AWS Artifactとコンプライアンス情報を理解する
AWS ArtifactはAWSの安全性・コンプライアンス資料や契約を取得・管理するためのサービスです。監査資料の範囲を理解し、自社で用意する証跡と合わせて使う方法を学びます。
この単元で学ぶこと
- Artifactの資料取得と契約管理を説明する
- AWS側の証跡と利用者側の証跡を区別する
- 対象範囲・期間・アクセス条件を確認して資料を利用する
本文解説
1. 監査資料を入手する AWS ArtifactではAWSのセキュリティやコンプライアンスに関する文書を必要に応じて取得できます。ISO、PCIに関する資料やSOC報告書等が例です。個々のEC2の脆弱性を検査したり、Web要求を遮断したりするサービスとは役割が異なります。
2. 資料が示す対象 文書はAWSの統制やその評価の範囲を示します。対象サービス、期間、地域や監査の範囲等を読み、自社が利用する構成と対応付けます。題名に認証名があるだけで、全サービスの全利用法に同じ証明が適用されるとは考えません。
3. 自社の証跡は別 AWSの基盤保護に関する資料があっても、自社のIAM許可、データ分類、業務上のアクセス審査が適切かは別に確認します。AWS利用者は自社の安全性や適合性を示す文書を用意する責任があります。責任共有モデルに沿って、誰のどの統制を証明するか整理します。
4. 契約の確認と管理 Artifactは資料だけでなくAWSとの対象契約を確認し、受け入れ、状態を追跡する機能も提供します。アカウント単位や組織の複数アカウントを対象にする場合があるため、適用範囲と操作権限を確認します。資料をダウンロードしたことと契約を受け入れたことは同じではありません。
5. 適切なアクセス 監査担当が資料を取得するには、必要な権限と文書の利用条件を確認します。業務に必要な担当者へ必要な範囲のアクセスを与え、用途と配布条件を守ります。誰でも見られる公開ページと、利用条件を伴う報告書を同じ扱いにしないようにします。
6. 監査への組込み 例えば基盤側の統制をArtifactの報告書で確認し、自社の許可変更はアクセス審査の記録で説明します。一つの報告書で全てを証明しようとせず、要件ごとに証拠を対応付けます。取得日と対象期間を残すと、後からどの状態を評価したか分かります。
7. 他サービスと比較 CloudTrailは自社アカウントのAPI活動等の記録、Configは資源構成の記録と評価、Security Hub CSPMは所見や設定の状態管理を支援します。ArtifactはAWS側の監査資料等を得る入口です。資料・操作履歴・構成情報・所見はそれぞれ役割が違います。
8. 更新と費用 必要な時点の報告書を確認し、古い資料をそのまま現在の証跡として使わないようにします。AWSはArtifactの文書と契約を無料で提供しますが、自社監査の作業やAWS資源の利用料金まで無料になる意味ではありません。取得できた事実より、要件に合う範囲を示せることが重要です。
図解
重要ポイント
- AWSの統制資料等を必要に応じて取得する。
- AWSの証跡と自社の設定・運用証跡を組み合わせる。
- 資料取得と契約の受入れを区別する。
間違えやすい点
- AWSの認証を自社の全要件への適合証明とみなす。
- 報告書の対象期間を確認せず現在の証跡として使う。
用語解説
- 監査証跡
- 統制や操作が実施されたこと等を評価するための記録・資料。
- 対象範囲
- 報告書が評価・説明するサービスや期間等の範囲。
- SOC報告書
- サービス提供組織の統制について第三者が評価した報告書の一種。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。