情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成29年度春期 午前Ⅱ 問8: NIST の定義によるクラウドコンピューティングのサービスモデルにおいて，パブリッククラウドサービスの利用企業のシステム管理者が，仮想サーバのゲスト OS に対

問題本文

NIST の定義によるクラウドコンピューティングのサービスモデルにおいて，パブリッククラウドサービスの利用企業のシステム管理者が，仮想サーバのゲスト OS に対するセキュリティパッチの管理と適用を実施可か実施不可かの組合せのうち，適切なものはどれか。

選択肢

• ア.IaaS：実施可，PaaS：実施可，SaaS：実施不可
• イ.IaaS：実施可，PaaS：実施不可，SaaS：実施不可
• ウ.IaaS：実施不可，PaaS：実施可，SaaS：実施不可
• エ.IaaS：実施不可，PaaS：実施不可，SaaS：実施可

正解

イ. IaaS：実施可，PaaS：実施不可，SaaS：実施不可

解説

クラウドの責任共有モデルでは、利用者が管理できる範囲はサービスモデルにより異なる。IaaSはOSから上が利用者の責任なのでゲストOSのパッチ適用は実施可。PaaSはOSを事業者が管理するため不可、SaaSはアプリも事業者管理で不可。よってイが正解。実務では契約モデルごとに自社のパッチ責任範囲を正確に把握することが重要。

選択肢ごとの解説

• ア.PaaSではOSは事業者管理で利用者はパッチ適用できないため、PaaS実施可とする点が誤り。
• イ.IaaSはOSが利用者責任で実施可、PaaS/SaaSは事業者管理で不可、という正しい組合せで正解。
• ウ.IaaSはOSを利用者が管理し実施可能なので、IaaS実施不可とする点が誤り。
• エ.SaaSはアプリ・OSとも事業者管理で利用者はOSパッチを適用できず、実施可とするのは誤り。