責任共有モデルとは
責任共有モデル（Shared Responsibility Model）とは、AWS環境においてセキュリティとコンプライアンスを維持するために、AWS側とお客様（ユーザー）側の双方が担うべき責任の範囲を明確に定義した基本的な考え方です。クラウドのセキュリティは、AWSがすべてを完璧に守ってくれるわけではなく、利用するサービスやリソースに応じて、ユーザー自身が適切な設定や管理を行う必要があります。このモデルは「クラウド『の』セキュリティ（Security OF the Cloud）」と「クラウド『内』のセキュリティ（Security IN the Cloud）」という2つの明確な領域に分けられます。AWSはクラウドインフラストラクチャ自体の物理的・論理的なセキュリティを担当し、ユーザーはそのクラウドインフラ上で展開するデータやアプリケーション、OSの設定などのセキュリティに責任を持ちます。このモデルを正しく理解し遵守することが、安全なクラウド運用の大前提となります。
具体例
責任共有モデルを身近な例で説明すると、「賃貸マンションの防犯対策」に非常に似ています。マンションのオーナー（AWS）は、建物の基礎工事をしっかり行い、オートロックの入り口を設置し、共有スペースに監視カメラを取り付け、管理人を配置して外部からの不審者の侵入を防ぐ責任があります。これが「クラウド『の』セキュリティ」です。一方で、部屋を借りている住人（ユーザー）は、自室のドアの鍵をしっかりと閉め、窓の戸締まりを行い、誰を部屋に招き入れるかを管理し、金庫に大切な貴重品（データ）を保管する責任があります。いくらマンションのセキュリティが頑丈でも、住人が自室の鍵を開けっぱなしにしていれば泥棒に入られてしまいます。これが「クラウド『内』のセキュリティ」です。ユーザーは、自分に割り当てられた仮想サーバーのファイアウォール（セキュリティグループ）の設定を正しく行い、パスワードを複雑にして管理し、必要に応じてデータを暗号化するなどの対策を講じる必要があります。
もう少し詳しく
AWSの責任範囲である「クラウド『の』セキュリティ」には、データセンターの物理的セキュリティ、ハードウェア（サーバー、ストレージ）、ネットワーク基盤、そしてホストオペレーティングシステムや仮想化レイヤー（ハイパーバイザー）の保護が含まれます。AWSは、これらのインフラを障害や外部の攻撃から守り、グローバルなコンピュート、ストレージ、データベース、ネットワークインフラストラクチャを安全に稼働させる義務を負います。AWSがどのような監査基準を満たしているかは、AWS Artifactを通じて提供されるコンプライアンスレポートで確認できます。
一方、ユーザーの責任範囲である「クラウド『内』のセキュリティ」は、ユーザーが選択するAWSサービスの種類によって変動します。例えば、Amazon EC2のようなIaaS（Infrastructure as a Service）を利用する場合、ユーザーの責任範囲は広くなります。ゲストOSのパッチ適用やアンチウイルスの導入、ネットワーク構成、ファイアウォール（セキュリティグループ）の設定、データの暗号化、IAMを通じたアクセス権限の管理など、OSレイヤーから上のすべてをユーザー自身が管理・保護しなければなりません。 しかし、Amazon S3やAmazon DynamoDB、Amazon RDSのようなマネージドサービス（PaaSやSaaSに近いもの）を利用する場合、責任の境界線が移動します。これらのサービスでは、OSのパッチ適用やデータベースソフトウェアのアップデート、基本的なインフラの管理はAWSが引き受けてくれます。ただし、その場合でも「誰にアクセスを許可するか（アクセス制御）」や「データの暗号化を有効にするか」といったデータ自体の保護に関する最終的な責任は、常にユーザー側に残るという点が非常に重要です。
試験でのポイント
AWS認定クラウドプラクティショナー（CLF-C02）試験において、責任共有モデルは最も出題頻度の高い最重要トピックの一つです。必ず押さえておくべきポイントは、「AWSの責任（Security OF the Cloud）」と「ユーザーの責任（Security IN the Cloud）」の具体的な線引きです。
例えば、「データセンターの物理的セキュリティ」「ハイパーバイザー（仮想化基盤）のパッチ適用」「ハードウェアの廃棄処理」などは全てAWSの責任です。対して、「ゲストOSのパッチ適用」「データの暗号化設定」「IAMパスワードポリシーの設定」「セキュリティグループ（ファイアウォール）のルール設定」などは全てユーザーの責任となります。
試験では「EC2インスタンスのゲストOSへのパッチ適用は誰の責任か？」といった具体的なシナリオ問題が出題されるため、どのレイヤーの話をしているかを冷静に判断できるようになっておく必要があります。また、顧客データの保護とアクセス制御は、どんなサービスを利用していても常に顧客（ユーザー）の責任であるという大原則を忘れないでください。
関連する用語
関連用語として、アクセス権限を管理する「IAM」、AWSのコンプライアンスレポートを取得できる「AWS Artifact」、仮想ファイアウォールとして機能する「セキュリティグループ」があります。これらはユーザー側の責任を果たすために不可欠な要素です。