難問定義問題

ある企業がAzureのコンプライアンスについて調査している。「Azureがあるコンプライアンス標準(例:ISO 27001)に認証を受けているとしても、そのAzure上で構築した顧客のシステム自体が自動的にISO 27001に準拠するわけではない」という説明は正しいか。

A.誤り(MicrosoftのISO認証はAzure上のシステムに自動適用される)
✗ MicrosoftのISO認証はMicrosoftが管理するインフラ・設備・運用プロセスへの認証。Azure上で構築した顧客システムのコンプライアンスは別途評価が必要。
B.正しい(インフラのコンプライアンスとシステムのコンプライアンスは別)← 正解
✓ 正解。Microsoftのコンプライアンス認証は「クラウド基盤」部分への認証であり、責任共有モデルに基づいて顧客が管理する部分(アプリ・データ・ID・設定)は顧客自身がコンプライアンスを確保する責任がある。これを「継承コントロール」と「顧客コントロール」の分離という。
C.誤り(Azure上で構築すれば自動的にすべての認証が継承される)
✗ Azure上で構築するだけで自動的にすべての認証が継承されることはない。顧客管理の範囲は顧客が対応する必要がある。
D.正しいが、SaaSサービスでは自動的に準拠扱いになる
✗ SaaSでもデータ管理・アクセス制御など顧客が責任を持つコントロールがある。SaaSだから自動準拠にはならない。

AZ-900:Microsoft Azure Fundamentals の問題一覧