認証は、対象者の身元を確認するために使用される。

IS監査担当者が最も懸念すべき点は、データモデルが明確に文書化されていないことである。
データモデルとは、アプリケーションで使用されるデータの構造、関係性、および制約を表現したものです。データの正確性、一貫性、および品質を確保する上で重要な役割を果たすため、ソフトウェア開発プロセスにおいて不可欠な要素です。データモデルの明確かつ包括的なドキュメントは、データの理解、変更、およびアプリケーションロジックのトラブルシューティングを容易にするため、アプリケーションの保守とサポートに不可欠です。
組織がアプリケーションのサポートと将来のメンテナンスを社内で行うことを計画している場合、ベンダーからデータモデルのドキュメントを入手する必要があります。それがなければ、組織はベンダーから社内チームへの知識とスキルの移転、および変化するビジネスニーズと要件に合わせてアプリケーションを適応および強化することに困難に直面する可能性があります3。データモデルのドキュメントがないと、データとアプリケーションのパフォーマンスにおけるエラー、不整合、非効率のリスクも高まる可能性があります2。
その他の調査結果は、データモデルのドキュメント不足ほど懸念すべきものではありません。なぜなら、それらはアプリケーションの品質と保守性に直接影響しないからです。アウトソーシングのコストが社内開発よりも低いことは、組織にとってリスクではなくメリットです。これは、アウトソーシングによって組織の時間とコストが節約されたことを意味するからです4。ベンダーの開発チームが海外に所在することは、アウトソーシングでは一般的な慣行であり、必ずしもアプリケーションの品質低下やリスク増加を意味するものではありません。ただし、コミュニケーション、調整、文化の違いに関して課題が生じる可能性があり、明確な期待、役割、責任を確立し、効果的なコミュニケーションおよびコラボレーションツールと方法を使用することで対処できます5。ビジネスユーザー向けのトレーニングプランが作成されていないことは、アプリケーションを展開する前に組織が対処すべきギャップです。これは、アプリケーションのユーザー受容と満足度に影響を与える可能性があるためです。ただし、アプリケーション自体の品質や保守性に直接影響するものではありません。参考文献:
データモデリングとは？定義と種類 | Informatica1
データモデリングのベストプラクティス：ドキュメント作成 | erwin2
データモデルのドキュメント - 概要 | ScienceDirect Topics3
アプリ開発のアウトソーシングのメリットとデメリット - Droids On Roids4
ソフトウェア開発アウトソーシングの8つのリスクとその対策 - Acropolium5 ソフトウェアトレーニングプラン：自社向けプランの作成方法 - Elinext

Section: Protection of Information Assets
Explanation:
An intrusion detection system (IDS) would be the next line of defense after the firewall. It would detect
anomalies in the network/server activity and try to detect the perpetrator. Antivirus programs, personal
firewalls and VIAN configurations would be later in the line of defense.

The absence of a right-to-audit clause in the outsourcing contract for a cloud service provider would be of greatest concern to an IS auditor1. This clause gives the client the right to audit the service provider's activities that are relevant to the services being provided1. It is crucial for ensuring that the service provider is complying with the terms of the contract and meeting the client's standards for performance, security, and other aspects1. Without this clause, the client may not be able to effectively monitor and manage risks associated with the outsourcing arrangement1.
References:
Audit rights in outsourcing: certifications and third party reports

脅威モデリングとは、情報システム監査担当者が、脅威、攻撃、脆弱性、および対策を理解することで、アプリケーション内の潜在的なセキュリティ脆弱性を特定、分析、軽減できるようにする手法です。この予防的な手法は、安全なアプリケーションの設計に役立ちます。
参考文献
* ISACA CISAレビューマニュアル第27版、276～277ページ（脅威モデリング）