平成25年度秋期 情報処理安全確保支援士 午前Ⅱ 問25

午前II 問25

SaaSでは、自社の利用者に『誰がどこまで使えるか』を設定できるかが見やすいポイントだよ。たとえば、会社で使うクラウドサービスに対して、社員ごとに閲覧だけOK、管理者だけ設定変更OK、というようなアクセス制御を考えよう。

この問題で問われていること

この問題では、SaaSを使う企業側がどこまで管理できるかを見ているよ。サービス提供者のサーバや内部基盤を直接管理できるわけではないので、そこではなく『自社の利用者に対するアクセス制御を管理できるか』に注目しよう。

監査できる範囲

SaaS では、基盤内部の管理者 ID はサービス提供者側の統制対象です。一方、契約企業が自ら管理できるのは、アプリケーション利用者の ID や認証・権限設定など利用者環境に近い部分です。

利用企業が管理: アプリ利用者ID\n提供者が管理: OS / DBMS / ストレージ管理者ID

確認ポイント

• OS や DBMS、ストレージの管理者 ID は提供者側統制です。
• 利用企業が直接確認しやすいのはアプリ利用者の権限管理です。
• 「利用者環境から SaaS へのアクセス制御」という条件を外さないようにしましょう。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。DBMSの管理者IDは、SaaSの裏側でデータベースを管理するための特別な鍵みたいなものだよ。利用企業が普段SaaSにログインするときのIDではないから、「利用者が正しくアクセスできているか」を見る対象としてはズレているよ。

選択肢イ（正解）

正解だよ。SaaSを使う会社が直接管理・確認できるのは、サービスにログインするための「アプリケーションの利用者ID」なんだ。たとえるなら、ビル全体の設備室の鍵ではなく、受付で本人確認に使う社員証をチェックする感じだよ。利用者ごとに必要な権限だけが付いているか、退職者のIDが残っていないかを監査できるよ。

選択肢ウ

不正解だよ。サーバのOSの利用者IDは、SaaSを動かしている建物の機械室に入る鍵のようなものなんだ。利用企業の社員がSaaS画面に入るための窓口IDではないので、利用者環境からSaaSへのアクセスコントロール評価の対象にはならないよ。

選択肢エ

不正解だよ。ストレージデバイスの管理者IDは、SaaS提供者側の倉庫の奥にある金庫番の鍵みたいなものなんだ。SaaS利用企業の監査人が、利用者環境からSaaSへのアクセス制御として直接評価する対象ではないよ。