平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問10
テクノロジ／セキュリティJIS X 9401:2016（情報技術－クラウドコンピューティング－概要及び用語）の定義によるクラウドサービス区分の一つであり，クラウドサービスカスタマの責任者が次の項番 1 と 2 の責務を負い，クラウドサービスプロバイダが項番 3～5 の責務を負うものはどれか。 〔責務〕 項番1：アプリケーションに対して，データのアクセス制御と暗号化の設定を行う。 項番2：アプリケーションに対して，セキュアプログラミングと脆弱性診断を行う。 項番3：DBMS に対して，修正プログラム適用と権限設定を行う。 項番4：OS に対して，修正プログラム適用と権限設定を行う。 項番5：ハードウェアに対して，アクセス制御と物理セキュリティ確保を行う。 （注：本サイトでは原問題の表を文字表記に変換しています）
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問10
- アHaaS
- イIaaS
- ウPaaS
- エSaaS
正解：ウ
解説
JIS X 9401 のクラウドサービス区分のうち，PaaS（Platform as a Service）は，クラウドサービスプロバイダが OS やミドルウェア，ハードウェアなどのプラットフォームを管理・提供し，クラウドサービスカスタマはその上で稼働させるアプリケーションの開発・運用（データのアクセス制御や暗号化，セキュアプログラミング，脆弱性診断など）に責任を負う区分です。設問の責務分担（カスタマがアプリケーション層，プロバイダが DBMS・OS・ハードウェアを担当）はこの PaaS の責任分界に一致します。
選択肢ごとの解説
- ア誤り。HaaS（Hardware as a Service）は主にハードウェア資源を提供する形態であり，設問のようなアプリケーション層の責務分担を説明するものではありません。
- イ誤り。IaaS では，カスタマが OS 以上（OS，ミドルウェア，アプリケーション）の管理責任を負うのが一般的であり，設問のように OS の責務までプロバイダが負う区分とは異なります。
- ウ正しい。PaaS では，プロバイダが OS・ミドルウェア・DBMS・ハードウェアを管理し，カスタマはアプリケーションの開発・セキュリティに責任を負います。設問の責務分担はこれに一致します。
- エ誤り。SaaS では，アプリケーションの実装・運用も含めてプロバイダが責任を負うのが一般的であり，カスタマがアプリケーションのセキュアプログラミングなどに責任を負う設問の内容とは異なります。