クラウドのサービスモデル（IaaS・PaaS・SaaS）

比べて覚える

下の層ほど提供者に任せる範囲が広く，上に行くほど利用者の自由度と責任が大きくなります。 見分けるときは，ゲスト OS に手を入れられるのは IaaS だけ，自分のアプリケーションを動かすのが PaaS， できあがったアプリケーションを使うだけなのが SaaS，と覚えます。

FaaS（サーバレス）

FaaS（Function as a Service）は，PaaS をさらに進めて，関数（プログラムの小さな単位）を置くだけで，イベントが起きたときに実行されるサービスです。 サーバの起動や台数の調整は提供者が行うので，サーバレスとも呼ばれます。 令和5年度春期のネットワークスペシャリストでは，「利用者は，プログラムの実行環境であるサーバの管理を意識する必要がなく，その実行環境を使用することができる。」が正解でした。

試験での問われ方

当サイトが収録している午前の問題のうち，IaaS・PaaS・SaaS・FaaS のどれかが出てくるのは14問です。 情報処理安全確保支援士の午前Ⅱが8問で最も多く，セキュリティ対策の責任の分担として問われています。型ごとに数えると次のとおりです。

• 責任の分担（8問）。いちばん多い型です。
  • 利用企業のシステム管理者がゲスト OS の設定やセキュリティパッチの管理をできるか（4問）。 正解は「IaaS：実施可，PaaS：実施不可，SaaS：実施不可」です。午前Ⅰでは，IaaS だけでできる作業として「仮想サーバのゲスト OS に係るセキュリティの設定」を選ばせました。
  • 利用者がアプリケーションに関する項番1と2の責務を負い，提供者が DBMS・OS・ハードウェアに関する項番3〜5の責務を負う区分を選ぶ（4問）。 正解は PaaS です。選択肢の HaaS は，NIST の定義にも JIS X 9401 の区分にもありません。
• SaaS の監査（2問）。システム監査人が SaaS の利用者環境からアクセスコントロールを評価できるのは「アプリケーションの利用者 ID」です。 OS やデータベースは提供者が管理するので，利用者の側からは評価できません。
• ISMAP（2問）。政府のクラウドサービスの評価制度で，リスクの小さな業務に使う SaaS を対象にした ISMAP-LIU（1問）と， 「IaaS だけが ISMAP クラウドサービスリストに登録される」という誤りの選択肢（1問）です。
• このほか，SaaS の説明（1問。「インターネット経由でアプリケーションソフトウェアの機能を，必要なときだけ利用者に提供するサービスのこと」）と，FaaS（1問）があります。

クラウドを使うときのセキュリティの仕組みは，SASE（CASB を含む）や JIS Q 27017 のページも参照してください。

出題された過去問（14問）

リンク先の年度ページで，問題と解説を読めます。

関連する用語

SLA（サービスレベル合意書）　Kubernetes（コンテナオーケストレーション）　SASE（セキュアアクセスサービスエッジ）