クラウドコンピューティングにおける共有責任モデルとは？

更新日： 10月 30, 2026

著者：イオアナ・グリゴレスク, コンテンツマネージャー

監修者： George Ploaie, 最高執行責任者 (COO)

クラウドセキュリティの共有責任モデルについて学びましょう。SaaS、PaaS、IaaSにおける各責任を把握して、クラウドデータを安全に保ちましょう。

クラウドコンピューティングにおける共有責任モデルとは？

共同責任モデルは、クラウドコンピューティングにおいて、セキュリティの義務をクラウドサービスプロバイダーとクライアントの間で分割するフレームワークです。本質的には、クラウド環境を効果的に保護するために、セキュリティの各側面を誰が担当するかを明確にするものです。

2024年12月17日に発行されたCISAのバインディング・オペレーショナル・ディレクティブ（BOD）25-01は、米国の連邦文民政府機関に対し、特定のSaaS製品に安全な構成基準（セキュア・コンフィギュレーション・ベースライン）を適用することを義務付けています。これは本質的に、顧客側の責任範囲にあたります。

この分割の詳細は、サービスモデル（SaaS、PaaS、IaaS）によって多少異なります。

SaaS、PaaS、IaaS クラウドモデル間の責任の相違点は?

3 つのモデルの違いは次のとおりです。

SaaS (SaaS): プロバイダーは基盤となるインフラおよびアプリケーションを管理し、顧客はデータとアクセス権限ポリシー（ユーザーアクセスやデータ分類など）に対する責任を維持します。
PaaS (プラットフォームとしてのサービス): プロバイダーは、Web サービスやオペレーティングシステムなどを含むサポートシステムに責任を持ち、顧客はすべてのアプリケーションとデータに責任を持ちます。
IaaS (インフラストラクチャとしてのサービス): プロバイダーは物理レイヤーを制御し、顧客はアプリケーション、オペレーティングシステム、データを制御します。


クラウドモデル	プロバイダーの責任	お客様の責任
サービスモデルの内訳
SaaS	– 基盤インフラ – アプリケーションのメンテナンス – 暗号化とバックアップ – 物理セキュリティ – ネットワークセキュリティ	– ユーザーアクセス管理 – データ分類 – デバイスセキュリティ – セキュリティ意識向上トレーニング – インシデント対応計画
PaaS	– サポートシステム – Webサービス – オペレーティングシステム – ネットワークインフラストラクチャ	– すべてのアプリケーション – アプリケーションデータ – アクセス制御 – セキュリティ構成
IaaS	– 物理層 – ハードウェア – 基本的なネットワークインフラストラクチャ	– オペレーティングシステム – アプリケーション – データ管理 – ネットワークおよびファイアウォール構成 – アクセス管理

SaaSプロバイダーの責任となる具体的なセキュリティの側面は何ですか？

SaaSプロバイダーは、実行するサービスの以下の5つのセキュリティ側面に責任を負います。

物理的セキュリティ: データセンターとハードウェアを保護します。
ネットワークセキュリティ： 不正アクセスやサイバー攻撃による脅威に対する保護。
アプリケーションセキュリティ： セキュリティの脆弱性やバグを修正して侵害を防ぐためのソフトウェアの更新.
データセキュリティ: 保存時および転送時の両方でデータを暗号化すること、およびバックアップや災害復旧が確実に行われるようにすること。
運用セキュリティ: 脅威を検出し、セキュリティインシデントに対応すること。.

SaaS顧客の責任となる具体的なセキュリティの側面は何ですか？

SaaS顧客のセキュリティ責任は以下の側面をカバーします。Google Cloudによる同モデルの説明では、顧客は常にアクセス権限ポリシーとデータに対する責任を負い続けます（Google Cloud).

デバイスのセキュリティ: アクセスに使用されるデバイスを保護すること（対象： SaaSアプリケーション）。
アクセス管理: ユーザーの適切な制限とアプリケーションへのアクセス権、身元を確認するための手順、およびアプリケーションへのアクセスを許可するための管理を行います。
セキュリティ意識向上トレーニング： 従業員に対するセキュリティ対策とフィッシングリスクに関するトレーニング。
データ分類： 機密データを特定し、保護するための対策を講じる。
インシデント対応： 不測の事態への対応計画（コンティンジェンシープラン）を用意すること（対象：セキュリティ脅威への対処方法）。
安全な構成（セキュア・コンフィギュレーション）： アプリケーションが提供するセキュリティ設定を構成すること。CISAのBOD 25-01は、米国の連邦文民政府機関に対し、特定のSaaS製品の基準に準拠することを義務付けています（CISA).

組織は、堅牢な共有セキュリティ体制を確保するために、SaaS プロバイダーとどのように効果的にコミュニケーションとコラボレーションを行うことができますか?

組織と SaaS プロバイダーおよびサプライヤーは、次のことを行う必要があります。

SaaSプロバイダーの情報を定期的に確認する セキュリティドキュメントと認定: セキュリティ対策について学び、組織の基準を満たしていることを確認します。
適切なコミュニケーションを確保する： セキュリティ問題の議論、問題の報告、SaaSベンダーからのセキュリティアップデートの把握のために、明確なコミュニケーションチャネルを維持します。
セキュリティ意識向上プログラムに参加する： SaaSプロバイダーが提供するセキュリティ意識向上プログラムに従業員を参加させます。
共同セキュリティ評価を実施します。 共有環境におけるリスクを特定して軽減するために協力します。
サービスレベルアグリーメント（SLA）： 書面による契約合意を通じて、セキュリティ要件と責任を確立します。