情報処理安全確保支援士 2018年 秋期 午前2 問10

PaaSの責任範囲【午前2解説】

正解の理由

解法ステップ

1. 表の各項番がどの層を指すか確認する
   • 1・2：アプリケーション層（アプリのアクセス制御、暗号化、セキュア開発）
   • 3：DBMS（ミドルウェア）
   • 4：OS（プラットフォーム）
   • 5：ハードウェア（物理基盤）
2. 各クラウドサービスモデルの責任範囲を思い出す
   • SaaS：プロバイダがアプリ～基盤までほぼ全て管理（利用者は利用・設定中心）
   • PaaS：プロバイダがプラットフォーム（OS/DBMS等）と基盤を管理、利用者はアプリとデータを管理
   • IaaS：プロバイダがハードウェア/仮想化基盤を管理、利用者がOS以降を管理
3. 表の責務配分（利用者：1・2、プロバイダ：3〜5）がどのモデルに合致するか対応付ける
   • 上記対応から PaaS（ウ）が該当する

選択肢別の誤答解説

• ア：HaaS
  • 一般的な試験文脈では HaaS は「ハードウェア貸与・保守」を意味する特殊用語扱いで、今回のようなプラットフォーム／アプリの責任分界を示す標準的区分ではないため不適切です。
• イ：IaaS
  • IaaS では確かにプロバイダがハードウェア（項番5）を管理しますが、OS（項番4）やDBMS（項番3）は利用者側が管理する点が特徴です。本問では項番3〜5をプロバイダが負うという条件なので一致しません。
• ウ：PaaS
  • プロバイダがOSやDBMSなどのプラットフォーム層と基盤を管理し、利用者がアプリケーション層を管理するという分界が表の配分と一致します（正答）。
• エ：SaaS
  • SaaS はプロバイダがアプリケーションまで含めて管理するため、利用者が項番1・2のようにアプリのセキュリティ設計やセキュア開発を負うという条件と合いません（利用者の責務が小さい）。

よくある誤解

• PaaS と IaaS を混同して、OSやDBMSの責任を取り違える。ポイントは「OS/ミドルウェアを誰が管理するか」を基準にすることです。
• データやアクセス管理は「利用者側の責任」と考えがちだが、SaaSでも利用者がアプリ内のアクセス設定や自分のデータ保護（暗号化の採用方針など）を一定程度負う場合がある点を忘れないこと。
• HaaS を馴染みのある IaaS と同じ意味で扱う誤り。試験文脈では HaaS の語は用語定義をよく確認する必要があります。

補足コラム

• 実務での目安（代表的サービスの対応例）
  • IaaS：Amazon EC2、仮想サーバー。プロバイダは物理基盤とハイパーバイザを提供し、OSやアプリは顧客管理。
  • PaaS：Google App Engine、Heroku、Elastic Beanstalk（PaaS 機能含む）。プラットフォームやミドルウェアをプロバイダが管理し、開発者はアプリとそのセキュリティ実装に専念。
  • SaaS：Salesforce、Office 365。アプリケーションそのものをサービスとして提供。
• 「責任共有モデル」はクラウド利用時の基本概念です。どの層をプロバイダが担うかを明確にすることで、運用やセキュリティの責任範囲を定義できます。

FAQ