令和4年度 秋期 情報処理安全確保支援士試験 午前II 問25
マネジメントシステム監査対象別の監査着眼点・指摘事項
被監査企業がSaaSをサービス利用契約して業務を実施している場合，被監査企業のシステム監査人がSaaSの利用者環境からSaaSへのアクセスコントロールを評価できる対象のIDはどれか。
解答・解説
正解: イ. アプリケーションの利用者ID
SaaS（Software as a Service） は、クラウドサービスプロバイダが稼働させているアプリケーションを、ネットワーク経由で利用するサービス形態です。
SaaS環境においては、インフラストラクチャ（サーバ、ストレージなど）からアプリケーションの実行環境（OS、DBMSなど）に至るまで、基本的にクラウドサービスプロバイダが管理・運用を行います。
そのため、利用企業（被監査企業）が独自に管理・設定できるのは、提供されたアプリケーションのアカウントやアクセス権限などに限られます。
したがって、被監査企業のシステム監査人がアクセスコントロールの有効性を直接評価できる対象は、被監査企業自身が設定・管理を行っている アプリケーションの利用者ID となります。
各選択肢の解説
- ア DBMSの管理者ID: 誤り。SaaSではデータベース環境もプロバイダが管理するため、利用企業がDBMSの管理者IDを管理することはなく、監査対象にはなりません。
- イ アプリケーションの利用者ID: 正解。被監査企業自身がアカウントの作成や削除、アクセス権限の付与を管理するため、監査人がアクセスコントロールを評価できます。
- ウ サーバのOSの利用者ID: 誤り。サーバのOSはプロバイダが管理するインフラ部分であり、利用企業が管理・評価することはできません。
- エ ストレージデバイスの管理者ID: 誤り。ストレージデバイスもプロバイダが提供・管理するインフラ部分であり、利用企業が管理・評価することはできません。