Un'applicazione che gestisce i controlli di accesso a una suite di strumenti (Jenkins, Nexus, BitBucket) in un ambiente SOX deve essere considerata un'applicazione SOX?
L'app stessa gestisce solo i dati in transito e utilizza l'autenticazione per limitare adeguatamente il modo in cui l'app viene utilizzata per gestire le impostazioni degli strumenti SOX. L'app ha anche un log di sola aggiunta per scopi di controllo e per costruire lo stato per gli amministratori da visualizzare (event sourcing).
Infine, tutti gli strumenti che compongono una pipeline CI / CD si trovano in un ambiente SOX in modo che possano distribuire risorse utente su macchine virtuali nell'ambiente SOX.