クラウドサービスの提供形態と責務

クラウドサービスの提供形態とは、事業者が提供する資源の範囲と、その上で利用者が自ら管理する範囲によってサービスを区分する考え方である。JIS X 9401:2016（情報技術－クラウドコンピューティング－概要及び用語）では、利用者をクラウドサービスカスタマ、事業者をクラウドサービスプロバイダと呼び、両者の責務の境界を形態ごとに定めている。セキュリティ対策や運用の責任がどちらにあるかを判断する基礎となるため、形態ごとの責務の違いを正確に区別することが求められる。

責任分担の基本原理

クラウドサービスでは、提供形態が上位の階層へ進むほど事業者が管理する範囲が広がり、利用者が管理する範囲は狭まる。利用者の責務は、データへのアクセス制御や暗号化の設定、そしてその上で動作するアプリケーションの品質に集中する。一方、事業者はDBMS、OS、ハードウェアといった実行基盤に対して、修正プログラムの適用、権限設定、物理的なセキュリティ確保を担う。PaaSを例にすると、利用者はアプリケーションに対してデータ利用時のアクセス制御と暗号化の設定を行い、セキュアプログラミングとソースコードの脆弱性診断も担う。これに対し、DBMSやOSの修正プログラム適用と権限設定、ハードウェアのアクセス制御と物理セキュリティは事業者の責務となる。同じ構造の責務分担は、別の試験でも繰り返し問われており、利用者がアプリケーションを管理し、事業者が実行基盤を管理するという関係は一貫している。

提供形態ごとの管理範囲

IaaSは、事業者が仮想化された計算資源やネットワークを提供し、利用者がその上のOSやミドルウェア、アプリケーションを管理する形態である。利用者は仮想サーバのゲストOSを管理できるため、OSの更新やアクセス制御など、ゲストOSに関するセキュリティ設定を自ら行える。パブリッククラウドの利用企業が行える管理作業は、この点で形態ごとに異なる。 PaaSでは、事業者が実行環境となるOSや基盤を管理し、利用者は自ら開発したアプリケーションの配置、管理、実行を担う。そのため、ゲストOSの設定やOSの管理は利用者が直接行う作業ではなくなる。SaaSでは、事業者がアプリケーションを含む基盤全体を原則として管理し、利用者はそのサービスを利用する。利用者の管理範囲は、アカウントやサービス内の設定、データの取扱いに限られるのが原則である。 ハイパバイザは仮想化基盤の構成要素であり、IaaSであってもその管理やセキュリティ設定はクラウド事業者が担い、利用企業は通常その設定を行わない。