責任共有モデル

クラウドサービスにおいて、セキュリティの責任をクラウド事業者と利用者で分担する考え方。IaaS/PaaS/SaaSの各サービスモデルにより責任範囲が異なり、利用者は自身の責任範囲を正しく理解して対策を講じる必要がある。

クラウドの安全確保を、事業者と利用者で分担するという考え方。事業者は基盤側を、利用者はデータや設定、アクセス権を守る。IaaS・PaaS・SaaSで分担の境目が変わる点に注意する。

クラウドサービスにおいて、クラウド事業者と利用者の間でセキュリティ等の管理責任を分担する考え方。IaaS、PaaS、SaaSなどのサービスモデルに応じて、責任分界点が異なる。

クラウドサービスにおいて、セキュリティの責任をクラウド事業者と利用者で分担する考え方。IaaS/PaaS/SaaSの各サービスモデルにより責任範囲が異なり、利用者は自身の責任範囲を正しく理解して対策を講じる必要がある。

クラウドサービスにおいて、セキュリティの責任をクラウド事業者と利用者で分担する考え方。IaaS/PaaS/SaaSの各サービスモデルにより責任範囲が異なり、利用者は自身の責任範囲を正しく理解して対策を講じる必要がある。

クラウドサービスのセキュリティや運用の責任を、クラウド事業者と利用者がどのように分担するかを示した考え方。事業者はデータセンターの物理的な設備や基盤のセキュリティに責任を持ち、利用者はデータ、アクセス権限、設定などに責任を持つ。IaaS、PaaS、SaaSの順に事業者の責任範囲が広がるが、データとアカウント・アクセス権限の管理は常に利用者側に残る。

クラウドサービスの運用とセキュリティの確保について、事業者と利用者のどちらが何を担うかを切り分ける考え方。責任共有モデルとも呼ぶ。物理設備や基盤は事業者が守り、データやアクセス権の管理は利用者が担うのが基本で、IaaS、PaaS、SaaSの順に事業者の担う範囲が広がる。利用者は自分の責任範囲の対策を漏れなく講じる必要がある。

クラウドサービスのセキュリティ対策について、事業者と利用者がそれぞれ責任を負う範囲を、サービスの形態ごとに分担して定める考え方。IaaSでは物理設備や仮想化基盤は事業者、OS、アプリケーション、データ、アクセス権の設定は利用者が担い、PaaS、SaaSになるほど事業者の範囲が広がるが、データとアカウントの管理は利用者の責任として残る。

組織にとって価値があり保護すべき情報と、それを扱う仕組みの総称。顧客データや設計書といった情報そのもののほか、ハードウェア、ソフトウェア、記録媒体、人や役務も含む。台帳で洗い出し、重要度に応じて分類することが管理の出発点となる。

内部不正は「機会」「動機」「正当化」の3要素がそろったときに発生するという理論。アクセス権の限定と監視で機会を、処遇改善で動機を、倫理教育と規程の明示で正当化を、それぞれ断つことが内部不正防止の考え方となる。

利用者IDの管理、認証、シングルサインオン、アクセス権の付与や剥奪といったID管理機能をクラウドサービスとして提供する形態。多数のSaaSを使う環境でIDを一元管理でき、退職時の権限剥奪漏れなどを防ぎやすい。

暗号鍵の生成、配布、保管、更新、廃棄までの一生を安全に統制すること。暗号アルゴリズムが強固でも鍵の扱いが甘ければ安全性は保てないため、HSMなどでの保護、権限分離、定期的な鍵の更新（ローテーション）が要となる。

情報資産に対するリスクを体系的に特定・分析・評価するプロセス。リスク特定（脅威と脆弱性の洗い出し）、リスク分析（発生可能性と影響度の評価）、リスク評価（リスク受容基準との比較）の3段階で構成される。情報セキュリティマネジメントの基盤。

組織の情報セキュリティを体系的に管理するための仕組み。計画（Plan）、実行（Do）、点検（Check）、改善（Act）のPDCAサイクルで継続的に改善する。JIS Q 27001（ISO/IEC 27001）が要求事項を、JIS Q 27002が管理策の実施の手引きを規定する。