クラウドサービス（SaaS/IaaS）の安全利用と責任分界

クラウドの責任分界では、サービスの種類と契約から、提供者と利用者の担当範囲を確認します。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

サービスの種類と契約から、提供者と利用者の担当範囲を確認します。比較表と事例問題で確認した後は、正解以外の選択肢が条件に合わない理由も説明してみてください。

1. 責任共有モデル（Shared Responsibility Model）の厳密対比

クラウド利用において最も危険な誤解は「クラウドだからセキュリティは全て事業者に丸投げで安全」という思い込みです。利用形態によって利用企業の責任範囲は大きく異なります。

クラウドアキテクチャ	クラウド事業者が責任を持つ領域	利用企業（自社）が責任を持つ領域	代表的なサービス例
SaaS（Software as a Service）	物理施設、サーバ、OS、アプリケーション、ネットワークインフラ	自社のデータ、ユーザーID・パスワード管理、アクセス権限、クライアント端末の安全	Microsoft 365, Google Workspace, Salesforce, 顧客管理SaaS
PaaS（Platform as a Service）	物理施設、サーバ、OS、ミドルウェア、データベースエンジン	自社が開発・配置したプログラム、データ、設定、アクセス制御	AWS Elastic Beanstalk, Google App Engine, Heroku
IaaS（Infrastructure as a Service）	物理施設、データセンタ設備、ハードウェア、仮想化基盤（ハイパーバイザ）	OSのパッチ適用、ネットワーク設定（セキュリティグループ）、ミドルウェア、アプリ、データ	AWS EC2, Azure VM, Google Compute Engine

2. SaaS利用における企業の3大セキュリティ統制策

責任分界はIaaS・PaaS・SaaSという分類だけで決めず、利用するサービスと契約で確認する。
利用者のアカウント、データの共有範囲、権限や設定は、SaaSでも利用者側の確認が必要。
多要素認証と接続条件の制御は役割が異なる。IPアドレス制限だけで本人の確認はできない。

3. 科目B形式オリジナル実戦シナリオ演習

演習1：SaaS顧客管理システムの安全運用設計

〔背景・企業概要〕A社は従業員100名の食品製造・販売企業である。営業部では顧客情報の管理にX社のクラウドSaaSである「X顧客管理サービス」を導入した。

〔A社のセキュリティ要件〕要件1：営業担当者が社外（外出先や在宅）からアクセスする際、盗聴やパスワードリスト攻撃による不正侵入を確実に阻止したい。要件2：退職した社員が、退職後に私物のスマートフォンから顧客情報に不正アクセスすることを防止したい。

〔設問〕A社が講ずべきセキュリティ設定・運用の組合せとして、最も適切なものはどれか。

選択肢	要件1への対策	要件2への対策
ア	ログインパスワードの定期変更（月1回）を全営業員に強制する	退職時に営業フロアの鍵をシリンダーごと交換する
イ	多要素認証（スマホアプリによるワンタイムパスワード）を必須化し、通信を常時暗号化（HTTPS）する	人事部門の退職者通知と連携し、退職日当日にXサービスの該当ユーザーアカウントを即時無効化（停止）する
ウ	パスワード文字数を数字4桁に固定し、入力ミスを防ぐ	退職者に「アクセスしない」旨の誓約書を書かせるだけでアカウントはそのまま残す
エ	社外からのアクセスを全面禁止し、営業活動時の顧客確認を一切行わせない	営業部全員で1つの共通管理者IDを共有して使い回す

【正解】：イ
根拠：多要素認証を使うと、漏れたパスワードだけでのログインを防ぎやすくなります。フィッシングやセッション窃取などへの対策は別途必要で、MFAですべての攻撃を防ぐわけではありません。
確認する点：クラウド事業者任せにして利用者の認証や権限設定を省略する対応は不適切です。

演習2：責任共有モデルに基づく障害・インシデント責任判定

〔背景・企業概要〕ITサービス会社B社は、IaaS（仮想サーバ提供サービス）を利用して自社のWebサービスを顧客向けに運用している。

〔事象〕B社が運用するIaaS上の仮想サーバ内のLinux OSに未修正の既知脆弱性が放置されていたため、外部から不正侵入されWebサイトが改ざんされた。B社の経営陣は「クラウド事業者側のOS監視責任である」と抗議しようとしている。

〔設問〕情報セキュリティリーダーが経営陣に説明すべき、IaaSの責任共有モデルに基づく正しい見解はどれか。

ア：IaaSのゲストOSの更新は、契約で別段の定めがなければ原則として利用者側が担当する。適用漏れを是正し、対応手順を見直す。
イ：OSの更新担当や契約内容を確認せず、すべて提供者の責任と決める。
ウ：クラウドであればOSに脆弱性は存在しないと判断する。
エ：更新をせず、漏えいが再発するまで放置する。

正解：ア
根拠：一般的なIaaSではゲストOSの管理・更新は利用者の担当ですが、マネージド運用を含む契約では範囲が変わることがあります。事故の法的責任や損害賠償まで「100％利用者」と決め付けず、契約と事実を確認します。
確認する点：提供者の基盤管理と、利用者のゲストOS管理を混同しないことがポイントです。

4. まとめと重要チェックリスト

IaaS：OS・設定・パッチ・データは自社の責任。
SaaS：アプリ・インフラは事業者、ID・データ・アクセス権は自社の責任。
SaaS保護の基本：IP制限、多要素認証（MFA）、退職時の即時アカウント失効。

共有責任モデルの表は一般的な目安です。個別のサービス、設定項目、バックアップやログの契約条件を必ず確認します。

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験シラバス Ver.4.1