被監査企業がSaaSをサービス利用契約して業務を実施している場合,被監査企業のシステム監査人がSaaSの利用者環境からSaaSへのアクセスコントロールを評価できる対象のIDはどれか。

選択肢

• アDBMSの管理者ID
• イアプリケーションの利用者ID
• ウサーバのOSの利用者ID
• エストレージデバイスの管理者ID

正解と解説

正解：イ アプリケーションの利用者ID

SaaSでは、OS、ミドルウェア、ストレージなどの基盤はすべて提供者が管理し、利用者に管理権限は与えられない。利用者環境から評価できるのは、自組織が付与・変更・削除を行えるアプリケーションの利用者IDと、その権限設定や棚卸しの運用である。責任分界を踏まえ、監査の対象範囲を見極めることが要点となる。

選択肢ごとの解説

• アDBMSの管理者IDは提供者側の管理範囲で、利用者環境からは評価できない。
• イ正しい。利用者組織が自ら管理するIDであり、権限付与や削除の統制を評価できる。
• ウサーバのOSは提供者が管理しており、利用者に権限はない。
• エストレージ機器の管理も提供者の責任範囲である。

同じ分野の他の問題

• システム監査基準(令和5年)に基づくシステム監査において,リスク評価に基づいた監査計画の策定で考慮すべき事項として,適切…2025年度 秋期 午前II 問25
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和5年）”によれば、“記録した取引に漏れ、重複がないこと…2025年度 春期 午前II 問25
• アクセス管理に関する内部統制のうち,金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”におけるI…2024年度 秋期 午前II 問25
• 金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準(令和5年)”における、ITに係る全般統制に該当するものとし…2024年度 春期 午前II 問25
• データベースの直接修正に関して、監査人が、システム監査報告書で報告すべき指摘事項はどれか。ここで、直接修正とは、アプリケ…2023年度 秋期 午前II 問25