平成30年度 秋期 情報セキュリティマネジメント試験 午前 問5
テクノロジ／セキュリティSaaS（Software as a Service）を利用するときの企業の情報セキュリティ管理に関する記述のうち，適切なものはどれか。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問5
- アシステム運用を行わずに済み，障害時の業務手順やバックアップについての検討が不要である。
- イシステムのアクセス管理を行わずに済み，パスワードの初期化の手続や複雑性の要件を満たすパスワードポリシの検討が不要である。
- ウシステムの構築を行わずに済み，アプリケーションソフトウェア開発に必要な情報セキュリティ要件の定義やシステムログの保存容量の設計が不要である。
- エシステムの情報セキュリティ管理を行わずに済み，情報セキュリティ管理規程の策定や管理担当者の設置が不要である。
正解：ウ
解説
SaaSでは、アプリケーションソフトウェア及びその稼働基盤の構築・運用はサービス提供者が担うため、利用企業自身がシステムを構築する必要がなくなり、それに伴うアプリケーション開発時の情報セキュリティ要件の定義やログ保存容量の設計も不要になります。ただし、アクセス管理や情報セキュリティ管理そのものは利用者側の責任として引き続き必要です。
選択肢ごとの解説
- ア誤り。SaaS利用でも、障害時の業務手順やバックアップについての検討は利用者側で必要です。
- イ誤り。SaaS利用でも、パスワードポリシなどアクセス管理に関する検討は利用者側で必要です。
- ウ正しい。SaaSではシステムの構築を行わずに済むため、アプリケーション開発に必要な情報セキュリティ要件の定義やログ保存容量の設計は不要になります。
- エ誤り。SaaS利用でも、情報セキュリティ管理規程の策定や管理担当者の設置は利用者側で必要です。