責任共有モデル

責任共有モデルは、どのセキュリティ統制をクラウド事業者が運用し、どれを顧客自身が実装しなければならないかを定義します。IaaS では、事業者が物理データセンター・ハイパーバイザー・基幹ネットワークを守り、顧客はゲスト OS のパッチ適用、IAM、ネットワーク設定、暗号化、アプリケーションコードに責任を負います。PaaS や SaaS では事業者が担う層は増えますが、ID、データ分類、共有設定、連携先のセキュリティといった顧客の責務は残ります。これらの境界を誤解することはクラウド侵害の主要な原因であり、顧客は事業者がワークロードやデータを守っていると勘違いしがちです。AWS・Azure・GCP などの大手はそれぞれモデルを公開しており、統制マッピングの基礎として用いるべきです。