クラウドセキュリティとは？事業者と自社で責任を分ける境目を解説する

クラウドセキュリティとは、クラウドで扱うデータ、ID、設定、アプリを、不正アクセスや情報漏えい、消失から守る対策のことです。全部を事業者が担うのではなく、事業者と自社で役割を分けて進めます。

今日やることは、使っているクラウドの一覧を作り、SaaSかIaaSかの印を付けることです。横に「管理者」「バックアップの担当」⁠の欄を足してください。空欄になった場所が、自社の責任なのに誰も見ていない可能性のある場所です。

事業者と自社の境目はどこにある？

大まかには、建物と機械は事業者、中に入れるものとその扱いは自社と考えると整理しやすくなります。

IPAが2026年6月付で出している説明資料は、クラウドの安全は事業者と利用者が役割と責任を分担して保つものだとしています。総務省の適切な設定のためのガイドライン⁠も同じ考え方を「責任共有モデル」⁠と呼びます。

ただし同じガイドラインは、責任の範囲は一律に決まらず、サービスの内容や利用条件で変わるとしています。免責事項まで確かめる必要があるという指摘です。以下は考え方の整理で、最後に見るべきものは自社の契約です。

SaaSとIaaSでは何が変わる？

SaaSは、メールや会計ソフトのように完成した機能を使う形です。IaaSは、仮想サーバーなどの土台を借りて、その上に自分でソフトを載せる形です。

Microsoftの責任分担の表を、この2つ⁠に絞って並べると次のようになります。同社は、この表を説明用のもので、契約の条件を変えるものではないと断っています。ほかの事業者でも同じとは限りません。

上の3行⁠がどちらも自社である点に注目してください。「クラウドにしたから任せた」⁠と言えない部分です。同社は、どの形でもデータ、端末、アカウント、アクセス管理は利用者に残ると説明しています。

SaaSで自社が持つ責任

総務省のガイドラインは、アプリの動作に関わる設定をSaaS事業者の責任、利用者アカウントや業務データの設定を利用者の責任と分けています。

実務に置き換えると、次のような作業が自社の側です。

• 誰にアカウントを渡し、退職や異動のときにいつ止めるか
• 誰に管理者権限を与えるか
• 2段階認証を使うか
• ファイルの共有範囲を社内に限るか、社外まで開けるか

IaaSで自社が持つ責任

ガイドラインでは、仮想環境の動作に関わる設定はIaaS事業者の責任です。その上で動くOSを含むソフトの管理は利用者が行います。OSやミドルウェアの障害対応、パッチの適用、ぜい弱性への対応も利用者の責任です。

AWSの責任共有モデル⁠も同じ線を引いています。AWSの役割は基盤となるハードウェアや施設などの保護です。IaaSに分類されるAmazon EC2では、ゲストOSの更新、入れたソフトの管理、セキュリティグループの構成が利用者の責任です。

AWSが利用者の責任は選ぶサービスによって変わると書いている点も押さえておきましょう。同じ会社のクラウドでも、サービスが違えば境目が動きます。

製造業の場合、どこに線が引かれる？

たとえば、設計部がオンラインストレージで協力工場へ図面を渡している場合です。保存の仕組みやサーバーの管理は事業者の担当です。

一方で、共有リンクを誰に開くか、取引が終わった相手の権限をいつ外すかは自社の担当になります。図面を置いてよいかどうかも、取引先との秘密保持の約束に照らして自社で判断します。

別の例として、生産管理システムを、開発会社がIaaSの上に作っている場合を考えます。ガイドラインの整理では、OSの更新は利用者側に入ります。実際の作業を開発会社に任せることはできますが、その場合は保守契約に入っているかどうかが分かれ目です。

このような委託について、ガイドラインは、契約を結ぶ前に責任分界、運用上の役割、免責事項をよく確かめるよう求めています。IPAの情報セキュリティ10大脅威 2026でも、組織編の2位⁠は「サプライチェーンや委託先を狙った攻撃」⁠で⁠し⁠た⁠。委託は責任の境目が見えにくくなる場所です。

境目があいまいだと、何が起きる？

総務省のガイドラインは、設定不備による漏えいの例を3つ挙げています。どれも、責任の境目が抜けた場面として読めます。

同じ資料は、IPAの2021年⁠の届出状況で、不正アクセスの原因のうち設定不備がおよそ17.7%⁠で3位だったことも紹介しています。少し古い年の数字ですが、利用者の設定が見過ごせない原因であることは読み取れます。

事業者側で事故が起きることもあります。IPAの説明資料には、事業者の作業ミスで5,000件⁠を超える顧客データが消えた事例が載っています。ここから言えるのは、任せる部分があるからこそ、データを自社の手元にも置いておく意味があるということです。

自社の責任の範囲は、どう確かめる？

IPAの中小企業の情報セキュリティ対策ガイドライン 第4.0⁠版には、付録7として「中小企業のためのクラウドサービス安全利用の手引き⁠」⁠があります。チェックシートは15項目で、選ぶとき6項目⁠、運用するとき4項目⁠、セキュリティ管理5項目⁠に分かれています。

今使っているサービスに当てはめるなら、運用の4項目から始めると手が動きやすくなります。説明資料では次の内容です。

1. 管理担当者を決める
2. 利用者の範囲と権限を決める
3. 認証を厳格にする。IDとパスワードを共有せず、2段階認証なども使う
4. バックアップに責任を持つ。社内のストレージへの保存や複数世代の取得を検討する

情シスを兼任している担当者の場合、全サービスを一度に見ようとすると止まりがちです。扱う情報の重さで順番を付けましょう。図面、見積もり、取引先情報、個人情報が入るものが先です。

自社の側を点検する道具は要る？

サービスの数と形によって答えが変わります。私たちは次のように分けて考えています。

• SaaSだけを使っている会社：SaaSの管理画面の点検が中心です。数が増えて手で追えなければ、SSPM（SaaSの設定管理）⁠の製品比較で範囲を確かめます
• 社員が何を使っているか分からない会社：CASBでクラウドの利用を見える化する方法⁠が先です。比べるならCASBの製品比較です
• AWSなどをIaaSとして使っている会社：CSPMで設定ミスを見つける仕組み⁠を確かめます
• 自社開発のアプリをクラウドで動かしている会社：CNAPPとCSPM、CWPPの関係⁠が判断の材料になります。CNAPPの製品比較も同じ話の続きです

道具を入れても、責任の持ち主が変わるわけではありません。見つかった指摘を誰が直すかが決まっていないと、一覧が増えるだけになります。ほかの領域とのつながりは、クラウドセキュリティの記事一覧⁠にまとめています。