解説

SaaS（Software as a Service）はアプリケーションをクラウドサービスとして提供するモデルです。SaaSの場合、インフラ（サーバ、OS、DBMS）はクラウドプロバイダが管理し、顧客はアプリケーションのみを利用します。監査人がアクセスコントロールを評価する場合、顧客が管理できる範囲のアクセス制御が対象となります。SaaSでは、顧客はアプリケーションの利用者ID（ユーザアカウント）の管理権限を持ちます。どのユーザにどの機能・データへのアクセスを許可するかはアプリケーション上で設定します。DBMSの管理者ID、サーバOSの利用者ID、ストレージデバイスの管理者IDはクラウドプロバイダが管理するものであり、SaaSの顧客は通常これらにアクセスできません。

なぜ他の選択肢は違うのか

選択肢 ア

DBMSの管理者IDはSaaSの基盤インフラの一部であり、クラウドプロバイダが管理します。SaaSの顧客にはDBMSへの直接アクセス権限が付与されないため、監査人が顧客の立場でアクセスコントロールを評価できるIDではありません。

選択肢 ウ

サーバのOSの利用者IDもインフラ層の管理権限で、SaaSではクラウドプロバイダが管理します。顧客はOSレベルの管理を行わないため、監査対象のIDとしては不適切です。

選択肢 エ

ストレージデバイスの管理者IDはさらにインフラ層の深いところにあり、SaaSの顧客が管理する範囲外です。これもクラウドプロバイダが管理する領域であり、顧客側のアクセスコントロール評価の対象にはなりません。

解くときのポイント

SaaSの責任範囲：顧客＝アプリ利用者IDのみ管理。DBMS・OS・ストレージはプロバイダ管理。監査もその範囲で。