重要度：A 論点：責任共有モデル
問11：クラウドサービスでは、事業者が担う範囲と利用組織が担う範囲がサービス形態や契約によって異なるため、責任分界を確認したうえで、利用者側に残る対策を自社で実施する必要がある。
解答を見る
○：設備や基盤の保護は事業者が担う一方、利用者アカウントとアクセス権の管理、共有設定、データの分類・取扱い、端末の管理などは利用組織側の責任として残る。分界の確認と自社側対策の割当てが利用の前提である。
重要度：A 論点：SaaS/PaaS/IaaS
問12：SaaSを利用する場合、提供されるアプリケーションの脆弱性の修正も利用者側の責任である。
解答を見る
×：一般的なSaaSでは、アプリケーションは事業者の提供物であり、その保守・修正は事業者側の責任である。ただし、利用者が作成したスクリプトや連携アプリ、設定は利用者側になる場合がある。一般的なIaaSでは、ゲストOSやミドルウェア以上の管理を利用者が担う。実際の分界はサービス仕様と契約で確認する。
重要度：B 論点：ISMAP
問13：ISMAPのクラウドサービスリストに登録されていれば、民間企業を含む全ての利用組織のあらゆる情報について、安全性が無条件に保証される。
解答を見る
×：ISMAPは政府の要求水準を満たすと評価されたクラウドサービスを登録する制度であり、政府機関は原則として登録サービスから調達する。民間にとっても選定の目安になるが、自社の業務・情報のリスクや利用条件・設定は別途確認する必要がある。また、登録されたIaaS・PaaSの上で動く未登録のSaaSを、登録済みと同等とみなすことはできない。
重要度：B 論点：可用性評価
問14：クラウドサービスの採用に当たっては、SLAの稼働率と補償条件、計画停止の扱い、冗長化の状況、障害時の復旧目標と通知方法を、自社の業務が許容できる停止時間と照らして評価する。
解答を見る
○：可用性の評価は、停止しにくさと復旧の確実さを示す項目で行う。事業者の規模や画面の使いやすさは参考情報にとどまり、可用性を直接示す評価項目にはならない。
重要度：B 論点：越境移転
問15：クラウドに保存するデータが国外のサーバに置かれる場合、保存先の国の法令の適用や、個人データの外国にある第三者への提供としての対応が必要になることがある。
解答を見る
○：保存場所により適用される法令や必要な手続が変わる。クラウド事業者が保存データを取り扱わない場合など、外国にある第三者への提供に該当しないことがある一方、その場合も外国の制度等（外的環境）の把握と安全管理措置は必要である。該当する場合は、本人の同意や移転先の体制の確認など個人情報保護法の要件に従う。契約やサービス仕様で保存場所を確認する。
コメント