのレイヤを自分が管理するかを明確に）。

FAQ