AWS CLF(Cloud Practitioner)対策

コンプライアンス

このレッスンを終えると、監査で求められる AWS 側の証明書類をどこから入手するかを答えられ、コンプライアンス関連のサービスを役割で区別できるようになります。

自分でサーバーを1台建てるなら

自社のサーバー室で業務システムを動かしていると、取引先や監査法人から「そのシステムはどういう管理下にありますか」と聞かれます。入退室の記録、電源の冗長構成、機器の廃棄手順、担当者の権限一覧。こうした証拠をかき集めて提出するのは、かなりの手間でした。

AWS を使うと、この作業の下半分が消えます。データセンターと物理基盤は AWS の管理下にあり、その部分が第三者機関の監査を受けた結果を、AWS がまとめて公開しているからです。責任共有モデルの図をそのまま監査に持ち込んだ形だと考えると分かりやすくなります。AWS 側の証拠は AWS が出す、利用者側の証拠は利用者が出す、という分担です。

AWS Artifact

AWS Artifact は、AWS が受けた第三者監査の報告書と証明書をセルフサービスでダウンロードできる窓口です。マネジメントコンソールから利用でき、これ自体に追加料金はかかりません。

入手できるものは、たとえば次のような区分です。

区分中身の例
監査報告書SOC 報告書、PCI DSS の準拠に関する書類、ISO の認証
契約書類AWS との間で結ぶ機密保持や地域ごとの規制対応に関する合意

重要なのは、Artifact が入手する場所であって、コンプライアンスを自動で満たす仕組みではないことです。監査人に「AWS 側の統制はどうなっているか」と問われたら、ここから報告書を取って提出します。

近い名前のサービスと区別する

コンプライアンス周辺には、役割の違うサービスが並びます。ここを混ぜないことが試験対策の中心です。

サービス何をするか
AWS ArtifactAWS 側の監査報告書と契約書類を入手する
AWS Config自分のリソース構成を記録し、決めたルールに沿っているか継続的に評価する
AWS CloudTrail誰がいつどの API を呼んだかという操作の記録を残す
AWS Audit Manager自社の証拠収集を自動化し、監査用のレポートを組み立てる
AWS Security Hub各種セキュリティ検出結果を1か所に集約し、基準への適合状況を俯瞰する

覚え方はこうです。AWS 側の証拠が要るなら Artifact、自分側の状態が要るなら Config。そして操作の履歴なら CloudTrail です。

準拠プログラムの考え方

AWS は多数の国際規格・地域規制の準拠プログラムに対応しています。ただし「AWS を使えば自動的に準拠する」わけではありません。AWS が準拠しているのはあくまで基盤部分であり、その上に載せたシステムが規制を満たすかどうかは利用者の設計と運用にかかっています。この「継承する統制」と「自分で実装する統制」の区別が、この分野の考え方の核です。

試験ではこう出る

  • 「監査人に AWS の SOC 報告書を提出する必要がある。どこで入手するか」→ AWS Artifact
  • 「自社リソースが社内ルールに沿った設定になっているか継続的に確認したい」→ AWS Config
  • 「先月、誰が S3 バケットの公開設定を変更したのかを調べたい」→ AWS CloudTrail
  • 「AWS を使えば規制に準拠したことになるか」→ ならない。基盤は AWS、その上は利用者
  • 「コンプライアンス報告書の入手に料金はかかるか」→ Artifact の利用自体に追加料金はかからない
  • 選択肢に Artifact と Config が並んだら、主語が AWS か自分かを読み取れば答えが決まります

まとめ

  • 監査でも責任共有モデルの分担がそのまま効く
  • AWS 側の監査報告書と契約書類の入手先は AWS Artifact
  • 自分のリソース構成の評価は AWS Config、操作の履歴は AWS CloudTrail
  • 証拠収集の自動化は Audit Manager、検出結果の集約は Security Hub
  • AWS の準拠は基盤まで。その上のシステムの準拠は利用者の責任
生田 陸人
監修
ゆめさくエンジニア / 現役ソフトウェアエンジニア
編集 LuaGate編集部

復習ミニクイズ

監査法人から、利用しているクラウド事業者の第三者監査報告書（SOC 報告書）を提出するよう求められました。この報告書を入手する方法として最も適切なものはどれですか。