【SC試験】クラウドセキュリティ — 午前I・午前II・午後 問題セット

正解： ウ）

解説：

• ア）不正解。クラウド事業者が担う範囲（インフラ等）は保護されるが、利用者側のアカウント管理・データ設定・アクセス制御等は利用者自身の責任であり、対策が不要になるわけではない。
• イ）不正解。SaaS・PaaS・IaaSでは事業者と利用者の責任分界点が異なる。IaaSでは利用者の責任範囲が広く（OS以上を利用者が管理）、SaaSでは事業者の責任範囲が広い（アプリケーションまで事業者が管理）。
• ウ）正解。責任共有モデル（Shared Responsibility Model）は、クラウド事業者と利用者が担うセキュリティ責任の境界を明確化する考え方であり、AWS・Azure・GCP等主要クラウド事業者が公表している。
• エ）不正解。物理的なデータセンターのセキュリティ（施設への入退室管理、ハードウェアの物理的保護等）は、SaaS・PaaS・IaaSいずれの形態でも一般にクラウド事業者側の責任範囲である。

正解： イ）

解説：

• ア）不正解。これはVPN（Virtual Private Network）ゲートウェイの説明であり、CSPMとは目的が異なる。CSPMは通信の暗号化ではなく設定の可視化・是正を担う。
• イ）正解。CSPMはクラウド環境（IaaS/PaaS）の構成設定を継続的に監視し、公開範囲の誤ったストレージ、過剰に許可されたセキュリティグループ、暗号化未設定のリソースなど、意図しないミスコンフィグレーション（設定不備）をベストプラクティスやコンプライアンス基準と照合して自動検知し、是正を促すツール・仕組みである。
• ウ）不正解。ビルド時のコンテナイメージ脆弱性スキャンはCSPMではなくCWPP（Cloud Workload Protection Platform）やコンテナセキュリティツールの領域であり、また「ビルド時のみ」という限定も誤り（実行時の監視も対象になり得る）。
• エ）不正解。認証情報の一元管理とシングルサインオンはIAM（Identity and Access Management）やIdP（IDaaS）の機能であり、CSPMの主目的である設定監視とは異なる。

正解例： IaaSでは事業者は物理基盤・仮想化基盤までを担い、OS・ミドルウェア・アプリ設定・データ・アクセス制御は利用者の責任範囲であるため。（58字）

解説： IaaS（Infrastructure as a Service）における責任共有モデルでは、クラウド事業者はデータセンターの物理セキュリティ、ネットワーク基盤、仮想化基盤（ハイパーバイザ等）までを管理する一方、その上のOS、ミドルウェア、アプリケーション、そして本問のようなストレージの公開設定・セキュリティグループの許可範囲・IAM権限管理といった「設定」に関する事項は利用者側の責任となる。SaaSに近づくほど事業者側の責任範囲が広がるが、IaaSでは利用者の責任範囲が最も広い。

解説・採点基準（計15点）：

部分点：事業者・利用者どちらか一方の範囲のみ正確に説明できていれば当該項目のみ加点する。

正解例： ①業務に必要な最小限の権限のみ付与する最小権限の原則を徹底する。②入退社・異動時のアカウント棚卸し（ライフサイクル管理）を定期的かつ確実に実施する。（約75字）

解説： IAM権限の過剰付与に対しては、職務遂行に必要な最小限の権限のみを付与する「最小権限の原則（Principle of Least Privilege）」の徹底が有効である。また、退職後もアカウントが有効なまま残っていた問題に対しては、人事異動・退職などのライフサイクルイベントに連動してアカウントを速やかに無効化・削除する仕組み（IDライフサイクル管理）や、定期的なアクセス権限の棚卸し（アクセスレビュー）を組織プロセスとして確立する必要がある。CSPMやIAMの自動検知ツールと組織的なプロセス（承認フロー、定期レビュー）を組み合わせることが実効性を高める。

解説・採点基準（計15点）：

部分点：観点が1つのみ正確に書けていれば当該観点分のみ加点する。