平成28年度 春期 基本情報技術者試験 午前 問41
テクノロジ／セキュリティSaaS（Software as a Service）を利用するときの企業のセキュリティ管理についての記述のうち，適切なものはどれか。
出典：平成28年度 春期 基本情報技術者試験 午前 問41
- アシステム運用を行わずに済み，障害時の業務手順やバックアップについての検討が不要である。
- イシステムのアクセス管理を行わずに済み，パスワードの初期化の手続や複雑性の要件を満たすパスワードポリシの検討が不要である。
- ウシステムの構築を行わずに済み，アプリケーションソフトウェア開発に必要なセキュリティ要件の定義やシステムログの保存容量の設計が不要である。
- エシステムのセキュリティ管理を行わずに済み，情報セキュリティ管理規定の策定や管理担当者の設置が不要である。
正解：ウ
解説
SaaSでは，アプリケーションソフトウェアの開発・構築・保守はサービス提供者が行うため，利用企業はシステムの構築作業そのものを行う必要がなくなります。ただし，アクセス管理やパスワードポリシ，運用手順の検討，セキュリティ管理規定の整備などは，利用企業としても引き続き必要になります。
選択肢ごとの解説
- ア誤り。システム運用そのものは提供者が行いますが，障害時の業務手順やバックアップについては利用企業側でも検討が必要です。
- イ誤り。パスワードの初期化手続やパスワードポリシの検討は，利用企業としても引き続き必要な場合が多くあります。
- ウ正しい。システムの構築は不要になりますが，それに伴うセキュリティ要件の定義やログ保存容量の設計は提供者側の責任範囲になります。
- エ誤り。セキュリティ管理規定の策定や管理担当者の設置は，SaaS利用後も利用企業として必要です。