IaaS・PaaS・SaaS・DaaSの違いを図解｜住宅の例えと責任分担で整理

IaaS・PaaS・SaaS・DaaSの違いは、サービス提供者がどこまでを用意し、利用者がどこから先を自分で管理するかという線の引き方の違いです。IaaSはサーバーなどの基盤、PaaSはアプリを動かす土台、SaaSは完成したアプリ、DaaSはデスクトップ環境一式を届ける形態で、利用者が管理する範囲はIaaS、PaaS、SaaSの順に狭くなります。この記事では、住宅の例えと表で4つの違いを図解的に整理し、NISTの定義に沿った提供範囲、SaaSと混同されやすいDaaSの仕組み、提供者と利用者の責任分担マトリクス、目的別の使い分けまでを解説します。

目次

開く

閉じる

1. クラウド3層モデルを住宅で例えると｜自由度と管理負担はセットで動く
2. IaaS・PaaS・SaaSとは｜NISTの定義で見る提供範囲の違い
3. DaaSとは｜デスクトップ全体を仮想化して届ける仕組み
4. DaaS以外の「as a Service」系の言葉も整理｜FaaS・BaaS・iPaaS・DBaaS・IDaaS
5. 責任分担マトリクス｜どこまでが提供者で、どこからが利用者の責任か
6. 4つの分類の使い分け早見表｜目的から逆算して選ぶ
7. よくある混同パターン4つ｜理解のBefore/After
8. クラウド活用の効果をどう確認するか｜導入後に見る3つの観点
9. よくある質問(FAQ)
10. まとめ｜4分類は「提供範囲」と「責任分担」で理解する
11. 参考文献

クラウド3層モデルを住宅で例えると｜自由度と管理負担はセットで動く

IaaSは更地、PaaSは注文住宅、SaaSは家具付きの建売住宅、DaaSはどこからでも入れる専用の書斎にあたります。出来上がっている範囲が広いほど手間は減り、自分好みに変えられる範囲は狭くなります。

形態	住宅の例え	借りる側がすること	自由度
オンプレミス	土地を買って家を建てる	土地・建物・内装・家具のすべてを自前で用意し維持する	最も高い
IaaS	電気・水道が引かれた更地を借りる	建物(OS)から上を自分で建て、住み方も自分で決める	高い
PaaS	骨組みと設備が完成した注文住宅を借りる	間取りの中身(アプリ)を自分で作り込む	中程度
SaaS	家具付きの建売住宅(ホテル)に住む	用意された部屋をルールに沿って使う	低い
DaaS	自分専用の書斎を借りる	書斎(デスクトップ)の中で好きな道具を使う	提供条件による

上の行に行くほど「自分で決められること」と「自分で面倒を見なければならないこと」が同時に増えます。更地を借りれば好きな家を建てられますが、雨漏りの修理も自分の仕事です。建売住宅なら修理は大家さんが対応しますが、壁を抜いて間取りを変えることはできません。

更地(IaaS)を借りると、OS以降の運用は自社の仕事になる

住宅の例えをITに戻すと、IaaS上で自社のシステムを動かす場合は、OSやミドルウェアの更新、監視、障害対応が利用者の範囲に入ります。夜間や休日の一次対応まで社内の少人数で抱えるのは負担が大きいため、運用を外部に任せる選択肢があります。AWSなどのIaaSを使っている会社向けに、運用と支払いを見直すサービスを役割の違いで並べます。IaaSを使っていない会社は、次のH2から読み進めても問題ありません。

AWS上で自社のシステムを動かしていて、夜間や休日の監視を社内だけで担うのが難しい場合の一例が、GMOグローバルサイン・ホールディングス株式会社が提供する「AWS監視・運用 マネージドクラウド for AWS」です。AWSの運用保守・監視・障害対応を代行するサービスで、24時間365日の有人監視体制があり、監視ツールはAmazon CloudWatch、Zabbix、Mackerelから選べると商品ページに記載されています。注意したいのは、障害の一次対応が手順書に沿って行われるため、自社の要件に合わせたい場合は個別対応の可否を確認する必要があることと、ライトプランの利用にはAWS請求代行の契約が必要なことです。料金はプランによって異なるため、資料や公式サイトで確認してください。

「スタッフの確保を含めた体制の維持は難しく、監視や運用については、パートナーにお願いするという決断をしました。」

出典：CloudCREW byGMO 導入事例（イグニション・ポイント フォース株式会社）

IaaS・PaaS・SaaSとは｜NISTの定義で見る提供範囲の違い

IaaSはサーバーなどの基盤、PaaSはアプリを動かす土台、SaaSは完成したアプリまでを提供する形態で、NIST(米国国立標準技術研究所)が2011年に公表した「The NIST Definition of Cloud Computing(SP 800-145)」の整理が広く参照されています。NISTの定義では、利用者が「どのレイヤーを管理・制御できるか」によって3つを区別しています。

IaaS(Infrastructure as a Service)｜インフラを借りる

IaaSは、サーバー・ストレージ・ネットワークといった計算資源をインターネット経由で提供する形態です。NISTの定義でも、利用者は基盤となるクラウドインフラそのものは管理しない一方、OS・ストレージ・デプロイしたアプリケーションは制御できるとされています。自社で物理サーバーを買わずに必要な分だけ仮想サーバーを用意でき、既存システムをほぼそのままクラウドへ移す場合や、構成を細かく設計したい場合に選ばれます。具体例としては、Amazon EC2、Azure Virtual Machines、Google CloudのCompute Engineなどがあります。

PaaS(Platform as a Service)｜開発・実行の土台を借りる

PaaSは、アプリケーションを開発・実行するための土台(OS、ミドルウェア、実行環境、データベースなど)をまとめて提供する形態です。利用者は自社で作ったアプリケーションとその設定に集中でき、OSのパッチ適用やミドルウェアの更新は提供者が担います。業務アプリを自社開発したいが、サーバーの保守要員までは確保できないというケースに向いています。具体例としては、AWS Elastic Beanstalk、Azure App Service、Google App Engineなどがあります。

SaaS(Software as a Service)｜完成したソフトウェアを借りる

SaaSは、完成したアプリケーションをインターネット経由で利用する形態です。メール、Web会議、会計、勤怠管理など、身近な業務ツールの多くがSaaSとして提供されています。利用者はブラウザや専用アプリからログインするだけで使い始められ、インフラからアプリケーション本体まで提供者が管理します。NISTの定義では、利用者が制御できるのは限られたユーザー単位の設定程度とされており、そのぶん導入の手軽さが最大の利点になります。具体例としては、Microsoft 365、Google Workspace、Salesforceなどがあります。SaaSとクラウドという言葉の関係そのものを整理したい場合は、SaaSとクラウドの違い｜包含関係とASP・オンプレミスとの違いを整理もあわせて参考にしてください。

メリットとデメリットは表裏一体です。IaaSの自由度の高さは、そのまま管理範囲の広さとして跳ね返ってきます。反対にSaaSの手軽さは、提供者の仕様に業務を合わせる必要があることや、提供者側の障害・サービス終了に左右されることと引き換えです。特にSaaSでは、ほかのシステムとデータを連携できるか(APIやCSV出力に対応しているか)、サービス終了時にデータを取り出せるかを契約前に確認しておくと、後から乗り換える際の負担を抑えられます。課金の考え方も提供範囲で変わり、IaaSやPaaSは利用したリソース量に応じた従量課金、SaaSは利用人数やプラン単位の月額課金が一般的です。サービス名の区分は提供者や用途によって分類が分かれることがあるため、表は目安として使ってください。

DaaSとは｜デスクトップ全体を仮想化して届ける仕組み

DaaS(Desktop as a Service)は、Windowsなどのデスクトップ環境そのものをクラウド上に用意し、手元の端末には画面だけを転送して使う仕組みです。SaaSが特定のアプリを届けるのに対し、DaaSはアプリを動かすデスクトップ一式を届けます。

利用者は自宅のパソコンやタブレットからログインすると、会社で使っているのと同じデスクトップが表示され、そこでメールや業務アプリを操作できます。データやアプリはクラウド側で動いているため、手元の端末には原則としてデータが残りません。

DaaSはNISTの3分類には含まれていない言葉で、IaaS・PaaS・SaaSと同じ一本の階段の上に並ぶものではありません。仕組みとしては、提供者が仮想マシンや仮想デスクトップ基盤(VDI)を運用し、それを完成したサービスとして届けるため、「インフラの上に作られたサービス」という意味ではSaaSに近い位置にあります。ただし、SaaSが「特定の業務アプリ」を届けるのに対し、DaaSは「アプリを動かすためのデスクトップ一式」を届ける点が決定的に違います。

比較項目	SaaS	DaaS
届けられるもの	特定の業務アプリケーション	OSを含むデスクトップ環境一式
使えるアプリ	そのサービスの機能のみ	デスクトップに入れた複数のアプリ
利用者が管理するもの	アカウント・データ・設定	アカウント・データに加え、デスクトップ内のアプリやOSの一部設定(契約形態による)
よく語られる用途	業務ごとのツール導入	テレワーク、端末紛失時の情報漏えい対策、事業継続(BCP)

DaaSのメリットとデメリット

総務省の「テレワークセキュリティガイドライン(第5版)」は、テレワークの方式の1つとして仮想デスクトップ(VDI)方式を挙げ、データ保存を制限でき、セキュリティの管理を集中して行いやすいと整理しています。一方でデメリットとして、通信回線の影響を受けやすい点も示されています。ガイドラインはクラウド上にVDI基盤を構築する構成にも触れており、DaaSはそうした基盤をサービスとして借りる形と考えると位置づけがつかめます。

DaaSの提供形態は、利用者ごとに専用の環境を用意する型、IaaSやPaaSの上に構築する型、基盤を共有する型といった形で説明されることがあります。専用に近いほど統制しやすい一方で費用が上がり、共有に近いほど費用を抑えやすい一方で自由度が下がる、という関係は3層モデルと同じです。

DaaS以外の「as a Service」系の言葉も整理｜FaaS・BaaS・iPaaS・DBaaS・IDaaS

「as a Service」を付けた言葉はDaaS以外にも数多くあり、多くは、IaaS・PaaS・SaaSのいずれかの一部を切り出して名前を付けたものです。新しい略語に出会ったときは「提供者がどのレイヤーまで面倒を見るのか」を確認すれば、3層モデルのどこに近いかを判断できます。

XaaSと呼ばれる分類全体の技術構造や、SaaSとIaaSの責任範囲の違いをさらに掘り下げたい場合は、SaaSとIaaSの違いとは？技術構造・責任範囲とXaaSの全体像を解説で解説しています。

責任分担マトリクス｜どこまでが提供者で、どこからが利用者の責任か

どの形態を選んでも、データの中身とアカウント・アクセス権限は利用者の責任として残り、管理範囲はSaaSが最も狭く、オンプレミスが最も広くなります。

4つの分類を実務で使い分けるうえで最も重要なのが、責任分担の考え方です。クラウドサービスでは、提供者と利用者がセキュリティや運用の責任を分け合います。これは一般に「責任共有モデル」と呼ばれ、利用者の管理範囲はSaaS、PaaS、IaaS、オンプレミスの順に広がっていきます。下の表は、代表的な管理項目ごとに一般的な分担を整理したものです(実際の分担は契約や利用規約によって異なるため、導入時には必ず個別に確認してください)。

この表から読み取れる最大のポイントは、どの形態を選んでも「データの中身」と「アカウント・アクセス権限」は利用者の責任として残るということです。SaaSはアプリケーションからインフラまで提供者が管理しますが、退職者のアカウントを削除し忘れたり、共有範囲を誤って設定したりした結果の情報漏えいは、提供者ではなく利用者側の管理の問題になります。「クラウドに任せたから安心」ではなく、「任せた範囲と、自社に残った範囲」を切り分けて把握することが、責任分担マトリクスを見る目的です。例えをもう一度使えば、ホテルに泊まる人でも部屋の鍵をなくせば自分の責任になるのと同じです。

AWSの責任共有モデルで見る「クラウドのセキュリティ」と「クラウドにおけるセキュリティ」

IaaSの責任分担は、AWSが公式に公開している「責任共有モデル」が具体的です。AWSは、クラウドで提供されるサービスを実行するインフラ(ハードウェア、ソフトウェア、ネットワーク、施設)の保護を自社の責任とし、お客様の責任は選択したサービスに応じて異なると説明しています。例えばAmazon EC2のようなIaaSでは、ゲストOSの更新やセキュリティパッチの適用、インスタンスにインストールしたアプリケーションの管理、セキュリティグループ(ファイアウォール)の設定がお客様の責任です。Amazon S3のような抽象化されたサービスでは、データの管理(暗号化の選択を含む)や、IAMによる適切な権限の設定がお客様の責任になります。

つまり、同じAWSの中でも、サービスによって利用者の範囲は変わります。IaaSに近いサービスほどOS以降の運用が自社の仕事になり、設定ミスや更新漏れも自社で防ぐ必要があります。IaaSを使う会社が最初にすべきことは、「どこまでが自社の責任か」を一覧にして、運用の担当を決めることです。SaaS・PaaS・IaaSの責任分界を、契約やSLAの確認観点まで含めてさらに詳しく知りたい場合は、SaaS・PaaS・IaaSの違い｜3層モデルの管理範囲とASPとの関係を解説で解説しています。本記事はDaaSを含めた4分類の全体像を図解的につかむことに重点を置いています。

IaaS上のOS更新や障害対応を少人数で担っていて、運用の一部を外部に任せたい場合は、任せる範囲を具体的に考えるために、サービスの資料を確認しておくと整理しやすくなります。

4つの分類の使い分け早見表｜目的から逆算して選ぶ

どの分類を選ぶかは、「何をしたいか」と「社内で何を担えるか」から逆算するのが基本です。よくある目的ごとに、候補になりやすい分類を整理しました。

3つの質問で絞り込む判断フロー

迷ったときは、次の質問に上から順に答えていくと、候補が絞れます。

実際の企業では、1つの分類だけを選ぶことはまれです。業務ツールはSaaS、自社開発のアプリはPaaS、古い基幹システムはIaaS、テレワーク用の環境はDaaS、というように組み合わせて使うのが一般的です。その場合も、それぞれのサービスで「利用者の責任範囲がどこか」を一覧にしておくと、管理の抜け漏れを防げます。

よくある混同パターン4つ｜理解のBefore/After

4つの分類は言葉だけで覚えようとすると、いくつかの典型的な誤解が生まれます。よく見かける混同パターンを、誤った理解と正しい理解の対比で整理しました。

中でも実務で影響が大きいのは1つ目の誤解です。SaaSの提供者がどれだけ堅牢なインフラを運用していても、利用者側で推測されやすいパスワードを使っていたり、共有リンクを誰でも見られる設定にしていたりすれば、情報漏えいは防げません。2つ目のDaaSについても、「デスクトップの中に入れたアプリの更新は誰が行うのか」を確認しないまま導入すると、古いソフトウェアが放置される原因になります。3つ目のIaaSとPaaSの境目は、導入後の運用の手間に直結します。IaaSを選んだのに、OSの更新や夜間の監視は提供者がやってくれると思い込んでいると、障害が起きたときに誰も動けない状態になりかねません。4つ目は用語の問題に見えますが、社内の説明資料で誤った使い方をすると、導入判断や予算の議論がかみ合わなくなるため注意が必要です。

ここまでの内容を自社に当てはめて、運用と支払いの整理が必要かどうかを、次のセルフチェックで確かめてみてください。

クラウド活用の効果をどう確認するか｜導入後に見る3つの観点

4つの分類を理解したうえでクラウドを導入したら、導入しただけで終わらせず、定期的に効果を確認することが大切です。次の3つの観点で振り返ると、分類の選び方が適切だったかを判断しやすくなります。

例えばIaaSの運用なら、「夜間や休日の障害対応にかかった時間」や「利用料の支払い・請求処理にかかった経理の工数」を導入前後で比べると、運用体制が適切かどうかが具体的に見えてきます。反対に、OSの更新が後回しになっている、担当者ごとの権限設定が複雑で運用しきれない、といった状態であれば、運用の分担を見直すタイミングです。

また、官公庁や公共分野との取引がある企業では、政府情報システムのためのセキュリティ評価制度(ISMAP)に登録されたクラウドサービスかどうかが選定の目安になることもあります。登録の有無はISMAPポータルで確認できます。

IaaSの利用料は使った分だけ請求される従量課金が一般的で、毎月の請求額が変わるため、支払いと請求書の処理も運用の一部です。この支払いを日本円の請求書と銀行振込に整理したい場合の一例が、GMOグローバルサイン・ホールディングス株式会社が提供する「CloudCREW AWS請求代行」です。AWS利用料を円建ての請求書で支払える法人向けサービスで、請求書は毎月メールで届き、初期費用と代行手数料は無料と商品ページに記載されています。東京海上日動火災保険株式会社と連携したサイバーリスク保険が標準で付帯することも案内されています。注意したいのは、基本サービスのみを利用する場合は与信審査があり、申し込みから利用開始まで1か月以上かかる場合があることと、監視や運用のサービスは有料オプションになることです。AWSを使っていない会社には関係のない話ですが、クラウドの費用を誰がどう管理するかを考える材料になります。料金はプランによって異なるため、資料や公式サイトで確認してください。

2サービスの役割を比較表で見る

よくある質問(FAQ)

Q. IaaS・PaaS・SaaSの違いを一言で言うと何ですか？

A. 提供者がどこまで用意してくれるかの違いです。IaaSはサーバーなどのインフラ、PaaSはアプリを動かす土台まで、SaaSは完成したアプリケーションまでを提供します。利用者が管理する範囲はIaaS、PaaS、SaaSの順に狭くなります。

Q. DaaSとSaaSは何が違いますか？

A. SaaSは特定の業務アプリケーションを届けるのに対し、DaaSはOSを含むデスクトップ環境一式をクラウドから届けます。DaaSではデスクトップの中で複数のアプリを使えるため、テレワークや端末にデータを残さない運用の文脈でよく使われます。

Q. SaaSを使えば自社のセキュリティ対策は不要ですか？

A. 不要にはなりません。アプリケーションからインフラまでは提供者が管理しますが、入力するデータの中身、アカウントやアクセス権限の管理は、どの分類でも利用者の責任として残ります。退職者アカウントの削除や共有設定の見直しは自社で行う必要があります。

Q. FaaSやBaaSなど、ほかの「as a Service」系の言葉は4つの分類のどこに入りますか？

A. FaaSやBaaS、iPaaS、DBaaSは、アプリを動かす土台の一部を切り出した形態なので、PaaSに近い位置づけです。IDaaSは認証機能をサービスとして提供するため、SaaSに近いと考えられます。迷ったときは「提供者がどのレイヤーまで面倒を見るか」を確認してください。

Q. IaaS・PaaS・SaaSの分類は誰が決めたものですか？

A. 米国国立標準技術研究所(NIST)が2011年に公表したクラウドコンピューティングの定義(SP 800-145)で整理されたサービスモデルが、広く参照されています。DaaSはこの定義の3分類には含まれておらず、後から使われるようになった呼び方です。

Q. 4つの分類はどれか1つを選ぶ必要がありますか？

A. 1つに絞る必要はありません。業務ツールはSaaS、自社開発アプリはPaaS、既存システムはIaaS、テレワーク環境はDaaSのように、目的ごとに組み合わせて使うのが一般的です。その際は、サービスごとに利用者の責任範囲を一覧にしておくと管理の抜け漏れを防げます。

まとめ｜4分類は「提供範囲」と「責任分担」で理解する

IaaS・PaaS・SaaS・DaaSの違いは、提供者がどこまで用意し、利用者がどこから管理するかという線の引き方の違いです。住宅に例えれば、IaaSは更地、PaaSは注文住宅、SaaSは家具付きの建売住宅、DaaSはどこからでも入れる自分専用の書斎にあたります。自由度が高いほど管理の手間も増えるという関係を押さえておくと、新しい略語に出会っても位置づけを判断できます。次の4つを押さえておきましょう。

1. 自社で使っているクラウドサービスを書き出し、それぞれがIaaS・PaaS・SaaS・DaaSのどれにあたるかを整理する。
2. 責任分担マトリクスを参考に、サービスごとに自社の責任範囲(データ・アカウント管理など)を確認する。
3. 目的と社内の運用体制から、使い分け早見表と判断フローで候補の分類を絞る。
4. AWSなどのIaaSで自社システムを動かしている場合は、運用の担い手と支払いの持ち方を整理し、必要に応じて代行サービスの資料も確認する。

参考文献

• NIST「SP 800-145, The NIST Definition of Cloud Computing」https://csrc.nist.gov/pubs/sp/800/145/final
• Amazon Web Services「責任共有モデル」https://aws.amazon.com/jp/compliance/shared-responsibility-model/
• 総務省「テレワークにおけるセキュリティ確保」(テレワークセキュリティガイドライン第5版を掲載) https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/
• ISMAPポータル(政府情報システムのためのセキュリティ評価制度)https://www.ismap.go.jp/
• CloudCREW byGMO 導入事例「イグニション・ポイント フォース株式会社」https://managed.gmocloud.com/case/case04.html