AWS Artifactとコンプライアンス情報のシナリオ判断
監査で求められた資料が何を示すかを読み分けます。報告書の対象範囲、契約の状態、自社の操作・設定の証跡を照合し、資料取得だけで監査が終わったと判断しない練習です。
この単元で学ぶこと
- 監査の問いに合う証跡の種類を選ぶ
- 期間・対象・契約範囲の不一致を見つける
- 資料の取得と自社統制の実施を区別する
本文解説
1. 監査からの依頼を分ける 「AWSの基盤統制を示す報告書」と「自社の権限変更の記録」は別の依頼です。前者はArtifactの資料、後者は自社の記録やCloudTrail等を確認します。どちらも安全性に関係しますが、同じ文書を渡せば足りるわけではありません。
2. 対象サービスを照合 監査対象に使っているサービスが報告書の対象かを読みます。似た名称や同じAWS製品というだけで範囲へ含めないようにします。資料に示された対象と自社構成を一覧で対応付け、足りない証跡を明らかにします。
3. 期間のずれ 昨日取得した報告書でも、評価対象が前年度の場合があります。取得日は文書を入手した日であって、統制を評価した期間ではありません。監査が求める期間と資料の範囲を比べ、必要なら最新資料や補足を確認します。
4. 利用者側の許可を示す AWSの施設統制の資料は、自社が誰へS3読取りを許していたかの証明にはなりません。自社の権限審査記録、構成の記録、操作履歴等を使って説明します。資料の不足をAWSの認証名で埋めるのではなく、自社の管理内容を示します。
5. 取得と合意を区別 担当者が報告書を入手したという記録だけで、対象契約が受け入れられたとはいえません。Artifactで必要な契約の内容と状態、対象アカウントを確認します。組織単位の扱いでも、管理権限と適用範囲を確かめます。
6. 配布の条件 監査人へ渡す場合も文書の共有条件を確認します。資料が無料であることは、インターネットへ無条件に公開してよいという意味ではありません。必要な相手と目的に合わせて取り扱い、取得や提供に必要な権限を整えます。
7. 何が改善されたか 資料を取得しても自社の広すぎる権限や未更新ソフトウェアはそのままです。Artifactは証拠を得る手段であって、問題を検出・修復する全機能を提供するわけではありません。見つけた不足には担当と是正方法を決め、実施結果の証拠を残します。
8. 一覧で説明する 要件、対象期間、AWS側の資料、自社側の記録、未確認事項を並べて説明すると、監査人にも範囲が伝わります。資料の枚数だけを成果にせず、必要な事項をどこまで示せたかで確認します。更新された構成と資料の版を追える状態にしておきます。
図解
重要ポイント
- 監査の質問が誰のどの統制かを読む。
- 取得日と評価対象期間を区別する。
- 自社統制の記録とAWS資料を対応付ける。
間違えやすい点
- 昨日取得した資料を今年の評価結果とみなす。
- 無料の資料を無条件の公開資料とみなす。
用語解説
- 取得日
- 報告書を入手した日。評価対象期間と一致するとは限らない。
- 利用者側統制
- 自社の権限・データ・運用等について利用者が実施する管理策。
- 是正
- 見つかった不備を修正し、必要な状態へ戻すこと。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。