説明
クラウドサービスプロバイダーの契約および規約に関しては、特に明記されていない限り、プロバイダーはクラウド顧客に対してのみ責任を負います。つまり、プロバイダーは、サービスの直接の支払者であるクラウド顧客と合意されたサービスを提供し、サービスレベル契約（SLA）を遵守する契約上の義務を負います。契約に明示的に規定されていない限り、プロバイダーはクラウド顧客のクライアント、エンドユーザー、規制当局など、その他の当事者に対して責任を負いません。クラウド顧客は、プロバイダーのサービスが自社のコンプライアンスおよびセキュリティ要件、ならびにステークホルダーの要件を満たしていることを確認する責任を負います12。
参考文献:
クラウドにおける責任の共有 - Microsoft Azure
クラウドセキュリティの責任共有モデル - NCSC

監査担当者がパスワード要件の運用上の有効性を検証する最良の方法は、構成管理（CM）ツールの構成設定を確認し、CMツールのエージェントがVM上で正しく機能していることを確認することです。この方法により、パスワードポリシーが意図したとおりに適用され、CMツールが組織の仮想マシン全体の構成を効果的に管理していることを確認できます。これにより、自動化ツールのみに依存する場合と手動検証プロセスとのバランスが取れます。
参考資料 = このアプローチは、クラウドセキュリティと監査におけるベストプラクティスによって裏付けられており、セキュリティ制御の有効性を確保するために、自動化ツールと手動チェックを組み合わせることが推奨されています123。パスワードポリシーの適用にCMツールを使用することは一般的であり、クラウドサービスのセキュリティ体制を維持するために、その有効性を定期的に検証する必要があります。

説明
ISACAクラウド監査知識認定試験ガイドによると、監査人がクラウド監査における組織の状況を理解する主な目的は、組織の現状を把握し、クラウド監査計画が既存の監査アプローチ1にどのように適合しているかを検証することです。監査人は、組織のビジネス目標、戦略、リスク、機会に加え、組織のクラウドサービス利用に適用される規制要件と契約要件を考慮する必要があります。また、組織のクラウド成熟度、ガバナンス構造、ポリシーと手順、役割と責任、そしてクラウドサービスに関連する既存の統制も評価する必要があります。さらに、監査人はクラウド監査計画を組織の状況に合わせて調整し、関連する範囲、目標、基準、および方法論を網羅していることを確認する必要があります。
その他の選択肢は、クラウド監査において監査人が組織の状況を理解するための主な目的ではありません。選択肢Aは監査手順の一つとして考えられますが、組織の状況を理解するための主な目標ではありません。選択肢Cは監査結果の一つとして考えられますが、組織の状況を理解するための主な目的ではありません。選択肢Dは監査結果の一つとして考えられますが、組織の状況を理解するための主な理由ではありません。参考資料：
ISACA クラウド監査知識証明書学習ガイド、12 ～ 13 ページ。