AWS認定クラウドプラクティショナーの学習で、最初に固めるべきテーマが責任共有モデルです。セキュリティ分野の1論点として扱われがちですが、実際には試験全体を貫く考え方であり、他の分野の設問を解くときの判断材料にもなります。本記事では、この概念に絞って、境界がどこにあるのか、どこが試験で狙われるのかを整理します。
責任共有モデルとは何か
責任共有モデルとは、クラウドを安全に使うための責任を、クラウド事業者と利用者で分担するという考え方です。オンプレミスであれば、建物の施錠からサーバーの設置、OSの更新、アプリケーションの設定、データの管理まで、すべてを自社で担っていました。クラウドではその一部を事業者が担い、残りを利用者が担います。
重要なのは、「クラウドを使えばセキュリティは事業者に任せられる」わけではないという点です。事業者が担うのはクラウド基盤そのものの安全性であり、その上で何をどう設定するかは利用者の責任として残ります。この誤解が、実務でも試験でも最大の落とし穴になります。
この考え方を一文で表すなら、「クラウド本体のセキュリティは事業者、クラウド内のセキュリティは利用者」となります。試験ではこの区別が、さまざまな角度から問われます。
事業者が担う範囲
クラウド事業者が責任を持つのは、サービスを提供する基盤そのものです。具体的には次のような領域が該当します。
- データセンターの物理セキュリティ：入退室管理、監視、警備
- ハードウェア：サーバー、ストレージ機器、ネットワーク機器の調達と保守
- 基盤ソフトウェア：仮想化基盤、マネージドサービスの内部実装
- グローバルインフラ：リージョン、アベイラビリティゾーン、エッジロケーションの運用
- 廃棄時の処理：記憶媒体の適切な廃棄
共通するのは、利用者が触れることのできない領域だという点です。データセンターに立ち入ることも、物理サーバーを操作することもできません。だからこそ事業者が責任を持ちます。
覚え方としては、「手が届かないものは事業者の責任」と考えると整理しやすくなります。逆に、自分が管理画面から設定できるものは、利用者の責任だと判断できます。
利用者が担う範囲
利用者が責任を持つのは、クラウド上に構築したものと、そこに置いたデータです。
- データ：何を保存するか、暗号化するか、誰に見せるか
- アクセス権限：ユーザーの作成、権限の付与、多要素認証の設定
- ネットワーク設定：通信の許可・拒否ルール、公開範囲の設定
- OSとミドルウェア：仮想サーバーを使う場合の更新プログラム適用
- アプリケーション：自分が動かすプログラムの脆弱性対策
- 暗号化の設定：保存時・通信時の暗号化を有効にするかどうか
試験で頻繁に狙われるのが、この中の「アクセス権限」と「暗号化の設定」です。事業者は暗号化の機能を提供しますが、それを有効にするかどうかは利用者の判断です。同様に、権限を絞るかどうかも利用者が決めます。機能が用意されていることと、正しく設定されていることは別だ——これが試験で問われる本質です。
サービスの種類で境界が動く
責任共有モデルで最も理解が必要なのが、「境界は固定ではない」という点です。利用するサービスの抽象度によって、事業者が担う範囲が広がったり狭まったりします。
仮想サーバーを借りる形態では、事業者が担うのはハードウェアと仮想化基盤までです。その上で動くOSの更新、ミドルウェアの設定、アプリケーションの管理はすべて利用者の責任になります。自由度が高い代わりに、責任範囲も広くなります。
一方、マネージドなデータベースサービスを使う形態では、OSやデータベースソフトウェアの更新は事業者が担います。利用者が責任を持つのは、データの内容、アクセス権限、暗号化の設定といった領域に絞られます。管理の手間が減る代わりに、細かい制御はできなくなります。
さらに抽象度の高いサーバーレスの形態では、実行環境そのものを事業者が管理します。利用者はコードとその設定、データへのアクセス制御に集中できます。この「抽象度が上がるほど事業者の責任範囲が広がる」という関係を理解しておくと、初見のサービスについても境界を推測できるようになります。
試験で狙われるポイント
責任共有モデルは、次のような形で出題されます。それぞれの狙いを知っておくと、判断が速くなります。
- 直接問う形式：「次のうち利用者の責任はどれか」と、項目を並べて選ばせる
- サービス別に問う形式：「このサービスを使う場合、OSの更新は誰の責任か」
- 誤解を突く形式：「クラウドを使えばデータの暗号化は自動的に行われる」という誤った記述の正誤
- 設計判断に絡める形式：セキュリティ要件を満たすために利用者が取るべき対応を選ばせる
3つ目の「誤解を突く形式」は特に注意が必要です。「クラウドだから安全」「事業者が全部守ってくれる」という思い込みは、選択肢の中に紛れ込ませやすい誤りです。機能が提供されていることと、それが有効になっていることは別——この視点を持っていれば見抜けます。
判断に迷ったときの3つの問い
本番で境界の判断に迷ったら、次の3つを自問してください。
- 問1：それは自分が管理画面や設定から変更できるものか？ → できるなら利用者の責任
- 問2：それは物理的な設備やハードウェアに関わるものか？ → 関わるなら事業者の責任
- 問3：そのサービスはどこまで管理を任せる形態か？ → 抽象度が高いほど事業者の範囲が広い
この3つで、ほとんどの設問は判断できます。特に問1は強力です。「暗号化を有効にする」「権限を絞る」「ファイアウォールのルールを書く」——いずれも利用者が設定するものであり、したがって利用者の責任です。
実務でも効く考え方
責任共有モデルは、試験のためだけの概念ではありません。実務でクラウドを扱う際の判断の土台になります。
たとえば情報漏えいの事故は、多くの場合、事業者側の基盤に原因があるのではなく、利用者側の設定に起因します。公開範囲の設定を誤った、権限を広く与えすぎた、暗号化を有効にしていなかった——いずれも利用者の責任範囲で起きています。
また、非技術職の立場でも、この考え方を理解しているかどうかで会話の質が変わります。「クラウドに移せばセキュリティは大丈夫か」という問いに対して、「基盤は事業者が守るが、設定と権限管理は自社の責任として残る」と答えられるかどうか。この理解こそが、この認定が非技術職にも価値を持つ理由です。
ケンテイラボで境界の感覚を鍛える
ケンテイラボのAWS認定クラウドプラクティショナー対策は全507問を11分野に整理して収録しており、そのうち②セキュリティと責任共有モデルが45問を占めます。まずはここを集中的に解いて、境界の感覚を作ってください。
ただし責任共有モデルは、②の分野だけに登場するわけではありません。ストレージ、データベース、ネットワークといった他の分野の設問にも、責任範囲の判断が絡んできます。他分野を解くときも「これは誰の責任か」を意識すると、理解が立体的になります。
登録不要・完全無料で利用できるため、スキマ時間に繰り返し触れられます。この概念は一度腹落ちすれば忘れにくく、しかも試験全体に効きます。最初に投資する価値が最も高いテーマです。