IPA クラウドサービスの利用・統制 — 頻出論点と過去問

頻出論点

クラウドサービスを、使う側の会社が何を自分で受け持ち、何を事業者に任せ、外部のサービスをどう選んで見張るかという利用者の立場で学ぶ分野です。サービスの形態が上がるほど事業者の受け持ちが広がり、移行で手放せる作業と手元に残る作業は形態ごとに決まります。

クラウドの意味やサービスの形態を表す用語を選ぶ問題があります。ITパスポートには、クラウドコンピューティングの説明を選ぶ問題と、サーバ上のアプリケーションをインターネット経由で提供する事業者やその形態の名前を選ぶ問題が出ています。クラウドサービスに向けたISMSの規格を名前で選ぶ問題もあります。

移行に伴う運用作業の変化を問うのは、応用情報技術者の午前の問題です。オンプレミスの業務システムを段階的にIaaS、PaaSへ移したときに、自社で要らなくなる運用作業の組合せを選びます。プロビジョニングの説明を選ぶ問題も、応用情報技術者の午前のほか、ITストラテジストの午前IIにも出題があります。

JIS X 9401のクラウドサービス区分を、利用者と事業者の責務の分け方から判定する問題と、CASBの効果やCSPMの機能を選ぶ問題は、情報処理安全確保支援士の午前IIの出題です。クラウドサービスの導入を検討する段階の監査で、情報の保全と消失の予防の観点から確かめる事項を選ぶ問題もあります。

FaaSに関する記述、クラウドサービス派生データに当たる記述、ISMAPのリストに登録されるものや標準監査手続が定める監査の対象期間を選ぶ問題も、高度試験の午前IIに出ています。

サービスの形態は、下の層から順にどこまでを事業者が受け持つかで分かれます。

IaaSとPaaSの責務分担: IaaS（Infrastructure as a Service）では機器と設備の世話が、PaaS（Platform as a Service）ではさらにOSやミドルウェアの保守が事業者の側に移ります。
SaaS・FaaSとプロビジョニング: アプリケーションまで事業者が提供するのがSaaS（Software as a Service）です。FaaS（Function as a Service）は、関数のような小さな処理の単位で実行の場を借りる形態です。また、プロビジョニングは、需要を見込んで設備や資源を前もって用意しておくことです。

JIS X 9401が定めるデータの分類と、利用状況を見張る仕組みは、対象と主体で区別します。

クラウドサービス派生データ: 利用者がサービスを使ったことに伴って事業者の側に生まれるデータで、利用者が自分で入れたデータとは区別されます。
CASB（Cloud Access Security Broker）: 社員がどのクラウドサービスをどれだけ使っているかを会社の側でまとめて見えるようにし、認めていない利用を見つけるための仕組みです。

業務システムのバッチ処理のジョブ監視が、IaaSへの移行で要らなくなるとする誤答肢がありました。ジョブ監視は業務アプリケーションの側の作業で、基盤をIaaSに移しても利用者の手元に残ります。

CSPMの機能として、クラウド上に作ったシステムのファイルを見張ってマルウェア感染を検知するとした誤答肢がありました。動いているシステムの中身を守るのは、ワークロードの保護を受け持つ別の種類の製品の役割です。

ISMAPのリストについて、事業者が対策に取り組むと自分で宣言したサービスが載るとした誤答肢がありました。自己宣言だけでリストに載る仕組みは、ISMAPにはありません。

標準監査手続の監査対象期間について、期間を1年とした場合はリストに監査対象期間が公開されないとした誤答肢がありました。監査対象期間は、期間の長さにかかわらずリストで公開されます。

情報の保全と消失の予防を確かめる観点として、障害時の最大許容停止時間の検討を挙げた誤答肢がありました。最大許容停止時間は止まっていられる長さの限度で、データが失われないかとは別の観点です。