平成27年度春期 システム監査技術者 午前Ⅰ 問14

管理できる範囲から責任の所在を考える

クラウドの責任分担は、サービスの提供形態によって境界が変わります。問われている対象について、利用者と事業者のどちらがその構成要素を設定・変更できる立場にあるかという一つの観点に絞って、記述や条件を照らし合わせてみましょう。

この問題で問われていること

この問題で意識したいのは、各サービスモデルにおいて、どの層の構成要素が利用者側の管理下にあり、どこから先が事業者側の管理下にあるのかという境界の位置です。境界を自分で整理してから内容を検討しましょう。

視点

クラウドサービスは、設備や基盤からその上で動く仕組みや扱う情報まで、複数の層が積み重なった構成として捉えられます。サービスモデルの違いは、この積み重ねのどこで利用者と事業者の管理が切り替わるかの違いとして整理できます。まず自分の知識で各モデルの切り替わる位置を書き出し、そのうえで問われている対象がどの層に当たるかを当てはめて考えると、判断の筋道が立てやすくなります。

確認ポイント

• 問われている対象が、クラウドを構成するどの層に位置するものかを確認したか
• そのサービスモデルでは、その層を利用者と事業者のどちらが設定・変更できる立場にあるかを自分の言葉で説明できるか
• モデル名だけで判断せず、管理の境界という同じ観点で各記述を一貫して検討したか

正解

ウ

解説

正解はウのPaaSです。PaaSでは、事業者がハードウェア、OS、DBMSなどの実行基盤を提供・管理します。利用企業は、その上に配置する自社アプリケーションのデータ保護とセキュアな開発（項番1・2）だけを担います。

理由

PaaSでは、事業者がハードウェア、OS、DBMSなどのミドルウェアを含むアプリケーション実行環境を提供・管理します。利用企業はその環境の上で自社のアプリケーションを開発・配置します。このため、アプリケーションのデータのアクセス制御や暗号化（項番1）、セキュアプログラミングや脆弱性診断（項番2）は利用企業の責務です。DBMS（項番3）、OS（項番4）、ハードウェア（項番5）の対策は事業者の責務になり、設問の条件と一致します。

比較

IaaSでは、利用企業がOSから上の層を自分で管理します。そのため、項番3・4の責務も利用企業が負います。SaaSでは事業者がアプリケーションまで提供するため、利用企業はプログラム開発を行いません。したがって、項番2の責務を負いません。NIST SP 800-145が定めるサービスモデルはSaaS・PaaS・IaaSの3つで、HaaSはこの定義に含まれません。

選択肢ア

これは不正解だよ。HaaSはハードウェアを提供するサービスの呼び名として使われることがあるけれど、NISTの定義が示すサービスモデルはSaaS・PaaS・IaaSの3つで、HaaSは含まれないよ。仮にハードウェア基盤だけを借りる形と考えても、利用企業がOSやDBMSの管理（項番3・4）まで担うことになるから、設問の条件に合わないね。

選択肢イ

これは不正解だよ。IaaSは仮想マシン、ストレージ、ネットワークなどの基盤を提供するモデルで、利用企業がその上のOS、ミドルウェア、アプリケーションを自分で管理するんだ。だから項番1・2に加えて、DBMS（項番3）やOS（項番4）の修正プログラム適用と権限設定も利用企業の責務になるよ。「項番3〜5を負わない」という条件に合わないね。

選択肢ウ（正解）

これは正解だよ。PaaSでは、事業者がハードウェア、OS、DBMSなどを含む実行基盤を提供・管理して、利用企業はその上で自社アプリケーションを開発・配置するんだ。だから、データのアクセス制御・暗号化（項番1）とセキュアプログラミング・脆弱性診断（項番2）は利用企業が担い、DBMS、OS、ハードウェア（項番3〜5）は事業者が担うよ。設問の条件とぴったり合うね。

選択肢エ

これは不正解だよ。SaaSでは事業者がアプリケーションまで提供するから、利用企業は自分でプログラムを開発しないんだ。だから項番2の「アプリケーションに対するセキュアプログラミングと脆弱性診断」は、利用企業の責務にならないよ。利用企業に残るのは、利用者アカウントの管理など限られた範囲だけ。「項番1と2の責務を負う」という条件に合わないね。

学習のポイント

NISTのサービスモデル（SaaS・PaaS・IaaS）ごとに、事業者と利用企業の責任がどの層で分かれるかを押さえましょう。