平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8
テクノロジ／セキュリティNIST の定義によるクラウドコンピューティングのサービスモデルにおいて，パブリッククラウドサービスの利用企業のシステム管理者が，仮想サーバのゲスト OS に対するセキュリティパッチの管理と適用を実施可か実施不可かの組合せのうち，適切なものはどれか。
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8
- アIaaS：実施可，PaaS：実施可，SaaS：実施不可
- イIaaS：実施可，PaaS：実施不可，SaaS：実施不可
- ウIaaS：実施不可，PaaS：実施可，SaaS：実施不可
- エIaaS：実施不可，PaaS：実施不可，SaaS：実施可
正解：イ
解説
NIST の定義によるクラウドサービスモデルでは，IaaS は OS より上位（ゲスト OS，ミドルウェア，アプリケーション）を利用企業が管理するため，ゲスト OS へのセキュリティパッチの適用は利用企業側で実施可能です。PaaS はプラットフォーム（OS やミドルウェア）をクラウド事業者が管理するため，利用企業はゲスト OS のパッチ適用に関与できず実施不可となります。SaaS はアプリケーションを含め全てクラウド事業者が管理するため，同様に実施不可です。
選択肢ごとの解説
- ア誤り。PaaS では OS 層の管理はクラウド事業者側が行うため，利用企業はゲスト OS のパッチ適用を実施できません。
- イ正しい。IaaS はゲスト OS を利用企業が管理するため実施可，PaaS と SaaS は OS 層をクラウド事業者が管理するため実施不可です。
- ウ誤り。IaaS ではゲスト OS を利用企業が管理するため，パッチ適用は実施可能です。
- エ誤り。SaaS はアプリケーションも含めて全てクラウド事業者が管理するため，利用企業はゲスト OS のパッチ適用を実施できません。