ある企業がクラウドサービスを採用する際、データ漏洩が発生した場合の責任範囲をクラウドプロバイダーと自社でどのように分担するかを明確にしたいと考えている。この責任分担の枠組みを表す概念として最も適切なものはどれか。
- A. 多層防御（Defense in Depth）：複数のセキュリティ層を積み重ねて攻撃を防ぐ考え方
- B. 共有責任モデル（Shared Responsibility Model）：クラウドプロバイダーと顧客の間でセキュリティ責任を分担する枠組み
- C. 最小特権の原則（Principle of Least Privilege）：必要最小限のアクセス権のみを付与する考え方
- D. ゼロトラストモデル（Zero Trust Model）：すべてのアクセスを信頼しないという前提に立つセキュリティ戦略
解答と解説を見る
正解: B
共有責任モデルは、クラウドプロバイダーと顧客の間でセキュリティの責任範囲を明確に分担する枠組みである。IaaSでは物理インフラはプロバイダー責任だがOSやアプリは顧客責任、SaaSではアプリケーション自体はプロバイダー責任だがデータやアクセス管理は顧客責任、という形で責任範囲が変わる。選択肢Aの多層防御は攻撃への対策戦略であり、責任分担の枠組みではない。選択肢Dのゼロトラストはアクセス制御の思想であり、プロバイダーと顧客の責任分担とは別の概念である。選択肢Cの最小特権は権限管理の原則であり、責任範囲の分担を定義するものではない。