クラウドとは IaaS・PaaS・SaaSの違いと、責任の分け方

「クラウド」という言葉は、会計ソフトからサーバーの借り方まで、幅広い意味で使われる。サービスの資料を読むと、さらにIaaS、PaaS、SaaSといった略語が続く。この三つは、事業者が用意する範囲と、利用者が自分で管理する範囲の違いで分けられている。ここでは公的な定義にそって、クラウドの意味と三つの違い、選ぶときの考え方を整理する。

クラウドとは

総務省の平成30年版情報通信白書は、クラウドを「クラウドコンピューティング」の略で、データやアプリケーションなどのコンピューター資源をネットワーク経由で利用する仕組みと説明している。

アメリカのNIST(国立標準技術研究所)が2011年9月に出した SP 800-145 は、より細かく定めている。クラウドコンピューティングを、設定を変えられる計算資源の共有のプールに、どこからでも、都合のよいときにネットワーク経由で使えるようにするモデルとし、最小限の管理の手間や事業者とのやり取りで、すばやく用意し解放できるものとしている。そのうえで、五つの本質的な特徴、三つのサービスモデル、四つの提供形態から成る。

五つの特徴は次のとおり。

• オンデマンド・セルフサービス(人手を介さず、必要なときに利用者が自分で資源を用意できる)
• 幅広いネットワークアクセス(スマートフォンやパソコンなど、さまざまな端末から標準的な方法で使える)
• リソースの共有(事業者の資源を複数の利用者で共有し、需要に応じて割り当てる)
• 迅速な拡張性(需要に合わせて資源を増減できる)
• 従量制のサービス(資源の使用量を測り、制御し、報告する)

IaaS・PaaS・SaaSの違い

NISTは、利用者に提供される範囲によって、クラウドのサービスを三つに分けている。総務省の白書も、同じ三つで説明している。

区分	提供されるもの	利用者が管理するもの	白書の説明
IaaS(Infrastructure as a Service)	演算、ストレージ、ネットワークなどの基礎的な資源	OS、ストレージ、導入したアプリケーション	コンピューターやストレージ、ネットワークなどのハードウェアを提供するサービス
PaaS(Platform as a Service)	アプリケーションを動かすための環境(ミドルウェアなど)	自分で作った、または入手したアプリケーション	アプリケーションを開発・実行するためのツール群(プラットフォーム)を提供するサービス
SaaS(Software as a Service)	事業者のアプリケーションそのもの	利用者ごとの設定の一部	アプリケーションの機能を提供するサービス

NISTは、SaaSの利用者はネットワーク、サーバー、OS、ストレージなどの基盤を管理しない、IaaSの利用者は基盤そのものは管理しないが、OS、ストレージ、導入したアプリケーションを管理する、と書いている。

大全の掲載サービスで見ると、さくらのクラウドは仮想サーバーやストレージを提供する国産のIaaSと説明されている。AWS、Microsoft Azure、Google Cloudは、サーバーやデータベースを従量課金で提供する大手のクラウドで、仮想サーバーのようなIaaSの部品から、データベースやAIの部品までを一つの事業者が提供している。Vercelはフロントエンドの公開を自動化する開発基盤で、自分で作ったアプリを載せて動かすサービスである。SaaSの例としては、クラウド会計のfreee会計や、メールやドライブをまとめたGoogle Workspace、Microsoft 365がある。

一つの事業者が三つの層を提供することも多く、「このサービスはIaaSかPaaSか」を決めにくい場合がある。重要なのは、どこまでを事業者が管理し、どこからを自社が管理するかである。

提供形態の違い

NISTは、クラウドの提供形態を四つに分けている。

形態	内容
パブリッククラウド	一般の利用者が使えるよう提供され、事業者の施設にある
プライベートクラウド	一つの組織(複数の部門を含む)が専用で使う。組織が持つ場合も、第三者が運用する場合もあり、自社の施設の内外どちらにもあり得る
コミュニティクラウド	共通の関心(任務、セキュリティ要件など)を持つ特定のグループが専用で使う
ハイブリッドクラウド	二つ以上の異なるクラウド(上記のいずれか)を、データやアプリケーションの移植ができる技術で結びつけたもの

デジタル庁の基本方針(DS-310)も、同じ三つのサービス区分で用語を定め、IaaS、PaaSを中心に記述しつつSaaSを明示して書き分けている。

メリットと注意点

メリット

• 機器を買わずに使い始められ、需要に合わせて増減できる(NISTの特徴にあたる)
• 利用量に応じた課金にできる
• 基盤の保守を事業者が担う範囲では、自社の運用の負担が下がる

注意点

• 事業者と利用者のあいだで責任を分け合う。DS-310は、クラウドでは「責任共有モデル」により、クラウドが提供する部分は事業者(CSP)が責任を負い、利用システムはその利用についてのみ責任を負うと整理している。その責任は、業務アプリケーション、利用者の端末、運用、クラウド利用における設定、アカウント等に限られる
• 総務省の2021年の第3版のガイドラインは、クラウドの設定が十分でなかったために、意図せず管理している情報を認証なしで閲覧できる状態になった事例があることを指摘している。設定の確認は利用者の側でも行う
• 事業者がどの役割を担い責任を負うかは、サービスごとに異なる(同ガイドライン)

向いている場面・向いていない場面

• 向いている: 需要の増減が大きいシステム、短期間で立ち上げたいシステム、拠点が多い業務
• 向いていない: 事業者の環境にデータを置けない業務、既存の設備の償却中で当面入れ替えない場面(詳しくはオンプレミスとクラウドの違い)

選ぶとき・進めるときの手順

1. 目的を決める。サーバーを借りたいのか、アプリを作りたいのか、業務ソフトを使いたいのか
2. 目的に応じて、IaaS、PaaS、SaaSのどれが合うかを選ぶ。自社で管理したい範囲が広いほどIaaS寄り、狭いほどSaaS寄りになる
3. 責任共有の分担表を、事業者の資料で確認する
4. データの置き場所と、適用される法令を確認する
5. 試用や小さな環境で試し、料金の見積もりを使用量の想定から出す

よくある質問

クラウドとインターネットは同じか

同じではない。インターネットは通信の網で、クラウドはその上で計算資源やソフトを使う仕組みである。

クラウドは安全か

事業者側の対策と、利用者側の設定の両方で決まる。責任共有モデルで、自社が担う範囲を確認する。

SaaSをクラウドと呼んでよいか

呼んでよい。NISTの定義でもSaaSはクラウドのサービスモデルの一つである。

「クラウド版」と書かれた製品は何にあたるか

提供の形による。事業者がアプリを動かして利用者が使うのならSaaSにあたる。自社が借りたサーバーに入れて使う製品は、そのサーバーがIaaSで、ソフトは利用者が管理する。SaaSとパッケージソフトの違いも参照する。

次にやること

• 検討中のサービスが三つの区分のどれにあたるかを、公式の資料で確認する
• 責任共有の分担(事業者が管理する範囲と自社が設定する範囲)を、一覧にして社内で共有する
• 大全の開発・インフラの一覧で、料金の形と無料枠を比べる