重要度：A
問11：I社はSaaS型のファイル共有サービスを利用している。責任共有モデルの考え方に基づき、I社（利用者）側の責任となる対策はどれか。
- A：サービスを構成するサーバが設置されたデータセンターの入退室管理
- B：利用者アカウントの管理と、ファイルごとのアクセス権の適切な設定
- C：サービスの基盤となる仮想化ソフトウェアへの修正プログラムの適用
- D：サービスを提供するアプリケーションそのものの脆弱性の修正
【第11問：正解と解説】
正解：B
・A
設備の物理的な保護は、SaaSでは事業者側の責任範囲である。
・B
正しい。一般的なSaaSでも、利用者アカウント、ファイルの共有範囲とアクセス権、登録するデータの内容や利用目的の管理は利用者側に残る。実際の責任分界はサービス仕様と契約で確認する。
・C
基盤ソフトウェアの保守は事業者側の責任範囲である。
・D
SaaSではアプリケーションの提供・保守は事業者側の責任である。
重要度：A
問12：クラウドのサービス形態と利用者の責任範囲に関する記述として、最も適切なものはどれか。
- A：一般的なIaaSでは、ゲストOSへの修正プログラムの適用は利用者側の責任となる。
- B：一般的なSaaSでは、アプリケーションの脆弱性の修正は利用者側の責任となる。
- C：責任の分界点は、契約にかかわらずどのサービス形態でも同じ位置に定まる。
- D：一般的なPaaSでは、データの取扱いに関する責任も事業者側が負うことになる。
【第12問：正解と解説】
正解：A
・A
正しい。一般的なIaaSは基盤までの提供であり、ゲストOS以上の管理は利用者が担う。実際の分界はサービス仕様と契約で確認する。
・B
一般的なSaaSでは、アプリケーションは事業者の提供物であり、修正も事業者側が行う。
・C
分界点はサービス形態や契約によって動く。サービス仕様と契約での確認が必要である。
・D
一般的なPaaSでも、利用者が登録するデータの内容、アクセス権設定、利用目的及び法令遵守などは利用者側の責任として残る。一方、事業者にも契約と法令に基づく保護責任があるため、実際の分界はサービス仕様と契約で確認する。
重要度：B
問13：ISMAPに関する記述として、最も適切なものはどれか。
- A：民間企業がクラウドを調達する際に、登録サービスの利用を義務付ける制度
- B：クラウド事業者が自社サービスの安全性を自己宣言して公表する制度
- C：政府の要求水準を満たすと評価されたクラウドサービスを登録する制度
- D：国内のデータセンターで運用されるサービスだけを認定する制度
【第13問：正解と解説】
正解：C
・A
義務付けの対象は政府機関の調達であり、民間には強制されない。
・B
自己宣言ではなく、監査を経た評価に基づいて登録される制度である。
・C
正しい。政府機関は原則として登録されたサービスから調達する。
・D
所在地だけで認定する制度ではなく、管理策全般が評価の対象である。
重要度：B
問14：J社は業務システムをクラウドサービスへ移行するに当たり、可用性の観点から採用の可否を評価する。評価項目として最も適切な組合せはどれか。
- A：SLAの稼働率の数値を中心に確認し、計画停止の扱いは評価に含めない
- B：障害時の補償の金額を重視して確認し、復旧目標や通知の方法までは確認しない
- C：冗長化の構成を確認できれば、障害の通知と復旧の体制は確認しない
- D：SLAの稼働率と補償条件、冗長化の状況、障害時の復旧目標と通知方法
【第14問：正解と解説】
正解：D
・A
計画停止が除外されたSLAでは、実際の停止時間が稼働率の数値に表れない場合がある。
・B
補償は損失の一部を埋めるだけであり、業務が許容できる停止時間との照合には復旧目標の確認が必要である。
・C
冗長化は停止しにくさの一要素だが、障害時の通知と復旧の確実さも可用性の評価に含める。
・D
正しい。停止しにくさと復旧の確実さを示す項目で構成されている。
重要度：B
問15：クラウドサービスの契約時にSLAを確認する目的として、最も適切なものはどれか。
- A：事業者が将来提供する予定の新機能と、その提供時期を把握するため
- B：提供されるサービスの水準と未達時の扱いを、自社の要求と照合するため
- C：高い稼働率をSLAに定めれば、自社のアクセス権設定やデータ管理も事業者側の責任になると判断するため
- D：他社の導入事例を参照し、自社と同じ業種での利用実績を確認するため
【第15問：正解と解説】
正解：B
・A
ロードマップの確認は有益だが、SLAの目的ではない。
・B
正しい。稼働率などの水準・補償・サポート条件を要求事項と照合する。
・C
SLAによってサービス水準や責任分担を明確にできるが、高い稼働率を合意しただけで、利用者側に割り当てられたアクセス権設定やデータ管理が事業者へ自動的に移るわけではない。
・D
導入事例はSLAに記載される内容ではない。
コメント