SaaSとIaaSの違いとは？技術構造・責任範囲とXaaSの全体像を解説

SaaSとIaaSの違いは、クラウド事業者が用意する範囲と、利用者が自分で管理する範囲の違いです。IaaSは仮想サーバーやストレージ、ネットワークといったインフラだけを借り、OSから上は利用者が構築・運用します。SaaSはアプリケーションまで完成した状態で提供され、利用者はアカウントやデータ、設定を管理して使います。この記事では、SaaSとIaaSの違いを早見表で示したうえで、XaaSの中での位置づけ、技術構造、責任範囲、選び方、併用のしかた、誤解されやすい点、社内で理解をそろえる方法を順に解説します。

目次

開く

閉じる

1. SaaSとIaaSの違い｜結論と早見表
2. SaaSとIaaSの理解を社内でそろえる｜教材・テスト・研修を支えるeラーニング3つ
3. XaaSとは｜SaaS・IaaSはクラウド全体のどこにあるか
4. SaaS・IaaSの技術構造の違い｜仮想化とマルチテナント
5. 責任範囲の違い｜利用者が管理する範囲
6. SaaSとIaaSの選び方｜4つの質問で判断する
7. SaaSとIaaSを併用するケース
8. 技術構造を理解する際によくある誤解
9. 今後の技術動向｜AI機能とSaaS・IaaSの関係
10. 自社のクラウド利用を棚卸しする｜責任範囲を確認する5つの手順
11. よくある質問(FAQ)
12. まとめ
13. 参考文献

SaaSとIaaSの違い｜結論と早見表

SaaSとIaaSの違いは、クラウド事業者がどこまで用意するかにあります。IaaSは仮想サーバーなどの基盤だけを貸し出し、SaaSはアプリケーションまで完成させて提供します。

項目	SaaS	IaaS
事業者が用意する範囲	アプリケーションまで(基盤・OS・アプリ)	仮想サーバー・ストレージ・ネットワークなどの基盤
利用者が管理する範囲	アカウント、設定、入力するデータ	OSから上のソフトウェアすべてとデータ
使い始めるまで	契約とアカウント発行で使い始められる	環境を設計し、OSやソフトを入れてから使う
自由度	提供される設定項目の範囲内	OSやソフトを自由に選んで構成できる
費用の増え方	利用者(アカウント)数やプランに応じて増えることが多い	使ったリソースの量に応じて増える従量課金が中心
公式資料に出ている例	Microsoft 365、Google Workspace	Azureの仮想マシン、Google Compute Engine

どちらが優れているかを決める話ではありません。AWSのIaaS解説も、どのサービスモデルを選ぶかはアプリケーションの要件によって異なり、ある選択肢が必ずしも他より優れているとは限らないとしています。大切なのは、自社がどの層まで管理する立場なのかを理解したうえで選ぶことです。次の章では、その理解を社内の全員にそろえる方法を先に紹介し、そのあとで技術構造と責任範囲を詳しく見ていきます。

SaaSとIaaSの理解を社内でそろえる｜教材・テスト・研修を支えるeラーニング3つ

SaaSとIaaSの違いは、情報システム部門だけが理解していても役に立ちません。利用部門が自分の担当範囲を知らないと設定ミスが起きるため、教材・確認テスト・研修の仕組みで全社にそろえる方法があります。

総務省の「クラウドサービス利用・提供における適切な設定のためのガイドライン」は、クラウドの設定不備の真因として、利用側のクラウド利用に関する理解不足や不十分な管理・作業体制を挙げています。そこで、教材づくり、テスト、研修という役割の違いでeラーニング3つを並べます。いずれもSaaSやIaaSそのものを教える教材とは限らず、自社で決めた責任分担やルールを全員に届けて確かめる仕組みです。教材の範囲は資料で確認してください。

SaaSとIaaSの責任分担表や運用手順を、そのまま自社の研修コースにしたい場合の一例が、Smart Boarding(株式会社FCE)です。自社オリジナルのコースを作成でき、学習の進捗管理も行えます。一方で、電話やメール相談、教育プログラム設計といった手厚いサポートを受けられるのは「充実サポートプラン」のみです。料金はプランによって異なるため、資料や公式サイトで確認してください。

Smart Boardingの導入を決めた理由は、動画学習と社内マニュアルの両方を一つのプラットフォームで活用できる点にあります。

Smart Boarding 導入事例(株式会社ミツハシ、責任者のコメント) 出典：導入事例ページ

XaaSとは｜SaaS・IaaSはクラウド全体のどこにあるか

XaaS(X as a Service)とは、ITの機能を所有せず、サービスとして利用する形態の総称です。SaaS・PaaS・IaaSはその代表で、事業者がどの層まで提供するかによって区別されます。

XaaSのXには、提供されるものの頭文字が入ります。米国国立標準技術研究所(NIST)が公表したクラウドコンピューティングの定義(SP 800-145)は、サービスモデルを3つに整理しています。デジタル庁の「政府情報システムにおけるクラウドサービスの適切な利用に係る基本方針」(DS-310)も、この3つを次の表のように定義しています。

名称	提供されるもの(DS-310の定義を要約)	公式資料に出ている例
SaaS(Software as a Service)	業務系のアプリケーションやコミュニケーションなどの機能がサービスとして提供される	Microsoft 365、Google Workspace
PaaS(Platform as a Service)	IaaSに加えて、OS、基本的な機能、開発環境や運用管理環境などもサービスとして提供される	Azure App Service、Google App Engine
IaaS(Infrastructure as a Service)	CPU、ストレージ、ネットワークなどの基礎的なリソースが提供され、利用者はその上にOSや任意の機能を構築できる	Azureの仮想マシン、Google Compute Engine
その他のXaaS	特定の機能や基盤を提供する(CaaS、FaaS、DaaS、IDaaSなど)	次の見出しで解説

表の例は、Microsoft Learnの「クラウドでの共同責任」と、Google Cloudの「PaaS、IaaS、SaaSの違い」などが公式資料で示しているものです。IaaSは下の層だけ、PaaSは中間の層まで、SaaSはアプリケーションまでを提供する、という積み重ねで見ると整理しやすくなります。上に行くほど利用者の手間は減り、その分、自由度は小さくなります。クラウドという言葉の中にSaaSが含まれる関係は、SaaSとクラウドの違いの記事で整理しています。

コンテナ・CaaS・FaaSは、SaaSやIaaSのどこにあたるか

Google Cloudの解説では、コンテナとマイクロサービスのアーキテクチャの導入が増えたことで、CaaS(Containers as a Service)というモデルが登場したとされています。CaaSは、IaaSのサブセットまたは拡張機能とも考えられ、仮想マシンではなくコンテナを主なリソースとして使います。利用者はコードとデータ、アプリケーションを管理し、コンテナを動かす環境はクラウド事業者が管理します。FaaSは、特定のタスクを実行する小さなコードや関数を構築して配備する形です。いずれも3つの基本モデルに加えて語られる呼び名で、SaaSとは別の話です。総務省のガイドラインでも、コンテナはホストOS上でコンテナエンジンを動かして実行環境を複数作る技術とされ、コンテナエンジンに係るセキュリティ関連の設定が設定項目の1つとして挙げられています。

「SaaS コンテナ」で調べているときは、コンテナ技術が使われているかどうかではなく、利用者に何が提供され、どこまでを自社が管理するかで見分けると整理しやすくなります。SaaSの内部でコンテナ技術が使われていても、利用者に提供されるものがアプリケーションの機能であれば、分類はSaaSです。

SaaS・IaaSの読み方と覚え方

読み方は、SaaSが「サース」(「サーズ」とも)、IaaSが「イアース」(「アイアース」とも)、PaaSが「パース」です。覚え方は、頭文字の後ろの語に注目する方法があります。SaaSはSoftware(ソフト)なので「完成したソフトを借りる」、IaaSはInfrastructure(基盤)なので「土台を借りる」、PaaSはPlatform(実行環境)なので「アプリを動かす環境を借りる」と覚えると、利用者が管理する範囲の広さ(IaaS、PaaS、SaaSの順に狭くなる)と結びつけやすくなります。3層モデルの全体像とASPとの関係は、SaaS・PaaS・IaaSの違いの記事で詳しく解説しています。

SaaS・IaaSの技術構造の違い｜仮想化とマルチテナント

IaaSは、仮想化技術で物理サーバーを分け、仮想マシンとして貸し出す「土台」のサービスです。SaaSは、その土台の上にアプリケーションまで作り込んだ「完成品」で、利用者はブラウザなどから機能を使います。

AWSの解説によると、IaaSは仮想化の原則に基づいて機能します。利用者が必要なインフラの種類と設定を選ぶと、基盤となるインフラのデジタルバージョンが自動的に作られ、アプリケーションからは物理デバイスと同じように使えます。一方のSaaSは、多くの場合「マルチテナント」という構造を取ります。1つのアプリケーションとデータベースを複数の利用企業で共有し、企業ごとのデータを論理的に分けて管理する仕組みです。ただし、利用企業ごとに専用環境を用意するシングルテナント型のSaaSもあり、構造は事業者によって異なります。

技術要素	SaaS	IaaS
提供される層	インフラからアプリケーションまで	物理設備・仮想化基盤まで(仮想サーバー・ストレージ・ネットワーク)
基本となる構造	マルチテナントが多い(アプリとデータベースを複数企業で共有)	仮想マシン単位で利用者ごとに環境を切り出す
利用者の操作手段	ブラウザ、専用アプリ、設定画面	管理コンソール、APIなどでサーバーを作成し、接続して設定する
カスタマイズの自由度	低い(提供される設定項目の範囲内)	高い(OSやソフトウェアを自由に選べる)
アップデート	事業者が全利用者に一斉に適用する	OSより上は利用者が計画して適用する
必要な専門知識	業務と設定の知識が中心	サーバー・ネットワーク・セキュリティの知識が必要
課金の単位	ユーザー数・プランごとの利用料が中心	使用したリソースに応じた従量課金が中心

IaaSで借りられる3つの資源｜コンピューティング・ストレージ・ネットワーク

AWSの解説では、IaaSのリソースは大きく3つに分けられます。コンピューティングは、CPUやGPU、メモリなどを、仮想マシン(クラウドインスタンス)の形で借りるものです。ストレージには、ブロックストレージ、ファイルストレージ、オブジェクトストレージの3種類があります。ネットワークは、ルーターやスイッチ、ロードバランサーなどの機能をソフトウェアで仮想化して提供するものです。SaaSの利用者は、これらの資源を直接扱うことはありません。

PaaSは、SaaSとIaaSの中間に位置します。総務省のガイドラインによると、PaaSではデータとアプリケーションの両方が利用者の設定・管理の対象で、OSやミドルウェアなどの基盤は事業者が管理します。自社でアプリを開発するならPaaSやIaaS、既製の業務機能を使うならSaaS、というのが大まかな使い分けです。

責任範囲の違い｜利用者が管理する範囲

クラウドでは、データと利用者アカウントの管理は、SaaSでもIaaSでも利用者の責任として残ります。IaaSではそれに加えて、OSからアプリケーションまでを利用者が管理します。

総務省の「クラウドサービス利用・提供における適切な設定のためのガイドライン」(2022年10月)は、事業者と利用者がセキュリティの責任を分け合う考え方を「責任共有モデル」と呼び、多くのクラウド事業者が採用しているとしています。同ガイドラインの責任分界の説明をもとに、SaaSとIaaSで利用者の責任が変わる部分を整理します。

管理の対象	IaaS	SaaS
仮想環境・物理設備の構築と動作設定	事業者	事業者
OS	利用者(OSを含めたすべてのソフトウェアを管理)	事業者
ミドルウェアのパッチ適用・脆弱性対応・障害対応	利用者	事業者
アプリケーションの動作に係る設定	利用者(自社で導入したもの)	事業者
利用者アカウント・業務データの設定	利用者	利用者

上の表は、同ガイドラインの責任分界の説明を要約した一般的な整理です。同ガイドライン自身が、事業者と利用者の責任範囲・内容は一律に決まるものではなく、サービスの内容や利用条件、環境ごとに異なるため、事業者の免責事項などの責任分界を確認する必要があるとしています。契約や利用規約で責任の範囲を確認し、個別の契約や法令の判断が必要な場合は専門家に相談してください。この表は一般的な情報の整理であり、法的な助言ではありません。

IaaSで利用者が担う主な作業

• OSやミドルウェアのパッチ適用と、脆弱性への対応
• OS・ミドルウェア層で起きた障害への対応
• ファイアウォールやアクセス制御など、仮想環境を利用するための設定
• バックアップの取得と、復旧手順の整備
• 負荷に応じたサーバーの構成の見直し

SaaSで利用者が担う主な作業

• 利用者アカウントの発行・削除と、退職者のアカウント停止
• 多要素認証やパスワードポリシーの設定
• ファイルやデータの共有範囲の設定
• 入力するデータの正確さの確保と、必要に応じたデータの書き出し・保管

層ごとの管理範囲を図で見たい場合は、IaaS/PaaS/SaaS/DaaSの違いを図解した記事も参考になります。SaaSは管理範囲が狭い分、アカウントや共有設定が各部署の担当者に任されがちです。情報システム部門が関与しないまま利用部門が独自にSaaSを契約する「シャドーIT」も起きやすいため、全社で最低限のルールを共有しておくことが重要です。

設定不備はなぜ起きるか｜総務省ガイドラインが挙げる原因

同ガイドラインは、クラウドを利用する事業者で、設定不備による顧客の個人情報の流出のおそれに至る事案が増えていると指摘しています。IPAの「コンピュータウイルス・不正アクセスの届出状況2021年」を引用し、不正アクセスの原因別比率で設定不備が全体のおよそ17.7%で第3位になっているとも書かれています。設定不備は直接には利用者の単純なミスに見えますが、真因を考えると、利用側ではクラウド利用に関する理解不足や不十分な管理・作業体制、提供側では設定不備を起こさせないための情報やツールの提供不足などが積み重なっていると整理されています。

そのうえで、利用側に求められる対策として、組織体制・人材育成、作業規則やマニュアルの整備、システム動作環境の設定管理などが示されています。決めたルールを全員が同じ内容で学べる場があると、設定不備の原因になりやすい理解不足を減らせます。コンプライアンス研修に特化したeラーニングの一例が、OneCompliance(ワンコンプライアンス)(株式会社Oyster)です。情報セキュリティ、個人情報保護法、著作権(AIに関する著作権を含む)などのコースが用意されており、ダッシュボードや自動リマインダーで受講を管理できます。一方で、費用は受講人数に応じて変わるため、問い合わせでの確認が必要です。SaaSやIaaSの責任範囲そのものを扱うコースがあるかは、資料で確認してください。

時間・場所を選ばずにeラーニングで受講でき、またテキスト・動画、どちらでも学習可能

OneCompliance 導入事例(株式会社プリメディカ。「お役立ちポイント」として掲載) 出典：導入事例ページ

SaaSとIaaSの選び方｜4つの質問で判断する

SaaSとIaaSの選び方は、既製の機能で足りるか、自社でOSから運用できる体制があるかの2点で整理できます。次の4つの質問に上から順に答えると、候補が絞れます。

1. 自社の業務は、既製のソフトウェアの機能で足りますか。足りるならSaaSが第一候補です。デジタル庁のDS-310は、政府情報システムについて、SaaSを開発量削減の観点から幅広く優先的に利用を検討するとしています(政府向けの基本方針で、民間企業の必須要件ではありません)。
2. OSやミドルウェアを自社で選び、細かく設定する必要がありますか。必要ならIaaS(または開発の基盤を借りるPaaS)が候補になります。
3. OSの更新、脆弱性への対応、障害対応、バックアップを担う人員と手順がありますか。IaaSではこれらが利用者の責任です。体制がなければ、SaaSか、基盤の管理を事業者に任せるPaaSを検討します。
4. 費用はどのように増えますか。SaaSは利用者(アカウント)数に応じて増えることが多く、DS-310も、アカウント数に応じて課金されるSaaSでは、アカウント数の増大で運用経費が増えることに注意するとしています。IaaSは、AWSの解説にあるとおり、実際に使用したリソースに対して支払う従量課金が中心です。

4つの質問で出た候補を、メリットとデメリットで見直すと次のとおりです。

項目	SaaS	IaaS
メリット	契約してすぐ使える。サーバーやソフトウェアの保守が不要で、専門の担当者がいなくても運用しやすい	OSやソフトウェアを自由に選べ、自社独自のシステムも動かせる。必要な分だけ資源を増減できる
デメリット	機能のカスタマイズに限りがある。事業者の仕様変更やサービス終了の影響を受ける	サーバーやセキュリティの専門知識が必要。OSから上の運用・監視の負担が残る
向いているケース	メールや会計など、標準的な機能で足りる業務をすぐに効率化したい	既存システムの移行や独自開発など、構成を自社で細かく決めたい。運用できる技術者がいる

SaaSを使うか自社で構築するかで迷う場合は、SIerや自社開発との関係も含めて整理すると判断しやすくなります。SaaSとSIerの違いの記事で、自社構築やパッケージとの選び方を解説しています。

SaaSとIaaSを併用するケース

実際の企業では、SaaSかIaaSかの二者択一ではなく、両方を組み合わせて使うのが一般的です。標準的な業務はSaaSで、自社固有のシステムはIaaSで動かし、両者をAPIやID管理でつなぐ形が多く見られます。

総務省の令和7年版情報通信白書では、2024年に80.6%の企業がクラウドサービスを利用しているとされています(白書の該当ページ)。クラウドを使う企業が多いぶん、複数のサービスを組み合わせて使う場面も増えます。Google Cloudの解説も、3つのモデルは相互に排他的ではなく、1つを別のモデルと組み合わせて使うこともできるとしています。

併用のパターン	SaaSの役割	IaaSの役割
業務システムの使い分け	メール、グループウェア、会計、勤怠など標準的な業務	基幹システムや独自開発の業務アプリ
データ連携・分析	販売管理やCRMでデータを蓄積	各SaaSのデータをAPIで集め、分析基盤で集計
オンプレミスからの移行	置き換えられる機能から順にSaaSへ移す	置き換えられないシステムをサーバーごとIaaSへ移す
認証の統合	IDaaSで複数SaaSへのログインを一元化	IaaS上の自社システムにも同じIDでログインさせる

併用すると、サービスごとに責任範囲が異なるため、管理の抜け漏れが起きやすくなります。総務省のガイドラインは、クラウド利用者やSaaS事業者がIaaS/PaaSを利用してサービスを提供することも少なくなく、その場合は提供側と利用側の両方の立場を兼ねると述べています。また、クラウドを利用する企業等の約60%が、運用支援の全部または一部をSIerに委託しているとも述べ、IaaSなどの設定をSIerに外部委託する場合の責任と役割も、留意すべきパターンとして取り上げています。「このシステムのOSは誰がパッチを当てるのか」「このSaaSのアカウントは誰が棚卸しするのか」を一覧にし、担当部署を決めておきましょう。

決めた担当とルールを全員に届けるには、情報セキュリティや個人情報の研修を、全社で同じ内容で受けられる仕組みが役立ちます。

技術構造を理解する際によくある誤解

SaaSとIaaSの違いでよくある誤解は、「クラウドなら事業者がすべて守ってくれる」「IaaSはサーバーを借りるだけで管理が楽」などです。いずれも責任範囲の理解不足から生まれます。

よくある誤解	実際の技術構造・責任範囲	起こりうるトラブル
1. クラウドなら事業者がセキュリティをすべて担う	どのモデルでも、データと利用者アカウントの設定は利用者の責任	共有設定のミスで、社外から資料が閲覧できる状態になる
2. SaaSならバックアップを考えなくてよい	データの責任は利用者に残る。誤削除などから復元できる範囲や期間は、サービスの仕様や契約で確認が必要	誤って消したデータが、復元できる期間を過ぎて戻せない
3. IaaSはサーバーを借りるだけで管理が楽	OSを含むすべてのソフトウェアの管理、パッチ適用、脆弱性対応、障害対応は利用者の責任	パッチ未適用のまま公開したサーバーが攻撃を受ける
4. IaaSは使った分だけ払うので必ず安い	使用量に応じた従量課金のため、構成や使い方によっては想定より費用が増えることがある	検証用のサーバーを止め忘れ、想定外の請求が届く
5. SaaSは契約すればすぐ全社で使える	権限の設計、既存システムとの連携、利用ルールの整備が必要	部署ごとに使い方がばらばらになり、データが分散する
6. コンテナで動いているサービスはIaaSである	分類は、利用者に何が提供されるかで決まる。SaaSの内部でコンテナ技術が使われていても、提供されるものがアプリケーションの機能ならSaaS	コンテナという言葉に引きずられ、責任範囲を取り違える

これらの誤解は、担当者個人の知識不足というより、「誰が何を知っておくべきか」を組織として決めていないことから生まれます。情報システム部門はIaaSの運用ルールを、利用部門はSaaSのアカウントと共有設定のルールを、それぞれ役割に応じて学ぶ必要があります。表のような誤解と正解の組み合わせは、そのまま確認テストの問題にしやすい形です。テストの作成と集計を重視する場合の一例が、SAKU-SAKU Testing(株式会社イー・コミュニケーションズ)です。CBTの技術を活かした充実したテスト機能を備え、既存の問題と自社のオリジナル問題を組み合わせたテストを作成できます。受講状況や結果はリアルタイムで集計され、情報セキュリティを含む企業の必須研修のコンテンツも用意されています。一方で、事務局運営やカスタマーデスクを利用する場合はオプション扱いです。料金はプランによって異なるため、資料や公式サイトで確認してください。

今後の技術動向｜AI機能とSaaS・IaaSの関係

AI機能を備えたSaaSが提供され、IaaSではAIの処理に使う計算資源も借りられます。SaaSとIaaSの分類の考え方は変わらず、利用者が責任を持つ範囲に新しい論点が加わります。

SaaSにAI機能が組み込まれる場合、そのAIがどの範囲のデータを読み取れるかは、利用者が設定する権限に左右されます。AIに入力した社内データを事業者が学習に使うかどうかは、サービスごとの規約や設定で決まるため、導入前に確認が必要です。IaaSでは、AWSの解説にあるとおり、CPUやメモリに加えてGPUも借りられます。AIの学習や推論に使う基盤として利用できますが、OSからアプリケーションまでの管理が利用者に残る点は変わりません。

Microsoft Learnの「クラウドでの共同責任」のページは、生成AIのワークロードや、自律型でツールを使うAIエージェントについて、別の共有責任モデルのページを案内しています。AIが加わっても、「どの層まで自社が管理するか」を理解しておくことが前提になる点は同じです。

自社のクラウド利用を棚卸しする｜責任範囲を確認する5つの手順

自社のクラウド利用の棚卸しは、一覧化、分類、責任範囲の確認、担当の決定、教育の5段階で進めると、抜けを防げます。

1. 部署ごとに契約しているSaaS、PaaS、IaaSを洗い出し、1つの一覧にまとめる(情報システム部門を通していないサービスも含める)
2. サービスごとに、SaaS・PaaS・IaaSのどれにあたるかを記入する。迷うときは、提供される範囲(アプリケーションまでか、OSからか)で判断する
3. 契約書や利用規約で、事業者と自社の責任分界を確認する
4. 設定を実際に行う人と、設定を確認して正しい状態を維持する人を、サービスごとに決める
5. 決めた担当とルールを、教材と確認テスト、研修などで全員に届け、定期的に見直す

4番目は、総務省のガイドラインが示す「設定者」と「設定管理者」の役割にあたります。同ガイドラインは、環境の設定には、直接設定を実施する者と、責任を持って最終的な設定の確認を行い、正常な設定の維持に責任を持つ者の2つが必要だとしています。担当者を1人に任せきりにせず、確認する立場を別に置くと、設定不備に気づきやすくなります。

自社の今の状況は、次のチェックで確かめられます。

よくある質問(FAQ)

Q1. SaaSとIaaSの違いは何ですか？

A. 事業者が提供する範囲の違いです。IaaSは仮想サーバーやストレージ、ネットワークなどの基盤を提供し、OSから上は利用者が構築・管理します。SaaSはアプリケーションまで完成した状態で提供され、利用者はアカウントや設定、データを管理して使います。

Q2. SaaS・PaaS・IaaSの覚え方と読み方を教えてください。

A. 読み方は、SaaSが「サース」(「サーズ」とも)、IaaSが「イアース」(「アイアース」とも)、PaaSが「パース」です。覚え方は、SaaSはSoftwareなので完成したソフトを借りる、IaaSはInfrastructureなので土台を借りる、と頭文字の後ろの語に注目する方法があります。

Q3. SaaSとIaaSの具体例には何がありますか？

A. Microsoftの公式資料では、Microsoft 365がSaaS、Azureの仮想マシンがIaaSの例として挙げられています。Google Cloudの資料では、Google WorkspaceがSaaS、Compute EngineがIaaSの例です。同じ事業者でも、サービスごとに分類が異なります。

Q4. SaaSでも利用者が管理しなければならないことはありますか？

A. あります。利用者アカウントや業務データの設定は、SaaSでも利用者の責任です。総務省のガイドラインも、アプリケーションの動作設定は事業者、利用者アカウントや業務データの設定は利用者の責任としています。事業者の責任範囲は、契約や利用規約で確認しましょう。

Q5. コンテナやXaaSは、SaaSやIaaSとどう関係しますか？

A. Google Cloudの資料では、コンテナを使うCaaSはIaaSのサブセットまたは拡張とも考えられるとされ、FaaSは小さなコードや関数を実行する形です。XaaSはこうした形態の総称で、SaaSやIaaSと並べて語られますが、分類は利用者に提供される範囲で決まります。

Q6. SaaSとIaaSの責任範囲を社内に浸透させるにはどうすればよいですか？

A. 情報システム部門と利用部門で学ぶ内容を役割ごとに分け、責任分担や手順を教材にして、確認テストで理解度を確かめる方法があります。eラーニングシステムを使うと、教材の配信と受講状況の管理をまとめて行え、異動者や新入社員にも同じ内容を届けられます。

まとめ

SaaSとIaaSの違いは、事業者が提供する範囲、言い換えれば利用者が管理する範囲の違いです。IaaSは仮想化された基盤を提供し、OSから上は利用者が管理します。SaaSはアプリケーションまで提供し、利用者はアカウントや設定、データを管理します。どちらでもデータと利用者アカウントの設定は利用者の責任として残るため、技術構造と責任範囲を組織全体で理解しておくことが、クラウドを安全に使う前提になります。まずは次の3つから始めてみてください。

1. 自社で使っているクラウドサービスを、SaaS・PaaS・IaaSに分類して一覧にし、責任範囲と担当部署を決める
2. 既製の機能で足りるか、運用できる体制があるかを基準に、SaaSとIaaSのどちらを使うかを判断する
3. 責任範囲とルールを全員に届け、理解度を確かめる仕組み(教材・確認テスト・研修を支えるeラーニングなど)の導入を検討する

参考文献

• 米国国立標準技術研究所(NIST)「SP 800-145 The NIST Definition of Cloud Computing」 https://csrc.nist.gov/pubs/sp/800/145/final
• 総務省「クラウドサービス利用・提供における適切な設定のためのガイドライン」の公表 https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00149.html
• 総務省「クラウドサービス利用・提供における適切な設定のためのガイドライン」(PDF) https://www.soumu.go.jp/main_content/000843318.pdf
• 総務省「令和7年版 情報通信白書」クラウドサービスの利用状況 https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r07/html/nd111210.html
• デジタル庁「デジタル社会推進標準ガイドライン DS-310 政府情報システムにおけるクラウドサービスの適切な利用に係る基本方針」(PDF) https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/5167e265/20230929_resources_standard_guidelines_guideline_01.pdf
• AWS「IaaS(Infrastructure as a Service)とは」 https://aws.amazon.com/jp/what-is/iaas/
• Google Cloud「PaaS、IaaS、SaaS の違い」 https://cloud.google.com/learn/paas-vs-iaas-vs-saas?hl=ja
• Microsoft Learn「クラウドでの共同責任」 https://learn.microsoft.com/ja-jp/azure/security/fundamentals/shared-responsibility
• Google Workspace「ビジネスアプリとコラボレーションツール」 https://workspace.google.com/intl/ja/