平成28年度春期 システム監査技術者 午前Ⅰ 問15

管理範囲を整理する視点を一つ

クラウドの説明を読むときは、利用者と提供者のどちらが、どの層や作業に責任を持つ前提なのかという分担の境界に注目し、名称の印象だけで判断しないように丁寧に整理します。

この問題で問われていること

各選択肢を比べる際は、サービスの呼び名や便利さではなく、利用者側に残る管理上の責任がどこまでかという一点を軸に、説明全体の分担を読み取ることを意識して集中します。

視点

サービスを理解するときは、機能の多さよりも、誰がどの範囲を管理し、責任の境界がどこに置かれているかという分担の構造を整理します。

確認ポイント

• 利用者と提供者の責任の境目に関する記述へ注目する
• 管理対象として扱われる範囲の説明が一貫しているか確認する
• 固有名詞や印象ではなく責任分担の表現を根拠に読む

正解

ウ

解説

IaaSでは仮想サーバとそのゲストOSを利用企業が管理できるため、ゲストOSに関するセキュリティ設定を実施できます。PaaSやSaaSではOSや基盤の管理をサービス提供者が担い、ハイパーバイザも利用企業の管理対象ではありません。

理由

IaaSは仮想マシンなどの計算資源を提供するモデルであり、利用企業は仮想サーバのゲストOSを管理します。そのため、ゲストOSに係るセキュリティ設定を実施できます。PaaSではOSや実行基盤、SaaSではアプリケーションを含む基盤の多くを提供者が管理します。

比較

ハイパーバイザは仮想化基盤に属するため、通常はクラウドサービス提供者の管理範囲です。一方、利用者ID管理やアプリケーションログの取得・分析は、サービスの機能や契約によって利用企業が実施できる場合があり、IaaSだけに限定される作業とはいえません。

選択肢ア

これは不正解だよ。アプリケーションの利用者ID管理は、利用者の認証や権限を扱うアプリケーション層の作業です。IaaSに限らず、PaaSやSaaSでも提供機能や契約上の権限に応じて利用企業が管理できるため、IaaSでのみ実施できる作業には該当しません。

選択肢イ

これは不正解だよ。アプリケーションログの取得と分析は、アプリケーションの運用監視に関する作業です。ログ出力や分析機能が提供されていれば、PaaSやSaaSでも利用企業が実施できる場合があります。したがって、IaaSだけで可能な管理作業とはいえません。

選択肢ウ（正解）

これは正解だよ。IaaSでは利用企業が仮想サーバを利用し、そのゲストOSを管理する責任を負います。そのため、ゲストOSに対するパッチ適用やアクセス制御などのセキュリティ設定を、利用企業の管理作業として実施できます。

選択肢エ

これは不正解だよ。ハイパバイザは複数の仮想サーバを動作させる仮想化基盤であり、クラウドサービス提供者が管理する層です。IaaSであっても利用企業が通常設定するのはゲストOS側であり、ハイパバイザのセキュリティ設定は実施できません。

学習のポイント

クラウドサービスモデルごとの責任分界と、管理対象となる技術層の違いを理解する。