情報処理安全確保支援士 2022年 春期 午前2 問12

PaaSの責務範囲【午前2解説】

正解の理由

解法ステップ

1. 表の各項番を「アプリ層／プラットフォーム層／インフラ層」に分類する。
2. 各クラウド分類（IaaS、PaaS、SaaS、HaaS）の責務分担の典型を復習する。
   • IaaS：物理ハードウェア、仮想化基盤、ネットワーク、ストレージをプロバイダ提供。OS以降は利用者管理。
   • PaaS：OS・ミドルウェア・ランタイム・DBMS等のプラットフォームをプロバイダが管理。利用者はアプリとデータを開発・管理。
   • SaaS：アプリケーション全体をプロバイダが提供・管理。利用者は利用と一部設定・データの管理のみ。
   • HaaS：物理ハードウェア提供・運用に特化する概念（選択肢として一般的ではない）。
3. 項番ごとに「これはプロバイダが担当すべきか、利用者が担当すべきか」を当てはめ、各サービスモデルと比較して一致するものを選ぶ。
4. 一致するのがPaaSであれば選択。

選択肢別の誤答解説

• ア: HaaS
  HaaS（Hardware as a Service）は物理ハードウェアの提供・リース型の概念に近く、設問のようにDBMSやOSの管理（項番3・4）をプロバイダが包括的に担うという典型的なPaaSの責務分担とは合致しません。項番1・2のアプリ側の開発責務が利用者側にある点は合うが、プラットフォーム全体の管理までは想定されません。
• イ: IaaS
  IaaSではプロバイダがハードウェアや仮想化基盤、ネットワーク等を提供しますが、OS・DBMS・ミドルウェアのパッチ適用や権限設定は通常利用者側の責務です。設問では項番3（DBMS）、項番4（OS）をプロバイダが負うとされているため、IaaSの責務分担とは矛盾します。したがって不正解です。
• ウ: PaaS
  PaaSは、プロバイダがOSやミドルウェア、ランタイム、場合によってはDBMSまで含めたプラットフォームを管理し、利用者はアプリケーションの開発・セキュリティ（セキュアコーディング、脆弱性診断）や利用時のアクセス制御を担います。設問の「利用者が項番1・2を、プロバイダが項番3〜5を負う」という分担はPaaSに該当します。よって該当選択肢はウです。
• エ: SaaS
  SaaSではプロバイダがアプリケーション層まで含めて提供・管理するのが一般的であるため、項番1・2のようなアプリケーション内部の開発や脆弱性診断、アプリ側のアクセス制御を利用者が主に担当するという前提とは合いません。SaaSでは利用者の責務は限定的で、設問の分担とは異なります。

よくある誤解

• 「IaaSはOSも含めて管理する」と誤認する
  IaaSは物理資源と仮想化層の提供が中心で、OSやDBMS、アプリケーションの管理は基本的に利用者側の責務です。これを混同すると項番3・4の解釈で誤答しやすいです。
• 「PaaSでもアプリの全責務をプロバイダが肩代わりする」と考える
  PaaSはプラットフォームを提供しますが、アプリケーションのソースコード作成やセキュアプログラミング、アプリ内のアクセス制御などは利用者側の責務です。アプリの設計や脆弱性対応を放棄してよいわけではありません。
• 「SaaSなら利用者は何も管理しなくてよい」との誤解
  SaaSでもユーザ側に残る責務（ユーザ管理、アクセス権の設定、データの取扱いポリシー遵守など）は存在します。サービスレベルやデータの保護に関する責務分担は契約で明確にしておく必要があります。

補足コラム

• IaaS：Provider → ハードウェア、仮想化、ネットワーク、ストレージ。Customer → OS、ミドルウェア、DB、アプリ、データ、アプリ側セキュリティ。
• PaaS：Provider → ハードウェア、仮想化、OS、ミドルウェア、ランタイム、（場合により）DBMS。Customer → アプリケーション、データ、アプリ固有のセキュリティ設定。
• SaaS：Provider → ハードウェア～アプリケーション全体。Customer → 利用者管理、データ入力・所有、利用時の設定・一部アクセス管理。

FAQ