責任共有モデルとは。クラウドの事業者が守る範囲、利用者が守る範囲

責任共有モデルとは、クラウドの安全と運用の責任を、クラウドの事業者と利用者が分け持つという考え方です。事業者は基盤を守り、利用者は自分のデータ、アカウント、設定を守ります。この線引きを知らないまま使うと、「事業者が守ってくれているはず」と思っていた部分が、実は誰も見ていなかった、ということが起きます。

AWS・Microsoft・Google Cloud は、それぞれ自社の責任共有モデルを公開しています。言い回しは違いますが、基本の線引きは共通しています。この記事では、公式の説明をもとに、その線引きを整理します。

責任共有モデルとは

責任共有モデルは、「クラウドそのものの安全」と「クラウドの中に置いたものの安全」を分けて考える枠組みです。

AWS は、自社の責任を「クラウドのセキュリティ（Security of the Cloud）」、利用者の責任を「クラウドにおけるセキュリティ（Security in the Cloud）」と呼び分けています。AWS は、AWS のクラウドで提供するすべてのサービスを動かす基盤を守る責任を負い、利用者の責任の範囲は、利用者が選んだサービスによって決まる、と説明しています。

出典：Shared Responsibility Model（AWS）

事業者が守る範囲

事業者が守るのは、建物、機器、ネットワーク、仮想化の基盤といった、クラウドを成り立たせている部分です。利用者からは見えず、触れることもできない部分です。

Microsoft は、自社の責任として、データセンターの物理的な安全、データセンターの中のネットワーク、物理的なサーバー、仮想化の層（ハイパーバイザー）を挙げています。PaaS と SaaS では、OS、実行の環境、ミドルウェアも Microsoft が管理します。

出典：Shared responsibility in the cloud（Microsoft Learn）

利用者はこの部分を自分で点検できないため、事業者がどのように守っているかは、第三者による評価や認証の結果で確かめることになります。政府のクラウドの評価の仕組みであるISMAPも、その手がかりの一つです。

利用者が守る範囲

利用者が守るのは、データ、アカウントとアクセスの権限、そして自分で決めた設定です。この3つは、サービスの形にかかわらず、利用者の責任として残ります。

Microsoft は、どの形で使う場合でも、データとアカウント（ID）は利用者のものであり、データ（分類・保護・暗号化の判断を含む）、端末、アカウント、アクセスの管理（多要素認証などを含む）の責任は、常に利用者に残ると説明しています。Google Cloud も、事業者は基盤とネットワークに常に責任を持ち、利用者はアクセスのポリシーとデータに常に責任を持つ、としています。

出典：Shared responsibility in the cloud（Microsoft Learn）

出典：Shared responsibilities and shared fate on Google Cloud（Google Cloud）

AWS は、利用者の責任の例として、仮想サーバーの OS（更新とセキュリティパッチを含む）と、その上に入れたアプリケーションの管理、ファイアウォールにあたるセキュリティグループの設定、データと暗号化の選択の管理、IAMによる権限の設定を挙げています。

出典：Shared Responsibility Model（AWS）

境目は、サービスの形で動く

事業者と利用者の境目は、どのサービスを使うかで動きます。利用者が管理する層が多いサービスほど、利用者の責任は広くなります。

AWS は、仮想サーバーの Amazon EC2 では、利用者が必要なセキュリティの設定と管理の作業をすべて行う必要があると説明しています。一方、ファイルを保管する Amazon S3 のように抽象化されたサービスでは、基盤、OS、プラットフォームを AWS が運用し、利用者はデータを置いたり取り出したりする窓口を使います。Google Cloud も、IaaS では安全を守る仕事の大半が利用者にあり、SaaS では大半を Google が担うと説明しています。

形ごとの運用の仕事の違いは、IaaS・PaaS・SaaS の違いと、運用の責任の分かれ目で表にしています。

両方が分担する仕事

一部の仕事は、事業者と利用者がそれぞれの範囲で同じ種類の対策をとる「分担」の形になります。

AWS は、両方が担う管理として、次の3つを挙げています。

• 更新（パッチ）の管理：基盤の欠陥の修正は AWS、利用者の OS とアプリケーションの修正は利用者
• 設定の管理：基盤の機器の設定は AWS、利用者の OS・データベース・アプリケーションの設定は利用者
• 教育：AWS は自社の社員を教育し、利用者は自社の社員を教育する

出典：Shared Responsibility Model（AWS）

なお、Google Cloud は、責任を分けるだけでは利用者の安全の向上を助けきれないとして、安全な初期の設定や設計のひな形などで利用者を支える「運命の共有（shared fate）」という考え方も打ち出しています。事業者が用意する初期の設定やひな形を使うと、利用者の側の作業の誤りを減らしやすくなります。

委託しても、利用者の責任は残る

構築や運用を外部の会社に委託しても、利用者としての責任はなくなりません。委託した範囲を、委託先が正しく担っているかを確かめる仕事が加わります。

総務省の「クラウドの設定ミス対策ガイドブック」は、システム会社が行った設定であっても最終的な責任は利用者が負うため、利用者もその設定に注意しておく必要があると説明しています。システム会社が入ると責任の分担が複雑になるため、契約などでよく確かめること、委託先の作業の状況を把握することも挙げています。利用規約の免責の条項も確かめておきます。契約の個別の判断は、弁護士などの専門家にご確認ください。

出典：クラウドの設定ミス対策ガイドブック（総務省、2024年4月）

利用者の側の設定の誤りが原因の事故と、その防ぎ方はクラウドの設定ミスによる情報漏えいと、防ぎ方で、委託先の確かめ方は委託先・クラウドサービスの管理をどう確かめるかで説明しています。

当社のご支援

当社のクラウドの構築と運用管理では、利用者の側に残る責任のうち、どこを当社が担い、どこを御社に残すかを、最初に表にして合意してから運用を始めます。いまの環境で、利用者の側の設定や権限に抜けがないかを確かめるには、クラウドのセキュリティ診断をご利用いただけます。当社が構築・運用している環境の診断は、自己点検として扱います。第三者の立場での確かめが必要な場合は、システム監査の考え方もご覧ください。