【情報セキュリティマネジメント】クラウドの責任共有モデル、サービス形態だけで決めない｜IaaS・PaaS・SaaS・責任分界

「クラウドを使えば、セキュリティ対策は事業者に任せられる」と考えてよいのでしょうか。

クラウドでは、事業者が提供・保護する範囲と、利用組織が設定・運用する範囲があります。しかも、その境界はIaaS・PaaS・SaaSという分類だけで完全に決まるわけではありません。

この記事では、どの層の話かと誰が実際に設定・更新・確認するのかという二つの軸から、責任分界を整理します。

読み終えるころには、事例の対象が事業者側か利用者側かを層と主体から判断でき、サービス形態だけで決めていないかを確認できるようになります。

1．SGシラバスでの位置付け

SGシラバス Ver.4.1では、情報セキュリティ管理の用語例として「クラウドサービスの責任共有モデル」が明示されています。

また、システム構成やソリューションサービスの用語例には、クラウドコンピューティング、SaaS、PaaS、IaaSがあります。

本記事はクラウドの責任分界を正典とします。IaaS・PaaS・SaaSの構成そのものは「システム構成と信頼性」の記事が正典なので、ここでは責任分界を判断するために必要な範囲だけ説明します。

先に結論：設備は事業者、データ・ID・設定は利用者に残りやすい

これは一般的な整理です。最終的な責任分界は、サービス仕様、契約、利用する機能、追加オプション、利用者が構築した部分によって変わります。

2．責任共有モデルは責任を押し付け合う仕組みではない

責任共有モデルは、事故が起きた後に「どちらの責任か」を争うためだけの考え方ではありません。

利用開始前に、

• 誰が設定するか
• 誰が更新するか
• 誰が監視するか
• 誰が異常へ対応するか
• 誰が実施結果を確認するか

を整理し、対策の抜けを防ぐために使います。

双方が「相手が実施する」と思い込めば、必要な対策が実施されない責任の空白が生じます。一方、実際に操作できる主体だけで責任を機械的に決めるのも適切ではありません。最終的にはサービス仕様や契約で確認します。

3．サービス形態にかかわらず利用者側に残りやすいもの

サービス形態が変わっても、次の三つは利用組織側に残りやすい領域です。

データ

事業者が保存や暗号化の機能を提供していても、利用組織には次の判断が残ります。

• クラウドへ登録してよい情報か
• 個人情報・機密情報を含むか
• どの目的で利用するか
• 誰と共有してよいか
• どの期間保存するか

「クラウド上に保存したので、データ管理も全て事業者の責任」とは考えません。

ID・アカウント・アクセス権

一般に利用組織は、利用者の登録・削除、権限付与、管理者権限、外部共有、多要素認証などの設定を管理します。

事業者が強い認証機能を提供していても、利用組織が有効化せず、過大な権限を付与すれば十分な効果は得られません。

接続端末と利用方法

PCやスマートフォンの更新、マルウェア対策、画面ロック、紛失時対応、私物端末の利用可否なども利用組織側の管理事項です。

クラウド基盤が保護されていても、感染端末や盗難端末から正規アカウントが悪用される可能性があります。

4．IaaS・PaaS・SaaSで責任分界はどう変わるか

事業者が提供する範囲が広がるほど、利用者側に残る範囲は狭くなります。ただし、なくなるわけではありません。

IaaS

IaaSでは、事業者が物理設備、物理サーバ、ネットワーク、仮想化基盤などを提供します。

一般に利用者側には、ゲストOS、その修正プログラム、ミドルウェア、自社アプリケーション、仮想ファイアウォール等の設定、アカウント、データの管理が残ります。

したがって、「IaaS上の仮想サーバなので、ゲストOSの更新も事業者が行う」とは限りません。

ただし、OS管理を代行するマネージドサービスなどを追加すれば、担当範囲が変わることがあります。

PaaS

PaaSでは、OS、実行環境、ミドルウェアなどを事業者が管理する範囲が広がります。

一方、利用者が開発・配置したアプリケーション、コード、アクセス制御、サービス設定、アカウント、処理するデータなどは利用者側の管理対象です。

事業者が実行環境を更新しても、利用者が作成したアプリケーションの脆弱性や認可設定まで自動的に修正されるわけではありません。

SaaS

SaaSでは、事業者がアプリケーション本体を含む広い範囲を提供・保守します。

それでも、利用者アカウント、管理者権限、データのアクセス権、外部共有設定、セキュリティ機能の設定、登録するデータ、接続端末などの管理は利用組織側に残ります。

SaaS本体が仕様どおり動作していても、利用者が共有範囲を誤って公開すれば、情報漏えいにつながる可能性があります。

5．最終的な分界は仕様と契約で確認する

IaaS・PaaS・SaaSは責任分界を考える出発点ですが、分類名だけで最終判断しません。

確認する資料の例は、

• サービス仕様
• 利用規約・契約
• SLA
• 責任分担表
• 管理者向けガイド
• セキュリティ設定の説明
• 追加オプションの提供範囲

です。

同じサービス形態でも、バックアップ、監視、OS管理などを追加サービスとして委託できる場合があります。

ISMAPの公式FAQでも、情報セキュリティインシデントの報告対象を判断する際、責任共有モデルの考え方とクラウドサービス契約に基づく責任範囲を確認する整理が示されています。

6．クラウドのログも「提供する側」と「使う側」を分ける

クラウド事業者がログ機能を提供していても、利用者側で取得を有効化したり、必要なログを利用したりする場合があります。

ただし、クラウドのログを取得・保管できるサービスかを選定時に評価する論点は「クラウドサービスの選定と評価」の記事が正典です。ログの分析・監視そのものは「ログ管理と監視」の記事で扱います。

なお、「監査ログ」という用語名はSGシラバス Ver.4.1には明示されていません。本記事では、責任共有を考えるための補助例としてのみ扱います。

7．科目Bでの使われ方

事例にクラウドサービスが登場したら、次の順で確認します。

1. データ、アカウント、設定の話か
2. 物理設備・仮想化基盤の話か
3. ゲストOS・実行環境・アプリケーションのどの層か
4. IaaS・PaaS・SaaSのどれか
5. 仕様・契約・追加サービスで一般的な分界が変わっていないか

迷ったときは、「クラウドだから事業者」と決めず、その対象を誰が管理する設計になっているかを確認します。

担当者としては、責任の所在が不明な項目を見つけたら、その場で「事業者側だろう」と判断せず、サービス仕様や契約条件で確認します。仕様書に記載がない場合や、追加サービスの契約が必要と判断した場合は、独断で決めず、契約担当者や上位者へ報告して指示を仰ぎます。

よくある取り違え

まとめ

• 「クラウドサービスの責任共有モデル」はSGシラバス Ver.4.1の明示用語
• IaaS・PaaS・SaaSで事業者が管理する技術範囲は変わる
• データ、ID、アカウント、アクセス権、利用者側設定は利用組織に残りやすい
• IaaSでは一般にゲストOS・ミドルウェア・自社アプリを利用者が管理する
• PaaSでも利用者が作成したアプリケーションと設定の管理は残る
• SaaSでもアカウント・共有設定・登録データの管理は残る
• 実際の責任分界は、サービス仕様、契約、追加サービスで確認する
• クラウドログの選定評価は「クラウドサービスの選定と評価」の記事、ログ分析・監視は「ログ管理と監視」の記事へ委ねる

関連記事

• C7-T05：クラウドサービスの選定と評価
• C5-T09：ログ管理と監視
• C9-T01：システム構成と信頼性
• C7-T06：シャドーITとサイバーハイジーン

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

• IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
• ISMAPポータル「ISMAPクラウドサービス登録規則・ISMAP-LIUクラウドサービス登録規則に関するFAQ」

関連する問題

• 情報セキュリティマネジメント 委託先・クラウド・教育・内部不正 一問一答 第11問〜第15問
• 情報セキュリティマネジメント 委託先・クラウド・教育・内部不正 択一式（応用） 第11問〜第15問