セキュリティの
学び場

クラウドの責任分界点とは

今回は、クラウドを利用を検討する際に注意すべき点の一つである「責任分界点」について説明いたします。

「責任分界点」とは、ユーザーとベンダーのそれぞれがクラウド基盤のどこからどこまでを担当するか定めた境界のことです。クラウドを利用または検討されている方のなかには、「クラウドを使っているのでセキュリティは大丈夫」とか「クラウドでの問題はベンダーの責任で我々の責任じゃない」とお考えの方も、もしかするといらっしゃるかもしれません。

しかしこれは誤解であり、IaaS / PaaS / SaaS によって責任範囲は異なるもののユーザーが責任を持つ必要がある領域が必ず存在します。責任分界点はあくまでも選定先の事業者や、サービス内容によって異なる為、ユーザーと事業者間での確認が必要です。

責任分界点の誤解と正解

SaaS・PaaS・IaaS、それぞれの責任分界点

SaaS・PaaS・IaaS、それぞれの責任分界点について説明します。

SaaS・PaaS・IaaSの責任分界点図

SaaSの責任分界点

SaaSにおいて、ユーザーは用意されているアプリケーションを利用するだけとなるので、アプリケーション上での設定内容や生成したデータがユーザーの責任範囲となります。クラウドベンダーが管理するのは、インフラ基盤から動作しているアプリケーションまでのすべての層になります。IaaS、PaaSに比べると、ユーザーの責任範囲は最も小さくなりますが、一方でカスタマイズなどの自由度も非常に小さくなります。

PaaSの責任分界点

PaaSにおいて、ユーザーはアプリケーション上での設定内容や生成したデータに加え、ユーザー自身で開発するアプリケーションを管理します。クラウドベンダーが管理するのは、インフラ部分に加え、OS やネットワークの設定、ミドルウェアなどです。IaaSと比較すると、PaaSにおけるユーザーの責任範囲は小さくなります。

IaaSの責任分界点

IaaSにおいてユーザーは仮想サーバーのOSより上の領域（OS、ミドルウェア、アプリケーション）を管理します。クラウドベンダーは、ハードウェアやインフラ基盤を管理します。IaaSでは、柔軟にシステムを開発できる一方、仮想サーバーの上で動作しているOSなど広い範囲をユーザーの責任で管理する必要があります。