情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度秋期 午前 問5: SaaS（Software as a Service）を利用するときの企業の情報セキュリティ管理に関する記述のうち，適切なものはどれか。

問題本文

SaaS（Software as a Service）を利用するときの企業の情報セキュリティ管理に関する記述のうち，適切なものはどれか。

選択肢

• ア.システム運用を行わずに済み，障害時の業務手順やバックアップについての検討が不要である。
• イ.システムのアクセス管理を行わずに済み，パスワードの初期化の手続や複雑性の要件を満たすパスワードポリシの検討が不要である。
• ウ.システムの構築を行わずに済み，アプリケーションソフトウェア開発に必要な情報セキュリティ要件の定義やシステムログの保存容量の設計が不要である。
• エ.システムの情報セキュリティ管理を行わずに済み，情報セキュリティ管理規程の策定や管理担当者の設置が不要である。

正解

ウ. システムの構築を行わずに済み，アプリケーションソフトウェア開発に必要な情報セキュリティ要件の定義やシステムログの保存容量の設計が不要である。

解説

本問は SaaS 利用時に利用者側に残る情報セキュリティ管理責任を問うている。SaaS ではアプリケーションは事業者が開発・提供するため利用者によるシステム構築やアプリ開発・ログ容量設計は不要だが、運用・アクセス管理・組織的管理は利用者の責任として残るため、正解はウである。

選択肢ごとの解説

• ア.誤り。SaaS でも障害時の業務手順やデータのバックアップ方針の検討は利用者側で必要である。
• イ.誤り。利用者アカウントのアクセス管理やパスワードポリシの検討は利用者側の責任として残る。
• ウ.正しい。SaaS はアプリケーションを事業者が提供するため、利用者によるシステム構築やアプリ開発要件の定義、ログ保存容量の設計は不要である。
• エ.誤り。情報セキュリティ管理規程の策定や管理担当者の設置など組織的な管理は利用者側に必要である。