クラウドの共同責任モデル｜IaaS・PaaS・SaaSで誰が守るのか

クラウドの共同責任モデルは、事業者と利用者がそれぞれ管理する範囲を整理する考え方です。IaaS、PaaS、SaaSでは、OSやアプリなどを誰が管理するかが変わります。どの形態でも全てを事業者へ任せたことにはならず、利用者のデータ、ID、アクセスなどの責任を確認します。

SaaSでは基盤やアプリの更新を事業者が扱っていても、誰を招待するか、外部へ公開するか、どの情報を保存するかは利用組織の判断へ関わります。サービスの稼働保証と、誤って削除したファイルの復元も同じ条件とは限りません。契約、機能、設定、運用を照合して責任の空白を防ぎます。

Microsoftの共同責任の説明では、PaaSは仮想マシンやOSを自分で管理せず、アプリを展開する形です。OSの更新を事業者が扱うことと、自作アプリのコード・依存ライブラリ・公開設定まで自動的に安全になることは別です。

たとえばPaaSに業務アプリを置き、基盤のOSが更新されても、アプリ内の権限チェックや、誰へデータを公開するかは確認が残ります。アプリの責任はサービスごとに分かれ、Microsoftの表でもPaaS・SaaSのアプリケーションは共同の領域として扱われています。

この表は役割の整理で、契約の代わりではありません。具体的なバックアップ・復元・監査の範囲は、利用するサービスの仕様と契約で照合します。

形態の名称だけで契約の全条件は分かりません。基盤の冗長化、利用者のバックアップ、ログの取得、事故対応の分担を個別に確認します。

サービスごとに管理範囲を表にし、未確認の項目を事業者へ質問します。導入後も利用者の権限やデータの運用が変われば見直します。

事業者の説明と自社で有効な設定を分けて記録します。機能が提供されていても、契約や設定で利用できるとは限りません。

導入の時点で分担を決めても、利用が増えて共有や外部連携が変われば要求も変わります。事業者の仕様変更、契約変更、利用者の役割変更を見直しの起点にします。自社の担当者が「クラウド側のこと」とまとめて放置する項目をなくします。

委託先の契約にも別の責任分界があります。クラウド事業者、構築会社、自社の三者で管理する場合、同じ項目を互いに他者の担当と思うことがあります。対象ごとに実施者、判断者、問い合わせ先を明確にします。

サイバーセキュリティの学習ガイドで、このテーマをクラウド・脆弱性と供給網の中に位置付けてください。関連する前提はSaaSの公開リンク管理、クラウド監査ログの設計で確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。