令和2年度 10月 情報処理安全確保支援士試験 午前Ⅱ 問11
テクノロジ／セキュリティJIS X 9401:2016（情報技術－クラウドコンピューティング－概要及び用語）の定義によるクラウドサービス区分の一つであり，クラウドサービスカスタマが表中の項番1と2の責務を負い，クラウドサービスプロバイダが項番3～5の責務を負うものはどれか。 〔責務の一覧〕 項番1：アプリケーションソフトウェアに対して，データ利用時のアクセス制御と暗号化の設定を行う。 項番2：アプリケーションソフトウェアに対して，セキュアプログラミングとソースコードの脆弱性診断を行う。 項番3：DBMS に対して，修正プログラム適用と権限設定を行う。 項番4：OS に対して，修正プログラム適用と権限設定を行う。 項番5：ハードウェアに対して，アクセス制御と物理セキュリティ確保を行う。
出典：令和2年度 10月 情報処理安全確保支援士試験 午前Ⅱ 問11
- アHaaS
- イIaaS
- ウPaaS
- エSaaS
正解：ウ
解説
JIS X 9401:2016 の定義では，クラウドサービスの利用者（クラウドサービスカスタマ）と提供者（クラウドサービスプロバイダ）の間で，構成要素ごとに管理責務が分担されます。PaaS（Platform as a Service）では，クラウドサービスカスタマはアプリケーションソフトウェアの開発・運用（データのアクセス制御や暗号化，セキュアプログラミングやソースコードの脆弱性診断など）に責務を負い，クラウドサービスプロバイダは DBMS，OS，ハードウェアなど，アプリケーションを稼働させるプラットフォーム層以下の管理（修正プログラム適用，権限設定，物理セキュリティなど）に責務を負います。設問の責務分担はこの PaaS のモデルに一致します。
選択肢ごとの解説
- ア誤り。HaaS（Hardware as a Service）は，ハードウェア自体をサービスとして提供する形態を指す言葉であり，設問のような OS・DBMS・アプリケーションを含む責務分担のモデルではありません。
- イ誤り。IaaS では，クラウドサービスプロバイダの責務は主にハードウェアと仮想化基盤までであり，OS や DBMS の修正プログラム適用・権限設定はクラウドサービスカスタマの責務となる点が，設問の責務分担と一致しません。
- ウ正しい。クラウドサービスカスタマがアプリケーション層（項番1・2）の責務を負い，クラウドサービスプロバイダが DBMS，OS，ハードウェア（項番3～5）の責務を負うのは，PaaS における責任分担です。
- エ誤り。SaaS では，アプリケーションソフトウェア自体の管理（セキュアプログラミングやソースコードの脆弱性診断を含む）もクラウドサービスプロバイダの責務となるため，項番2までカスタマの責務とする設問の分担とは一致しません。