令和4年度秋期 情報処理安全確保支援士 午前Ⅱ 問25

午前II 問25：SaaSで利用企業が見られるIDはどこまで？

SaaSを使っている会社の監査人がアクセス管理を確認するとき、利用企業側で直接チェックできるのは、SaaSアプリにログインする利用者IDだよ。たとえば、借りているマンションで自分の部屋の鍵の管理は確認できるけど、建物全体の設備室や管理会社の金庫の鍵までは勝手に確認できない、というイメージだね。DBMS、OS、ストレージの管理者IDはSaaS事業者側が管理する領域なので、利用企業が直接管理・評価する対象ではないよ。

この問題で問われていること

この問題では、SaaSでは『利用企業が管理する部分』と『SaaS事業者が管理する部分』が分かれていることを理解して、利用企業の監査人が監査対象にできるIDを選べるかが問われているよ。

SaaS の監査可能範囲

SaaS ではアプリ層の利用者管理は利用企業が関与できるが、基盤内部の管理者 ID は通常ベンダ側管理となる。

評価対象にしやすい: アプリ利用者 ID\nベンダ側: DBMS / OS / ストレージ管理者 ID

確認ポイント

• DBMS 管理者や OS 利用者 ID は SaaS 基盤側の領域です。
• ストレージ管理者 ID も利用企業の直接統制外です。
• アプリケーションの利用者 ID を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

不正解だよ。DBMSの管理者IDは、SaaS提供会社が管理する“データ保管庫の管理用の鍵”みたいなもの。利用企業はSaaSという窓口を使う立場なので、裏側のDB管理者IDまでは通常評価できないよ。

選択肢イ（正解）

正解だよ。アプリケーションの利用者IDは、SaaSにログインするときの“受付で見せる会員証”みたいなもの。利用企業が誰にIDを渡し、誰がアクセスできるかを管理・確認できるので、監査人が評価できる対象になるんだ。

選択肢ウ

不正解だよ。サーバのOSの利用者IDは、SaaSの建物の裏口に入るための“管理者用の鍵”みたいなもの。SaaS利用者はアプリを使うだけで、サーバOSのID管理は基本的に提供会社側の範囲だから、利用者環境から評価する対象ではないよ。

選択肢エ

不正解だよ。ストレージデバイスの管理者IDは、SaaSの裏側にある“倉庫の鍵”みたいなもの。SaaSを契約して使っている会社の監査人が、利用者側の環境から直接チェックできる対象ではないんだ。