📌 結論から理解する
クラウドの責任は「プロバイダ」と「利用者」で分かれる
クラウドを使う上で最も重要な概念が責任共有モデルです。
クラウド事業者（プロバイダ）がインフラを守り、利用者（ユーザー）がデータや設定を守ります。
「クラウドだから全部業者が守ってくれる」は危険な誤解。試験でも頻出の概念。
クラウドサービスの種類
| 種類 | 提供するもの | 例 |
|---|---|---|
| IaaS Infrastructure as a Service | 仮想サーバ・ストレージ・ネットワーク | AWS EC2, Azure VM |
| PaaS Platform as a Service | OS・ミドルウェア含む開発環境 | Google App Engine |
| SaaS Software as a Service | アプリケーション一式 | Gmail, Salesforce, Slack |
責任共有モデル
誰が何を責任を持つか
責任の種類
IaaS
SaaS
データ・設定
👤 利用者
👤 利用者
OS・ミドルウェア
👤 利用者
☁️ 事業者
物理インフラ
☁️ 事業者
☁️ 事業者
SaaSでも「アクセス権設定」「データ管理」は利用者の責任。
クラウド利用時の主なリスク
- 設定ミス：S3バケットやストレージを誤って公開設定に → データ漏えい
- アカウント乗っ取り：管理者アカウントが攻撃される → 全データにアクセスされる
- シャドーIT：会社の許可なく従業員が無断でクラウドサービスを利用
- データ所在地：法律の異なる国のサーバにデータが保管される
- 可用性：事業者側の障害でサービスが使えなくなる（SLAの確認が重要）
クラウドセキュリティ対策
✅ IAM（Identity and Access Management）
最小権限の原則でアクセス権を設定。不要な権限を与えない。
最小権限の原則でアクセス権を設定。不要な権限を与えない。
✅ MFA（多要素認証）
クラウド管理者アカウントには必ずMFAを設定。
クラウド管理者アカウントには必ずMFAを設定。
✅ 暗号化
保存データ（at rest）・転送中データ（in transit）の両方を暗号化。
保存データ（at rest）・転送中データ（in transit）の両方を暗号化。
✅ ログ・監査
アクセスログを取得・定期的に確認。異常なアクセスを早期発見。
アクセスログを取得・定期的に確認。異常なアクセスを早期発見。
✅ SLAの確認
可用性（稼働率）・障害時の対応・データ返却条件をSLAで確認。
可用性（稼働率）・障害時の対応・データ返却条件をSLAで確認。
🧠 確認クイズ
Q1. IaaS・PaaS・SaaSのうち、利用者がOSのセキュリティ管理も担うのは？
Q2. クラウド利用時の「シャドーIT」とは？
Q3. 責任共有モデルで、利用者が常に責任を持つものは？