--- title: "IaaS・PaaS・SaaS の違いと、運用の責任の分かれ目｜アメリア・テクノロジー株式会社" url: https://www.ameliatechnology.co.jp/blog/iaas-paas-saas-responsibility/ description: "IaaS・PaaS・SaaS は、クラウドの事業者がどこまでを用意し、管理してくれるかの違いです。3つの形の違いと、OSの更新やアプリの設定など運用の仕事がどちらに残るか、どの形でも使う側に残る仕事を、公式の資料をもとに説明します。" updated: 2026-11-14 publisher: "アメリア・テクノロジー株式会社" --- # IaaS・PaaS・SaaS の違いと、運用の責任の分かれ目 IaaS・PaaS・SaaS は、クラウドの事業者がどこまでを用意し、管理してくれるかの違いです。3つの形の違いと、OSの更新やアプリの設定など運用の仕事がどちらに残るか、どの形でも使う側に残る仕事を、公式の資料をもとに説明します。 2026.11.14 [クラウドと運用](https://www.ameliatechnology.co.jp/blog/category/cloud/) 執筆 [桐谷彰人](https://www.ameliatechnology.co.jp/blog/author/kiritani/)（取締役COO） クラウドと運用（CLOUD & OPERATIONS）のコラム ## この記事の要点 - IaaS は基盤を借りて OS から自分で管理する形、PaaS はアプリを動かす環境まで借りる形、SaaS はアプリをそのまま使う形です。 - OS の更新は、IaaS では使う側、PaaS と SaaS では事業者が受け持つのが基本です。 - データ、アカウント、アクセスの管理は、どの形でも使う側の仕事として残ります。 IaaS・PaaS・SaaS の違いは、クラウドの事業者がどこまでを用意して管理し、どこからを使う側が管理するか、の違いです。事業者の受け持ちが広がるほど使う側の運用の仕事は減りますが、どの形でも使う側に残る仕事があります。 クラウドを選ぶとき、機能や料金に目が行きがちですが、「選んだ後に、誰がどの作業をするか」も同じくらい大切です。この記事では、3つの形の違いと、運用の責任の分かれ目を説明します。 ## IaaS・PaaS・SaaS とは 3つの形は、米国の国立標準技術研究所（NIST）のクラウドの定義で、サービスの型として整理されています。 - **[IaaS](https://www.ameliatechnology.co.jp/glossary/iaas/)**（Infrastructure as a Service）：計算の資源、保存の場所、ネットワークを借りて、OS を含む好きなソフトウェアを動かす形です。基盤そのものは管理しませんが、OS とその上のソフトウェアは使う側が管理します - **[PaaS](https://www.ameliatechnology.co.jp/glossary/paas/)**（Platform as a Service）：事業者が用意した開発の道具や実行の環境の上に、自分のアプリケーションを置いて動かす形です。基盤や OS は管理せず、置いたアプリケーションを管理します - **[SaaS](https://www.ameliatechnology.co.jp/glossary/saas/)**（Software as a Service）：事業者が提供するアプリケーションを、そのまま使う形です。使う側が触れるのは、利用者ごとの限られた設定です 出典：[The NIST Definition of Cloud Computing（NIST SP 800-145）](https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-145.pdf) 身近な例でいうと、総務省の資料は、会計や Web 会議などの業務のアプリを提供するものを SaaS、データベースなど開発や実行に要る環境を提供するものを PaaS、CPU や保存の場所、ネットワークなどの基盤を提供するものを IaaS として説明しています。 出典：[クラウドの設定ミス対策ガイドブック（総務省、2024年4月）](https://www.soumu.go.jp/main_content/000944467.pdf) ## 運用の責任は、どこで分かれるのか 運用の責任の分かれ目は、「OS を誰が管理するか」で大きく変わります。IaaS では使う側、PaaS と SaaS では事業者が OS を受け持つのが基本です。 Microsoft は、責任の分け方を表にして公開しています。それによると、データセンター、物理的なネットワーク、物理的なサーバーは、IaaS・PaaS・SaaS のいずれでも Microsoft の責任です。OS は IaaS では利用者、PaaS と SaaS では Microsoft の責任とされています。アプリケーションやネットワークの設定は、形によって分担が変わります。 一方で、データ、端末、アカウント、アクセスの管理（多要素認証などを含む）は、どの形でも利用者の責任として残る、と説明しています。 出典：[Shared responsibility in the cloud（Microsoft Learn）](https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility) OS を誰が管理するかで、責任の分かれ目が変わる（Microsoft の責任の表より） - **IaaS**：データセンター・物理的なネットワーク・物理的なサーバーは事業者。**OS は利用者** - **PaaS・SaaS**：OS も事業者。アプリケーションやネットワークの設定は、形によって分担が変わる - **どの形でも**：**データ、端末、アカウント、アクセスの管理は利用者**に残る Google Cloud も同じように、IaaS では安全を守る仕事の大半が利用者にあり、SaaS では大半を Google が担うが、アクセスとアプリに置いたデータは利用者が管理する、と説明しています。 出典：[Shared responsibilities and shared fate on Google Cloud（Google Cloud）](https://docs.cloud.google.com/architecture/framework/security/shared-responsibility-shared-fate) この考え方は[責任共有モデル](https://www.ameliatechnology.co.jp/glossary/shared-responsibility-model/)と呼ばれます。事業者ごとの説明の違いは、[責任共有モデルとは。クラウドの事業者が守る範囲、利用者が守る範囲](https://www.ameliatechnology.co.jp/blog/shared-responsibility-model-explained/)でくわしく扱っています。 ## 形ごとに、運用で残る仕事 形ごとに、使う側に残る主な運用の仕事を並べると、次のようになります。 | 仕事 | IaaS | PaaS | SaaS | |---|---|---|---| | OS の更新 | 使う側 | 事業者 | 事業者 | | ミドルウェア（Web サーバー・データベースなど）の管理 | 使う側 | 主に事業者 | 事業者 | | アプリケーションの設定と改修 | 使う側 | 使う側 | 利用者ごとの設定だけ | | ネットワークの設定 | 使う側 | 一部を使う側 | 主に事業者 | | データの管理 | 使う側 | 使う側 | 使う側 | | アカウントと権限 | 使う側 | 使う側 | 使う側 | 表は一般的な分け方で、細かな分担はサービスごとに違います。たとえば、データのバックアップを事業者がどこまで取ってくれるか、誤って消したデータを戻せるかは、サービスの説明と利用規約で確かめます。「SaaS だからバックアップはいらない」と決めつけず、自社で別に保管する必要があるかを判断します。 IaaS を選んだ場合は、OS や Web サーバーの更新（[セキュリティパッチ](https://www.ameliatechnology.co.jp/glossary/security-patch/)の適用など）を自社か委託先が計画的に行う必要があります。更新が止まると、修正されていない弱点が残ったままになります。 ## どの形を選ぶか。運用の手間と自由度のつり合い 事業者に任せる範囲が広いほど運用の手間は減りますが、細かな設定の自由度も小さくなります。どの形を選ぶかは、このつり合いで決めます。 業務に合う SaaS があれば、運用の負担は大きく減ります。独自のシステムを作る場合も、まず PaaS で足りないかを考え、OS から自由に設定したい理由があるときに IaaS を選ぶ、という順番で考えると、運用の手間を増やしすぎずに済みます。 ただし、特定の事業者の独自の機能に深く頼るほど、ほかに移りにくくなります。この点は[ベンダーロックイン](https://www.ameliatechnology.co.jp/glossary/vendor-lock-in/)と呼ばれ、[ベンダーロックインを避けるには。原因と、契約・設計での手当て](https://www.ameliatechnology.co.jp/blog/avoid-vendor-lock-in/)で考え方をまとめています。 ## 当社のご支援 当社の[クラウドの構築と運用管理](https://www.ameliatechnology.co.jp/service/cloud/)では、IaaS・PaaS・SaaS のどれを使うかの整理から、構築、運用までをお手伝いしています。いまの構成で、OS の更新や権限の管理など、使う側に残る仕事が回っているかを確かめたい方は、[クラウドの自己診断](https://www.ameliatechnology.co.jp/diagnosis/cloud/)（無料）や、クラウドの現状チェックをご利用ください。 - IaaS - PaaS - SaaS - 責任共有モデル ## この記事に出てくる用語 - [IaaS](https://www.ameliatechnology.co.jp/glossary/iaas/) - [PaaS](https://www.ameliatechnology.co.jp/glossary/paas/) - [SaaS](https://www.ameliatechnology.co.jp/glossary/saas/) - [クラウド](https://www.ameliatechnology.co.jp/glossary/cloud/) - [データベース](https://www.ameliatechnology.co.jp/glossary/database/) - [サーバー](https://www.ameliatechnology.co.jp/glossary/server/) - [多要素認証（MFA）](https://www.ameliatechnology.co.jp/glossary/mfa/) - [Google Cloud](https://www.ameliatechnology.co.jp/glossary/google-cloud/) この記事を書いた人 [桐谷彰人](https://www.ameliatechnology.co.jp/blog/author/kiritani/) 取締役COO システムエンジニアとして、ビジネスモデルの策定から要件定義、開発、コードレビューまでを担当してきました。運送管理、飲食業向けのDX、ECサイトなど、さまざまな業界のシステム開発に携わっています。 このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。 ## あわせて読みたい - [Windowsサーバーと Active Directory を Azure へ移すときの考え方](https://www.ameliatechnology.co.jp/blog/windows-ad-to-azure/) - [Google Cloud を選ぶ場面。データ分析と Google Workspace とのつながり](https://www.ameliatechnology.co.jp/blog/when-to-choose-google-cloud/) - [Well-Architected の柱で、いまの構成を確かめる](https://www.ameliatechnology.co.jp/blog/well-architected-review/) [クラウドと運用のコラムを見る](https://www.ameliatechnology.co.jp/blog/category/cloud/) [コラムの一覧に戻る](https://www.ameliatechnology.co.jp/blog/) ## 次の一歩 ### クラウドの構築と運用を任せる AWS・Microsoft Azure・Google Cloud の設計・構築・移行から、監視・運用・セキュリティまでを一つのチームで受け持ちます。監視は仕組みで24時間365日自動に回し、原因の調査と再発の防止は当社が担います。 [クラウドの構築と運用管理を見る](https://www.ameliatechnology.co.jp/service/cloud/) ### クラウドの状態を、無料で確かめる 15の設問に答えると、構成と管理・権限・守り・障害への備え・費用と体制の5つの分野の点数と、最初に取り組むことをまとめたレポートをその場でお届けします。 [クラウドの自己診断（無料）を受ける](https://www.ameliatechnology.co.jp/diagnosis/cloud/) ## ご関心に合わせて、お選びください。 [情報を集めている方へ会社案内、AI開発の例、セキュリティ診断の報告書の見本をお送りします。資料をダウンロード](https://www.ameliatechnology.co.jp/download/)[課題が見えている方へオンラインで30分、お話をうかがいます。費用はかかりません。無料で相談する](https://www.ameliatechnology.co.jp/contact/)[進め方を決めたい方へ2〜4週間で、優先順位と計画をまとめるAI活用の診断です。診断について見る](https://www.ameliatechnology.co.jp/pricing/#diagnosis) --- 出典：アメリア・テクノロジー株式会社「IaaS・PaaS・SaaS の違いと、運用の責任の分かれ目｜アメリア・テクノロジー株式会社」 https://www.ameliatechnology.co.jp/blog/iaas-paas-saas-responsibility/