クラウドサービスの責任共有モデルとは？くらうどさーびすのせきにんきょうゆうもでる
クラウドサービスの責任共有モデルとは、クラウドの安全確保を層（物理・ハイパーバイザ・OS・ミドルウェア・アプリ・データ・ID）に分け、各層をクラウド事業者と利用者のどちらが守るかを定めた枠組み。IaaSではOSから上が利用者、PaaSではアプリとデータ、SaaSではデータとIDの管理が利用者に残る。JIS Q 27017（ISO/IEC 27017）が事業者と利用者それぞれの管理策を整理している。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
クラウドは仮想化で層を分けて提供する仕組みなので、責任もその層ごとに切らなければ、両者が「相手がやっている」と思い込む空白の層が生まれる。IaaS・PaaS・SaaSの違いは利用者が触れる層の違いであり、それがそのまま利用者の責任範囲の違いになる。支援士試験ではサービス形態ごとに利用者側の作業（パッチ適用・設定・鍵管理）を答えさせる問題が典型で、層で考える癖が要る。
具体例
Google CloudのCompute Engine（IaaS）ではLinuxのパッチ適用とファイアウォール規則は利用者の作業だが、Cloud SQL（PaaS）に移せばDBエンジンのパッチは事業者側になり、利用者はスキーマとアクセス権を守る。Salesforce（SaaS）ではデータの分類・共有設定・ログイン制御だけが利用者側に残る。
試験での引っ掛け
SaaSに移れば利用者の責任が消えるのではなく、データ分類・アクセス権・鍵の管理は最後まで残る。逆に事業者側の層を利用者が監査する権利は限られ、SOC2報告書や認証で代替する。またストレージの公開設定の誤りは事業者の脆弱性ではなく、利用者の責任範囲で起きる事故である。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (1) 情報セキュリティ管理に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。