情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度秋期 午前 問5: SaaS（Software as a Service）を利用するときの企業の情報セキュリティ管理に関する記述のうち，適切なものはどれか。

正解

ウ. システムの構築を行わずに済み，アプリケーションソフトウェア開発に必要な情報セキュリティ要件の定義やシステムログの保存容量の設計が不要である。

正答率 71.7%（113人中 81人が正解）

問題の解説

本問は SaaS 利用時に利用者側に残る情報セキュリティ管理責任を問うている。SaaS ではアプリケーションは事業者が開発・提供するため利用者によるシステム構築やアプリ開発・ログ容量設計は不要だが、運用・アクセス管理・組織的管理は利用者の責任として残るため、正解はウである。

選択肢ごとの解説

• ア誤り。SaaS でも障害時の業務手順やデータのバックアップ方針の検討は利用者側で必要である。
• イ誤り。利用者アカウントのアクセス管理やパスワードポリシの検討は利用者側の責任として残る。
• ウ正しい。SaaS はアプリケーションを事業者が提供するため、利用者によるシステム構築やアプリ開発要件の定義、ログ保存容量の設計は不要である。
• エ誤り。情報セキュリティ管理規程の策定や管理担当者の設置など組織的な管理は利用者側に必要である。