CLF / ドメイン2 セキュリティとコンプライアンス
AWS Artifact
概要
は、AWS自体のセキュリティ・関連文書をでダウンロードできるセルフサービスのポータルです。監査人や規制当局へ「AWSインフラが基準を満たしている証明」を提出する文脈で登場します。無料で利用できます。
主要技術
① コンプライアンスレポート
レポート、PCI関連文書、ISO認証など、第三者機関によるAWSの監査レポートをダウンロードできます。
② 契約 (Agreements)
BAA(事業提携契約)などのAWSとの契約を、アカウント単位または組織単位で確認・締結・管理できます。
③ 地域・業界ごとのコンプライアンスプログラムと対象サービス
AWSは、地域や業界ごとのプログラムに対応しています。地域の例は日本政府のISMAP、米国政府のFedRAMP、ドイツのC5、業界の例は医療のHIPAA、クレジットカード業界のです。どのAWSサービスがどのプログラムの評価対象かはプログラムごとに異なり、AWSの「コンプライアンスプログラムによる対象範囲内のAWSのサービス」のページで確認できます。規制対象のデータを扱う利用者は、使うサービスが対象範囲に含まれるかを自分で確かめ、適切に設定します。
④ 利用の条件
の文書と契約は無料で入手できます。閲覧できる担当者はの権限で制御します。で製品を販売する独立系ソフトウェアベンダー(ISV)のセキュリティ・文書も入手できます。
試験対策
① 選択基準
「AWSのレポートを監査人に提出したい」「/PCI/ISOレポートを入手したい」という問題文ではを選びます。
② Audit Managerとの違い
AWS側の準拠を示す既成レポートの取得は、自社のAWS利用状況に対する証拠の収集はです。
③ 責任共有モデルとの関係
で得られるのはAWS側(クラウド本体)の証明だけです。自社のアプリケーションや運用の準拠を示す文書は、利用者自身が用意します。