クラウドサービスの責任共有モデル

クラウドサービスの責任共有モデルは、クラウドサービスで、事業者と利用者がセキュリティの責任をどう分担するかを示す考え方です。

■ 試験で押さえるポイント

• IaaSでは、事業者が設備やハードウェアを、利用者がOS、アプリケーション、データを管理します。

• SaaSほど事業者の範囲が広がりますが、データの管理やアクセス権の設定は利用者の責任です。

• どこまでが自社の責任かを、契約やサービスの仕様で確認します。

■ 過去問での着眼点

「クラウドだから全部お任せ」は誤りです。データとアクセス権の管理は、どのサービスでも利用者の責任です。

例: IaaSの仮想サーバのOSに修正プログラムを適用するのは、利用者の責任です。

■ サービスごとの担当と契約の確認

• IaaSではゲストOSやアプリ、PaaSでは主にアプリやその設定、SaaSでは利用者管理・共有設定・データの扱いなど、利用者が操作する範囲が変わる。実際のサービスと契約で担当を確認する。

• 事業者が基盤を更新しても、利用者のアプリの脆弱性、過剰な権限、公開設定、盗まれた認証情報まですべて解消するわけではない。ログの取得、通知、証拠保全、復旧の連絡経路を決める。

• バックアップの取得、保存期間、復元依頼、暗号鍵、サービス終了時のデータ返却・消去も担当を明確にする。第三者認証の取得だけで自組織の設定と運用の安全性を保証しない。