IaaS・PaaS・SaaSとは？

IaaS・PaaS・SaaSの意味

クラウドの提供形態の分類。仮想サーバやストレージまでを借りるIaaS、実行環境まで借りるPaaS、完成したアプリを使うSaaSと、事業者が担う層が上がるほど利用者の運用負担は減り、自由度と可搬性は下がる。

IaaS・PaaS・SaaSの具体例

既存システムをそのまま移すならIaaS、新規開発で基盤運用を任せたいならPaaS、グループウェアのように差別化しない業務はSaaS、と選び分ける。SaaSでは事業者の一斉更新に合わせて利用者側の受入確認をどう行うかが課題になる。

IaaS・PaaS・SaaSは試験でどう引っ掛けられる？

上位形態ほど良いわけではない点。SaaSは事業者都合のバージョン更新を拒めず、変更管理の主導権を失う。また移行の容易さは形態で決まり、PaaS固有機能を多用するほど乗り換えが難しくなる。

IaaS・PaaS・SaaSと関連する用語

• 責任共有モデル
• 供給者管理
• サービスカタログ

IaaS・PaaS・SaaSが出た過去問

• 利用者が，インターネットを経由してサービスプロバイダのシステムに接続し，サービスプロバイダが提供するアプリケーションの必要な機能だけを必要なときにオンラインで利…

  正解：SaaS

  要点：SaaSは必要な機能を必要なときにネット経由で使う提供形態

  SaaS（Software as a Service）は、事業者が提供するアプリケーションを、利用者がインターネット経由で必要な機能だけ必要なときに使う形態のクラウドサービスである。利用者はソフトウェアを保有せず、使った分に応じて対価を払う。

  出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問47（IPA）

• SaaS（Software as a Service）を利用するときの企業の情報セキュリティ管理に関する記述のうち，適切なものはどれか。

  正解：システムの構築を行わずに済み，アプリケーションソフトウェア開発に必要な情報セキュリティ要件の定義やシステムログの保存容量の設計が不要である。

  要点：SaaSでも利用者管理と運用の責任は利用者側に残る

  SaaSでは事業者がアプリケーションの構築・提供まで担うため、利用者はアプリケーション開発に必要なセキュリティ要件定義やログ保存容量の設計を行う必要がない。一方で、利用者の情報を扱う責任は残るため、利用者管理・アクセス権の設定・パスワードポリシの決定、障害時の業務手順やデータのバックアップ方針、社内の管理規程の整備といった管理責任は利用者側に残る。これがクラウドにおける責任共有モデルの考え方である。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問5（IPA）

• PaaS型サービスモデルの特徴はどれか。

  正解：利用者は，サービスとして提供されるOSやデータベースシステム，プログラム言語処理系などを組み合わせて利用することができる。

  要点：PaaSは開発・実行のプラットフォームを提供する形態

  PaaSは、アプリケーションの実行環境をサービスとして提供する形態で、利用者はOSやデータベース、言語処理系といったプラットフォームを組み合わせて自らのアプリケーションを開発・実行できる。仮想マシンやストレージまでを借りるIaaS、完成したアプリケーションを使うSaaSとの線引きを押さえたい。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問45（IPA）

• A社は、SaaS形式の給与計算サービス（以下、Aサービスという）を法人向けに提供する、従業員100名のIT会社である。A社は、自社でもAサービスを利用している。…

  正解：従業員を攻撃者が用意したWebサイトに誘導し、従業員の個人情報を不正に取得する標的型攻撃メール

  要点：偽サイトへ誘導し認証情報を入力させる攻撃の訓練

  訓練メールは、アカウントがロックされたと偽って偽サイトへ誘導し、氏名・所属・利用者ID・パスワードを入力させる流れになっている。これは、正規サービスを装った偽サイトで従業員自身に個人情報や認証情報を入力させて詐取する標的型攻撃を想定したものである。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問55（IPA）

• A社は，従業員100名の食品製造・販売会社である。A社では，営業部が取り扱う顧客情報をX社のSaaSであるX顧客管理サービス（以下，Xサービスという）を利用して…

  正解：有効から無効に変更する機能：機能1／無効から有効に変更する機能：機能4

  要点：社外利用にはIP制限の解除と多要素認証の追加をセットで行う

  社外からXサービスを使えるようにするには、社内のグローバルIPアドレスからのアクセスだけを許す機能1を無効にする必要があります。ただしそれだけでは利用者IDとパスワードだけが頼りになるため、所持要素であるワンタイムパスワードの機能4を有効にして認証を強化します。この二つの組合せが、利用範囲の拡大とリスク低減を両立させる変更です。

  出典：令和6年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問13（IPA）