平成27年度春期応用情報技術者試験午前問42

Question

NIST の定義によるクラウドサービスモデルのうち，クラウド利用企業の責任者がセキュリティ対策に関して表中の項番1と2の責務を負うが，項番3～5の責務を負わないものはどれか。

項番	責務
1	アプリケーションに対して，データのアクセス制御と暗号化の設定を行う。
2	アプリケーションに対して，セキュアプログラミングと脆弱性診断を行う。
3	DBMS に対して，修正プログラム適用と権限設定を行う。
4	OS に対して，修正プログラム適用と権限設定を行う。
5	ハードウェアに対して，アクセス制御と物理セキュリティ確保を行う。

キーボード：1〜4 で解答　→ 次の問題　← 前の問題

出典：平成27年度春期応用情報技術者試験午前問42

Answer 1

正解と解説を見る

正解：ウ

利用企業が責任を負う範囲は，自社で用意して管理する部分です。項番1・2はアプリケーション（自社で開発・設定する部分），項番3～5は DBMS・OS・ハードウェア（プラットフォーム以下の部分）です。

ア: HaaS
誤り。HaaS（Hardware as a Service）は IaaS とほぼ同義で，ハードウェア資源だけを提供するサービスです。OS や DBMS は利用企業が管理するため，項番3・4の責務も負います。また，NIST の定義のサービスモデルは SaaS，PaaS，IaaS の三つです。
イ: IaaS
誤り。IaaS では CPU・ストレージ・ネットワークなどのインフラだけが提供され，OS や DBMS は利用企業が管理します。そのため項番3・4の責務も負います。
ウ: PaaS
正しい。PaaS では OS や DBMS などのプラットフォームまでが提供され，利用企業はその上で動かすアプリケーションを開発・管理します。そのため，項番1・2（アプリケーション）の責務は負い，項番3～5（DBMS・OS・ハードウェア）の責務は事業者側が負います。
エ: SaaS
誤り。SaaS ではアプリケーションまで事業者が提供するため，利用企業はセキュアプログラミングや脆弱性診断（項番2）の責務を負いません。

ウ: PaaS

平成27年度 春期 応用情報技術者試験 午前 問42