令和4年度 秋期 午前Ⅱ 問25

✓ これが正解イアプリケーションの利用者 ID

解説

SaaSの利用者が管理できるのは、アプリケーションの利用者IDです。

SaaS では、アプリケーションを動かすサーバや OS、DBMS、ストレージといった基盤は、サービスの提供者が管理します。利用する企業が自分で設定や管理ができるのは、アプリケーションを使う利用者の ID や権限、そして預けたデータなどに限られます。被監査企業のシステム監査人が、利用者環境から SaaS へのアクセスコントロールを評価するとき、対象にできるのは被監査企業が自ら管理しているアプリケーションの利用者 ID です。この問は、SaaS における利用者と提供者の管理の境目がどこにあるかを問うています。

ほかの選択肢はなぜ違うのか

• アDBMS の管理者 ID：DBMS の管理者 ID は、SaaS を支える基盤の中にあり、サービスの提供者が管理しています。被監査企業の利用者環境からは見えず設定もできないので、監査人がそこから直接アクセスコントロールを評価することはできません。
• ウサーバの OS の利用者 ID：サーバの OS の利用者 ID も、SaaS ではサービスの提供者が管理する部分です。利用者は OS に触れずにアプリケーションだけを使うので、被監査企業の側からこの ID の管理状況を確かめる手立てはありません。
• エストレージデバイスの管理者 ID：ストレージデバイスの管理者 ID は、データを保存する機器を扱うための ID で、提供者の設備の中で管理されています。利用者環境からは届かないため、必要なら提供者の保証報告書などで間接的に確かめることになります。