Shared Responsibility Model
Shared Responsibility Model
Shared Responsibility Model（責任共有モデル）とは
ひとことで
クラウドサービスで、セキュリティの責任をクラウド事業者と利用者がどのように分担するかを示す考え方。分担の範囲はIaaS・PaaS・SaaSなどのサービスモデルによって変わる。
たとえると
賃貸住宅にたとえると、建物の構造や共用部分の管理は大家さんの責任ですが、部屋の鍵をかけることや、自分の持ち物の管理は住む人の責任です。家具付きの部屋かどうかで、どこまでが大家さんの担当かも変わります。
現場ではこう使う
ある会社はSaaS型のファイル共有サービスを使っていましたが、社員が機密ファイルの共有リンクを「誰でも閲覧可」に設定していたため、情報が外部から見られる状態になっていました。サーバーの管理は事業者の責任でも、共有設定やアカウントの管理は利用者側の責任であることを社内で再確認しました。
試験のポイント
EXAM POINTIaaSでは利用者の責任範囲が最も広く（OSやアプリケーションも利用者が管理）、SaaSでは最も狭くなります。ただし、どのモデルでも、データそのものと、アカウント・アクセス権の管理は利用者の責任として残る点がよく問われます。パブリッククラウドでは、データセンターの物理的な管理はどのモデルでも事業者の責任です。
混同しやすい用語との違い
- SLA事業者と利用者が合意したサービス水準（稼働率など）。責任共有モデルはセキュリティの役割分担を示す
- IaaSサーバーやネットワークなどの基盤を借りるサービスモデル。責任共有モデルの中で利用者の責任範囲が最も広い