SaaS（Software as a Service）を利用するときの企業の情報セキュリティ管理に関する記述のうち，適切なものはどれか。

選択肢

• アシステム運用を行わずに済み，障害時の業務手順やバックアップについての検討が不要である。
• イシステムのアクセス管理を行わずに済み，パスワードの初期化の手続や複雑性の要件を満たすパスワードポリシの検討が不要である。
• ウシステムの構築を行わずに済み，アプリケーションソフトウェア開発に必要な情報セキュリティ要件の定義やシステムログの保存容量の設計が不要である。
• エシステムの情報セキュリティ管理を行わずに済み，情報セキュリティ管理規程の策定や管理担当者の設置が不要である。

正解と解説

正解：ウ システムの構築を行わずに済み，アプリケーションソフトウェア開発に必要な情報セキュリティ要件の定義やシステムログの保存容量の設計が不要である。

SaaSでは事業者がアプリケーションの構築・提供まで担うため、利用者はアプリケーション開発に必要なセキュリティ要件定義やログ保存容量の設計を行う必要がない。一方で、利用者の情報を扱う責任は残るため、利用者管理・アクセス権の設定・パスワードポリシの決定、障害時の業務手順やデータのバックアップ方針、社内の管理規程の整備といった管理責任は利用者側に残る。これがクラウドにおける責任共有モデルの考え方である。

選択肢ごとの解説

• アクラウド側の障害でも業務は止まるため、代替手順やバックアップの検討は利用者に必要である。
• イ利用者IDの発行・停止やパスワードポリシの決定は、SaaSでも利用者側の責任範囲である。
• ウ正しい。アプリケーションは事業者が構築・運用するため、開発時のセキュリティ要件定義やログ容量設計は不要になる。
• エ自社の情報を預ける以上、管理規程の策定や管理担当者の設置といった管理責任は残る。

同じ分野の他の問題

• 組織的なインシデント対応体制の構築を支援する目的でJPCERTコーディネーションセンターが作成したものはどれか。2026年度 公開問題 科目A・B 問2
• JPCERT/CC "CSIRTガイド（2015年11月26日）"では、CSIRTを活動とサービス対象によって六つに分類…2019年度 春期 午前 問2
• 情報セキュリティ管理を推進する取組みa～dのうち，IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”にお…2018年度 秋期 午前 問10
• JIS Q 27014:2015（情報セキュリティガバナンス）における，情報セキュリティガバナンスの範囲とITガバナンス…2018年度 秋期 午前 問8
• 組織的なインシデント対応体制の構築や運用を支援する目的でJPCERT/CCが作成したものはどれか。2018年度 秋期 午前 問1