修了試験 2021-06-13実施分 基本情報技術者試験 問40

解説

正解は3です。 SaaS（Software as a Service）を利用するときに、利用企業がまだ行うべきセキュリティ管理を問う問題です。 SaaSでは、アプリケーションソフトウェアの構築と運用はサービス提供者が行います。 一方で、利用者の管理、データの扱い、障害時の業務手順などは利用企業の責任として残ります。 【選択肢別解説】 1：× システム運用は不要になりますが、障害時の業務手順や重要データのバックアップは利用企業が検討する必要があります。 サービスが止まっても業務を続けられるようにするためです。 2：× 利用者IDの登録や削除、パスワードの初期化手続、パスワードポリシの検討は、利用企業側で必要です。 アクセス管理は利用者の責任として残ります。 3：○ アプリケーションは提供者が構築済みなので、利用企業がその開発のためのセキュリティ要件を定義したり、システムログの保存容量を設計したりする必要はありません。 4：× 情報セキュリティ管理規程の策定や管理担当者の設置は、SaaSを利用していても企業として必要です。 外部サービスの利用も管理の対象になります。 【ポイント】 クラウドサービスでは、提供者と利用者の責任範囲を分けて考えます。 SaaSでも、アカウント管理やデータの取扱いは利用者の責任として残ると覚えましょう。