平成25年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問25

✓ これが正解イアプリケーションの利用者 ID

解説

SaaS の利用者側から評価できるのはアプリケーションの利用者 ID です。

SaaS は、アプリケーションまでを事業者が用意し、利用者はネットワーク経由でその機能を使うサービスです。サーバやストレージ、OS、DBMS といった基盤は事業者が管理します。利用企業が自分で発行し、管理できるのは、アプリケーションを使うための利用者 ID です。したがって、被監査企業のシステム監査人が利用者環境から評価できるのも、この ID のアクセスコントロールです。見分ける軸は、その ID を利用企業が管理しているのか、事業者が管理しているのかです。

ほかの選択肢はなぜ違うのか

• アDBMS の管理者 ID：DBMS の管理者 ID は、SaaS の基盤を運用する事業者の側にあるものです。利用企業の側からは見えないため、監査人が利用者の環境から確かめる対象にはなりません。
• ウサーバの OS の利用者 ID：サーバの OS の利用者 ID も、SaaS では事業者の管理の下にあります。OS まで利用者が扱えるサービス形態もありますが、SaaS の利用者の環境から確かめられる対象ではありません。
• エストレージデバイスの管理者 ID：ストレージデバイスの管理者 ID は、データを保管する設備を運用する事業者が持つものです。SaaS の利用企業が発行も管理もしないので、利用者の環境からは確かめられません。