平成30年度 秋期 情報処理安全確保支援士試験 午前II 問10

【解説】

JIS X 9401:2016では、クラウドサービスを以下のように区分しています。

• SaaS（Software as a Service）: サービス利用者が、クラウドサービス提供者のアプリケーションを利用する形態。
• PaaS（Platform as a Service）: サービス利用者が、クラウドサービス提供者によってサポートされるプログラミング言語や実行環境を使って、独自のアプリケーションを開発・実行・管理する形態。
• IaaS（Infrastructure as a Service）: サービス利用者が、クラウドサービス提供者の演算リソース、ストレージリソース、ネットワークリソースを供給・利用する形態。

HaaS（Hardware as a Service）は、JIS X 9401:2016では定義されていません。

各サービスモデルにおける責任分担は以下の通りです。

• SaaS: アプリケーションからインフラまで、クラウドサービスプロバイダが責任を持ちます。
• PaaS: アプリケーションの開発・管理はクラウドサービスカスタマが行い、基盤となるプラットフォームはクラウドサービスプロバイダが管理します。
• IaaS: インフラ（ハードウェア、ネットワークなど）はクラウドサービスプロバイダが提供し、その上で動作するOS、ミドルウェア、アプリケーションの管理はクラウドサービスカスタマが行います。

問題の表における責務の分担は以下の通りです。

• 項番1: アプリケーションに対して、データのアクセス制御と暗号化の設定を行う。
• 項番2: アプリケーションに対して、セキュアプログラミングと脆弱性診断を行う。
• 項番3: DBMSに対して、修正プログラム適用と権限設定を行う。
• 項番4: OSに対して、修正プログラム適用と権限設定を行う。
• 項番5: ハードウェアに対して、アクセス制御と物理セキュリティ確保を行う。

この責務分担に該当するクラウドサービス区分はPaaSです。PaaSでは、クラウドサービスカスタマがアプリケーションの開発・管理を担当し（項番1と2）、クラウドサービスプロバイダが基盤となるプラットフォーム（DBMS、OS、ハードウェア）の管理を担当します（項番3～5）。