本文へスキップ
BecomeCoder

AWSコース　·　第7章　セキュリティとコンプライアンス　·　レッスン38

コンプライアンスとガバナンス

導入

「うちの会社はISOやPCI DSSなどの認証を取っているか、AWS側は証明できるのか」——監査担当者から聞かれたときに頼りになるのがAWS Artifactです。

説明

コンプライアンスとは、法令や業界基準（個人情報保護法、PCI DSS、ISO27001など）に準拠していることです。責任共有モデルの通り、AWSの基盤部分の準拠状況はAWSが証明し、利用者はその上で自分たちの使い方が基準を満たしているかを示す必要があります。

  • AWS Artifact … AWSが取得している第三者認証レポート（監査報告書）やコンプライアンス関連文書を、無料でオンデマンドにダウンロードできるサービス。自社の監査対応の際に「AWS側の証拠」として提出できる。
  • 対応するコンプライアンスプログラム … AWSはISO 27001、PCI DSS、SOC 1/2/3など、幅広い国際規格・業界基準の認証を取得している。
  • AWS Config … AWSリソースの設定変更を継続的に記録・追跡し、あらかじめ定めたルール（例：「S3バケットは非公開であるべき」）に沿っているかを評価するサービス。
  • AWS Audit Manager … Configなどのデータを活用し、監査に必要な証拠を継続的に収集して、監査対応の準備を効率化するサービス。
flowchart LR
    AWS["AWS（基盤の認証取得）"] -->|監査レポートを提供| Artifact["AWS Artifact"]
    Artifact -->|ダウンロード| Customer["利用者（自社の監査で提出）"]
    Config["AWS Config"] -->|継続的に評価| Rule["自社のルールに沿っているか"]
    Config --> AuditM["Audit Manager"]
    AuditM -->|証拠を収集| Report["監査レポート"]

つまり「AWS側の証拠を取り出す窓口がArtifact」「自社の構成が基準に沿っているか継続的に見張るのがConfig」「その証拠集めを効率化するのがAudit Manager」という役割分担です。

読んでみよう

「監査報告書が欲しい→Artifact」「自社の設定が基準通りか常時チェックしたい→Config」という対応づけを覚えておきましょう。