営業部が、IaaSで仮想サーバを借りて顧客向けの資料請求サイトを構築したいと申し出た。 部内では「事業者はISMS認証を取得しているので、セキュリティは事業者に任せられる」 という意見が出ている。情報セキュリティ担当者の助言として、最も適切なものはどれか。

正解：エ

各選択肢の解説

1. ア認証を取得した事業者なので、仮想サーバのOSへの修正プログラムの適用も事業者に任せてよい。

   誤り。IaaSで事業者が管理するのは、データセンターや物理サーバ、仮想化基盤までです。 仮想サーバのOSは利用者が自分で入れて使う部分なので、修正プログラムの適用も利用者が 行います。事業者の認証は事業者の管理範囲についてのもので、利用者の範囲には及びません。

2. イサイトのプログラムは自社で管理し、OSとミドルウェアの修正プログラムは事業者に任せる。

   誤り。これはPaaSの分担です。PaaSなら事業者がOSやミドルウェアまで管理し、利用者は その上のアプリケーションとデータを受け持ちます。IaaSは事業者の範囲がもっと狭く、 OSとミドルウェアも利用者が管理します。どのサービスモデルかで境界が動く点に注意します。

3. ウ事業者のデータセンターの入退室管理も、自社の担当者が定期的に立ち入って点検する。

   誤り。データセンターの物理的な管理は事業者の責任範囲で、利用者が立ち入って点検するのは 一般的ではありません。事業者側の管理は、認証や第三者による監査の報告書などで確かめます。 自社が力を割くべきなのは、自社の責任範囲のほうです。

4. エOSより上の修正プログラムの適用やアクセス権の設定は自社が担うので、体制と手順を決める。

   正解。クラウドサービスの責任共有モデルでは、IaaSの利用者はOS・ミドルウェア・ アプリケーション・データ・アクセス権を受け持ちます。事業者の認証は自社の範囲を 肩代わりしないので、自社側の運用を決めておく必要があります。

理解を深めるために