サービスモデル別の脆弱性対応
A 社は，IaaS の仮想マシンに A 社が OS と Web サーバソフトウェアを導入した Web システム，PaaS に A 社が開発してデプロイした業務アプリケーション，及び SaaS の Web メールサービスを利用している。次の脆弱性が公表されたとき，責任共有モデルに基づいて，A 社が自ら修正プログラムの適用などの対応を行う必要があるものはどれか。
- アIaaS の仮想マシンを稼働させているハイパーバイザの脆弱性
- イIaaS の仮想マシンに A 社が導入した Web サーバソフトウェアの脆弱性
- ウPaaS が業務アプリケーションの実行環境として提供している OS の脆弱性
- エSaaS の Web メールサービスのアプリケーションの脆弱性
正解と解説を見る
正解 イ
この問題の基礎知識
- 責任共有モデルでは，クラウドの構成要素ごとに，クラウドサービス事業者と利用者のどちらが管理とセキュリティ対策を担うかを分担する。
- IaaS では事業者が物理設備，ネットワーク，ハイパーバイザなどの基盤を管理し，利用者は OS，ミドルウェア及び導入したアプリケーションを管理する。
- PaaS では OS や実行環境まで事業者が管理し，利用者はデプロイしたアプリケーションを管理する。SaaS ではアプリケーションまで事業者が管理し，利用者は利用者ごとの設定やデータの扱いを管理する。
アIaaS の仮想マシンを稼働させているハイパーバイザの脆弱性
ハイパーバイザなどの仮想化基盤は，IaaS の利用者が管理・制御しないクラウド基盤に含まれ，クラウドサービス事業者が対応する。利用者はハイパーバイザを直接操作できない。
イIaaS の仮想マシンに A 社が導入した Web サーバソフトウェアの脆弱性正解
IaaS の利用者は，クラウド基盤は管理しないが，OS，ストレージ及び導入したアプリケーションを制御する。仮想マシンに自ら導入したソフトウェアの脆弱性への対応は，A 社の責任となる。
ウPaaS が業務アプリケーションの実行環境として提供している OS の脆弱性
PaaS の利用者は，ネットワーク，サーバ，OS，ストレージなどの基盤を管理・制御せず，デプロイしたアプリケーションを制御する。実行環境の OS の脆弱性にはクラウドサービス事業者が対応する。
エSaaS の Web メールサービスのアプリケーションの脆弱性
SaaS の利用者は，基盤だけでなくアプリケーションの機能も管理・制御せず，利用者ごとの限られた設定だけを行う。アプリケーションの脆弱性にはクラウドサービス事業者が対応する。
検証用の出典出典照合済み
NIST SP 800-145 The NIST Definition of Cloud Computing ／ JIS Q 27017照合の根拠（4 件）
- イ（正解）・ア（誤り）: IaaS の利用者は基盤（ハイパーバイザを含むクラウド基盤）は管理しないが，OS と導入したアプリケーションを制御する
The consumer does not manage or control the underlying cloud infrastructure but has control over operating systems, storage, and deployed applications;
NIST SP 800-145 · Section 2 Infrastructure as a Service (IaaS)（新しいタブで開きます） - ウ（誤り）: PaaS の利用者は実行環境の OS を管理・制御しない
not manage or control the underlying cloud infrastructure including network, servers, operating systems, or storage, but has control over the deployed applications and possibly
NIST SP 800-145 · Section 2 Platform as a Service (PaaS)（新しいタブで開きます） - エ（誤り）: SaaS の利用者はアプリケーションの機能も管理・制御しない
underlying cloud infrastructure including network, servers, operating systems, storage, or even individual application capabilities, with the possible exception of limited user-
NIST SP 800-145 · Section 2 Software as a Service (SaaS)（新しいタブで開きます） - ア（誤り）: ハイパーバイザのような物理層の上に配置されるソフトウェアは，クラウド基盤（抽象化層）に含まれる
The abstraction layer consists of the software deployed across the physical layer, which manifests the essential cloud characteristics.
NIST SP 800-145 · Footnote 2（cloud infrastructure）（新しいタブで開きます）
A 社が IaaS の仮想マシンに自ら導入した Web サーバソフトウェアは，IaaS の利用者が制御する「deployed applications」に当たる。ハイパーバイザがクラウド基盤の抽象化層に属することは脚注 2 の定義からの当てはめ。JIS Q 27017 は本文を参照していない。