平成28年度 春期 午前 問41

✓ これが正解ウシステムの構築を行わずに済み，アプリケーションソフトウェア開発に必要なセキュリティ要件の定義やシステムログの保存容量の設計が不要である。

解説

利用者は運用や統制の責任を引き続き負います。

SaaS は、ベンダが用意したアプリケーションをネットワーク越しに借りて使う形です。借りた側が肩代わりされるのは、そのアプリケーション自体の開発と、その動作を支える基盤の構築です。逆に、業務としてどう使うか、誰にどこまで許すか、規程や担当者をどう置くか、といった統制の営みは、借りた側の手元に残り続けます。判定の軸は、SaaS で消えるのが「作る側の仕事」に限られるか、それとも「使う側の統制まで含む」かの見立ての違いです。当てはまるのは、システムの構築が不要になり、それに伴ってアプリケーション開発時のセキュリティ要件やシステムログ保存容量の設計といった作る側の設計事項が不要になる、と述べた記述でした。裏返して言うと、運用の段取り、認証情報の扱い、社内の管理体制は、SaaS を選んだからといって手放せません。

ほかの選択肢はなぜ違うのか

• アシステム運用を行わずに済み，障害時の業務…：システム運用を行わずに済み、障害時の業務手順やバックアップについての検討が不要であると述べています。運用そのものはベンダ側でもなされますが、業務が止まったときの段取りや、利用者が自分で残しておくべきバックアップの取り方は、借りた側で決めておく事柄です。
• イシステムのアクセス管理を行わずに済み，パ…：システムのアクセス管理を行わずに済み、パスワードの初期化の手続や複雑性の要件を満たすパスワードポリシの検討が不要であると述べています。誰にどの機能まで許すかや、パスワードの作り方と初期化の段取りは、SaaS でも借りた側で決めて回す必要があります。
• エシステムのセキュリティ管理を行わずに済み…：システムのセキュリティ管理を行わずに済み、情報セキュリティ管理規定の策定や管理担当者の設置が不要であると述べています。統制の枠組みを整え、誰が責任を負うかを定める仕事は、SaaS を利用しても借りた側の組織に残ります。