クラウドサービスとは？くらうどさーびす
クラウドサービスは、サーバ（サービスを提供する側のコンピュータ）やソフトウェアを自社で買って持つのではなく、事業者がインターネット経由で提供するものを、必要な分だけ借りて使い、使った量に応じて料金を払う形態。借りる範囲によって、完成したアプリまで借りるSaaS（Software as a Service：サース）、アプリを動かす土台まで借りるPaaS（Platform as a Service：パース）、サーバや記憶装置などの機械だけを借りるIaaS（Infrastructure as a Service：イアース）に分かれる。ITパスポートでは、この3つの区別と、クラウドではない形態（ハウジングなど）との区別、会社が認めていないクラウドを勝手に使うシャドーITが問われる。
最終更新：2026-10-10
この語が出る過去問を解く →背景
自社でサーバを買う方式では、購入や設置に数か月かかり、繁忙期に合わせた台数を一年中持ち続ける無駄が出る。故障の対応や部品の交換、ソフトの更新も自社でやらなければならない。インターネットの回線が速く安くなり、1台の機械を何台分にも分けて貸し出す技術（仮想化）が進んだことで、事業者がまとめて持つ設備を多くの利用者が少しずつ借りる形が成り立つようになった。
具体例
社内のメールや表計算を、パソコンにソフトを入れずにWebブラウザで使うMicrosoft 365やGoogle Workspaceは、アプリまで借りるSaaSの例。システム部門が自社のプログラムを動かすためにAmazon Web Services（AWS）でサーバを借りるのはIaaSの例である。一方、会社が許可していない個人向けのオンラインストレージに業務ファイルを置いてやり取りするのは、管理の目が届かないシャドーITとして問題になる。
試験での引っ掛け
SaaS・PaaS・IaaSの借りる範囲の取り違えが定番で、「SaaS＝アプリまで、PaaS＝土台まで、IaaS＝機械だけ」と覚える。自社が買った機器を事業者のデータセンターに置かせてもらうハウジングは、設備を借りていないのでクラウドサービスではない。また、クラウドに預ければ安全になるわけではなく、誰にどのデータを見せるかといった利用者側の管理は自社の責任として残る。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成27年度 秋期 ITパスポート試験 問5（IPA）解説で登場
出典：令和3年度 秋期 ITパスポート試験 問65（IPA）解説で登場
シャドーITの例として、適切なものはどれか。
正解：データ量が多く電子メールで送れない業務で使うファイルを、会社が許可していないオンラインストレージサービスを利用して取引先に送付した。
要点：シャドーITは会社の管理外の機器・サービスの業務利用
シャドーITとは、従業員が会社の許可や管理を受けずに業務で使う機器やクラウドサービスのことを指す。会社が認めていないオンラインストレージで業務ファイルをやり取りする行為は、管理外の経路に情報が置かれるため典型的なシャドーITに当たる。
出典：令和5年度 秋期 ITパスポート試験 問56（IPA）
ISMSクラウドセキュリティ認証に関する記述として、適切なものはどれか。
正解：クラウドサービス固有の管理策が適切に導入、実施されていることを認証するものである。
要点：ISMSクラウドセキュリティ認証はクラウド固有の管理策を認証する
ISMSクラウドセキュリティ認証は、ISMS認証を取得した組織を対象に、クラウドサービス特有の管理策が適切に導入・運用されていることを追加で認証する制度です。サービスを提供する側だけでなく利用する側も対象になり、IaaSを含むクラウドサービス全般が範囲となります。
出典：令和6年度 秋期 ITパスポート試験 問82（IPA）
ISMSクラウドセキュリティ認証に関する記述として、適切なものはどれか。
正解：クラウドサービスについて、クラウドサービス固有の管理策が実施されていることを認証する制度
要点：クラウド固有の管理策の実施を認証する第三者認証制度
ISMSクラウドセキュリティ認証は、ISMS認証を取得している組織に対して、クラウドサービスの提供や利用に固有の管理策（仮想環境（1台の機械の中に作った別のコンピュータ環境）の分離や責任分界（事業者と利用者の責任の範囲の線引き）など）が実施されていることを追加で認証する制度です。認証技術の仕組みではなく、第三者が組織の取組を認証する制度である点が特徴です。
出典：令和7年度 秋期 ITパスポート試験 問2（IPA）
従来の情報セキュリティマネジメントシステム規格を基礎に追加で制定されたもので、クラウドサービスに対応した情報セキュリティ管理体制を構築するためのガイドライン規格…
正解：ISO/IEC 27017
要点：ISO/IEC 27017はクラウド向けに拡張されたISMSガイドライン
ISO/IEC 27017は、ISMS規格であるISO/IEC 27001・27002を基礎に、クラウドサービス固有の管理策を追加したガイドライン規格である。クラウド事業者と利用者それぞれの責任範囲や、仮想環境（1台の機械を複数に分けて使う仕組み）の分離、データの返却・削除といったクラウド特有の論点を扱う。関連規格として、クラウド上の個人情報保護を扱うISO/IEC 27018もある。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。