ロールベース アクセス制御 (RBAC) は、組織内の個々のユーザーの役割に基づいてリソースへのアクセスを制限する方法です1 RBAC は、コード、シークレット、環境などのパイプライン リソースに対して各ユーザーが実行できる権限とアクションを制限できるため、パイプラインの運用環境にアクセスできるユーザーの数を適切に制限するのに役立ちます。また、RBAC は、タスクを実行するために必要な最小限のレベルのアクセス権のみをユーザーに付与するという、最小権限の原則の適用にも役立ちます2 その他のオプションは、次の理由により正しくありません。
* 選択肢Aは不正解です。本番環境と開発パイプラインにおける職務分離を確実に実施するだけでは、パイプラインの本番環境にアクセスできる人数を適切に制限するには不十分です。職務分離とは、異なる人やチームに責任を分割することで、不正行為、エラー、利益相反を防ぐことを目的とした実践です3。ただし、職務分離は必ずしもパイプラインのリソースにアクセスできる人数を制限するものではありません。これは、役割と権限がどのように定義され、割り当てられているかによって異なります。職務分離は、本番環境へのアクセスを制限することよりも、本番環境への不正な変更や展開を防止することに関連しています4。
* オプションBは不正解です。継続的インテグレーションと継続的デリバリー（CI/CD）パイプラインの監査ログを定期的に確認してアクセス違反を特定することは、パイプラインの運用環境にアクセスできる人数を適切に制限するための予防策にはなりません。監査ログは、システムまたはプロセス内で発生するイベントやアクティビティの記録です。5 監査ログは、パイプラインリソースへの不正アクセスや疑わしいアクセスを監視および検出するのに役立ちますが、そもそもそのようなアクセスを防止または制限することはできません。監査ログは、レビュープロセスの頻度と品質にも依存しており、アクセス違反のリスクを軽減するのに十分なタイムリーさや効果が得られない可能性があります。6
* 選択肢Dは不正解です。本番環境と開発環境の分離は直接的な方法ではないからです。
* パイプラインの本番環境にアクセスできる人数を適切に制限します。本番パイプラインと開発パイプラインの分離は、開発プロセスで発生する可能性のあるエラー、バグ、脆弱性から本番環境を分離し、保護することを目的としたプラクティスです。ただし、パイプラインの分離は自動的にアクセス制限を意味するものではなく、各パイプラインのロールと権限の設定方法によって異なります。
パイプラインを分離すると、パイプライン チームと関係者間の同期、調整、コミュニケーションなどの課題も生じる可能性があります。
参考文献: 1: Wikipedia. ロールベースアクセス制御 - Wikipedia. [オンライン]. 入手可能: 1. [アクセス日:
[2023 年 4 月 14 日]。2: Microsoft Learn。パイプラインのアクセス許可を設定する - Azure Pipelines | Microsoft Learn。
[オンライン]. 公開： 1. [アクセス日：2023年4月14日]. 3: Investopedia. 職務分掌の定義 - Investopedia.com ブログ. [オンライン]. 公開： . [アクセス日：2023年4月14日]. 4: Cider Security. 不十分なPBAC（パイプラインベースのアクセス制御） - Cider Security ブログ. [オンライン]. 公開： . [アクセス日：2023年4月14日]. 5:
Wikipedia. 監査証跡 - Wikipedia. [オンライン]. 入手可能: . [アクセス日: 2023年4月14日]. 6: Microsoft Learn.
Azure Pipelines のセキュリティ保護 - Azure Pipelines | Microsoft Learn. [オンライン]. 利用可能期間: [アクセス日: 2023年4月14日].
1: AWS DevOps ブログ。AWS CodePipeline で CI/CD を実装する方法 - AWS DevOps ブログ | Amazon Web Services ブログ。[オンライン]。公開日: . [アクセス日: 2023 年 4 月 14 日]。: LambdaTest。並列テストとは？
例付き - LambdaTestブログ. [オンライン]. 入手可能: . [アクセス日: 2023年4月14日].

監査人の観点から見ると、シャドーITは事業継続計画を脅かすリスクと捉えるのが最も適切です。シャドーITとは、組織のIT部門の管理下にない、または承認されていないIT関連のハードウェアまたはソフトウェアの使用を指します。これは、ITインフラストラクチャの可視性の欠如や、セキュリティおよびコンプライアンス対策における潜在的なギャップにつながる可能性があります。事業継続計画の観点から見ると、シャドーITは、組織の災害復旧計画や事業継続計画で考慮されていない未知のリスクや脆弱性をもたらし、混乱発生時に重要な機能を維持または迅速に再開する組織の能力に脅威をもたらす可能性があります。
参考資料 = この回答は、シャドーITのリスクと事業継続計画への影響に関する一般的な知識に基づいています。ISACAおよびクラウドセキュリティアライアンス（CSA）によるクラウド監査知識（CCAK）文書および関連リソースからの具体的な参考資料は、私の現在の能力では外部文書やウェブサイトのコンテンツにアクセスしたり検証したりすることができないため、ここでは直接引用していません。ただし、シャドーITが事業継続に対するリスクであるという概念は、ITガバナンスおよび監査実務において認識されている懸念事項です1234。

CSA の Web サイトによると、CSA STAR プログラムのオープン認証フレームワーク (OCF) の主な目的は、クラウド プロバイダーのグローバルで認定された信頼できる認証を提供することです。1 OCF は、クラウド プロバイダーのグローバルで信頼できる独立した評価を可能にする業界の取り組みです。これは、クラウド セキュリティ アライアンスの業界をリードするセキュリティ ガイダンスと制御フレームワークに従った、柔軟で段階的かつ多層的なクラウド プロバイダー認証および/または証明のためのプログラムです。2 OCF は、プロバイダーの回復力、データ保護、プライバシー、およびサービスの移植性を評価および比較するためのシンプルで費用対効果の高い方法の欠如など、安全で信頼性の高いクラウド サービスの市場導入を妨げている IT エコシステム内のギャップに対処することを目的としています。2 OCF はまた、業界の透明性を促進し、プロバイダーと顧客の両方にとっての複雑さとコストを削減することも目指しています。3 その他の選択肢は、次の理由により正しくありません。
* 選択肢Aは不正解です。クラウドサービスプロバイダーとクラウドクライアント間の効果的な関係構築を促進することは、CSA STARプログラムにおけるOCFの主目的ではなく、むしろ潜在的なメリットまたは成果の一つです。OCFは、プロバイダーのセキュリティとコンプライアンスの状況を評価・伝達するための共通言語とフレームワークを提供し、プロバイダーの能力とパフォーマンスに対する信頼と確信を高めることで、プロバイダーとクライアント間の効果的な関係構築を支援します。しかし、これはOCFの主な目標や目的ではなく、それを達成するための手段です。
* 選択肢Bは不正解です。クラウドサービス利用者による真のリスクと認識されるリスクの理解を確実にすることは、CSA STARプログラムにおけるOCFの主目的ではなく、むしろその影響または結果の一つに過ぎません。OCFは、プロバイダーのセキュリティとコンプライアンスレベルに関する客観的かつ検証可能な情報と証拠を提供し、市場における他のプロバイダーとの比較やベンチマークを可能にすることで、クラウドサービス利用者による真のリスクと認識されるリスクの理解を確実にするのに役立ちます。しかし、これはOCFの主な目的や意図ではなく、むしろOCFの結果または効果です。
* 選択肢Dは不正解です。クラウドサービスプロバイダーが自社の要件を満たすためにリソースの優先順位付けを可能にすることは、CSA STARプログラムにおけるOCFの主目的ではなく、むしろOCFにとっての潜在的なメリットまたは機会となるためです。OCFは、認証および／または証明に対する柔軟で段階的かつ多層的なアプローチを提供することで、クラウドサービスプロバイダーが自社の要件を満たすためにリソースの優先順位付けを可能にします。これにより、プロバイダーは自社のビジネスニーズと目標に適した保証レベルを選択できます。しかし、これはOCFの主な理由や動機ではなく、むしろOCFの利点または選択肢の一つです。
参考資料: 1: オープン認証フレームワークワーキンググループ | CSA 2: オープン認証フレームワーク | CSA
- クラウド セキュリティ アライアンス 3: クラウド サービスに CSA STAR レジストリ登録が必要な理由