AWS責任共有モデル

は、クラウドのセキュリティとに関する責任を、AWSと利用者で分担する考え方です。

CLFでは、AWSは「クラウドのセキュリティ」、利用者は「クラウド内のセキュリティ」を担当するという基本と、利用するサービスによって分担範囲が変わることが頻出です。

概要

AWSを利用しても、利用者のセキュリティ責任がすべてAWSへ移るわけではありません。AWSはデータセンター、物理機器、ネットワーク、仮想化基盤などを保護します。利用者は、データ、IDと権限、サービスの設定など、自分で制御できる部分を保護します。

主要技術

①AWSと利用者の基本的な分担 ⚠️ 頻出

担当	主な責任	例
AWS	クラウドのセキュリティ	・・の施設、物理サーバー、ストレージ機器、基盤ネットワーク、ハイパーバイザー
利用者	クラウド内のセキュリティ	データ分類、権限、暗号化設定、（など）、、アプリケーション設定、バックアップの取得

Point

Security of the Cloud は、クラウドそのものを支える基盤の保護で、AWSの責任です。
Security in the Cloud は、クラウド内に置くデータや設定の保護で、利用者の責任です。
「AWSを使えば自動的にすべて安全になる」という意味ではありません。

②サービスによって変わる責任範囲

利用者が管理する範囲は、サービスの抽象度によって変わります。AWSが管理する層の多いサービスほど、利用者の運用負担は減りますが、データとアクセス権限への責任は残ります。

利用形態	AWSが管理する範囲	利用者が管理する主な範囲
	施設、物理機器、基盤ネットワーク、仮想化	ゲストの更新、アプリ、データ、、ネットワーク設定
	EC2の範囲に加え、DB基盤やOSなど	データ、DBユーザー、権限、暗号化やネットワークの設定
	物理基盤、OS、サービス基盤	保存データ、アクセス許可、公開設定、暗号化の選択
	実行基盤、OS、ランタイム基盤の多く	コード、依存関係、データ、IAM実行ロール、関数設定
	物理基盤、OS、DBソフトウェアの更新、間でのデータの複製	テーブルのデータ、IAMによるアクセス制御、の種類の選択
（EC2で実行）	施設、物理機器、基盤ネットワーク、仮想化	を動かすEC2のOSとのパッチ、ECSエージェント、コンテナイメージ、タスクの、ネットワーク設定
Amazon ECS（で実行）	上の範囲に加え、コンテナを動かす基盤のOSとパッチ	コンテナイメージ、タスクのIAMロール、ネットワーク設定、データの暗号化
	ハードウェアと仮想化基盤の運用・保守、Outpostと間の	設置する施設の物理セキュリティと入退室管理、電源、冷却、構内ネットワーク（その上はEC2と同じ範囲）

⚠️ 頻出: を選ぶとAWSの担当範囲は広がりますが、利用者のデータ、IAM、適切な設定への責任はなくなりません。

Lambdaのマネージドランタイムは、既定の自動更新モードでは、AWSがパッチを含む新しいランタイムを公開し、既存の関数にも適用します。関数をコンテナイメージでデプロイする場合は、AWSが公開する更新済みのベースイメージからイメージを作り直して再デプロイする作業が利用者に残ります。なお、マネージドランタイムでは、関数の更新時にだけ適用するモードや、互換性の問題に備えて手動で切り替えるモードも選べ、その場合は更新の手順が利用者側に移ります。

Outpostsは利用者の施設に置くため、リージョンではAWSが担う施設の物理セキュリティ、電源、冷却が利用者の責任になります。ハードウェアの保守はAWSが行います。

③共有される統制

同じ種類の統制でも、AWSと利用者が別の層を担当することがあります。

統制	AWS	利用者
パッチ管理	基盤やの管理対象を更新します。	のゲストや自作アプリを更新します。
構成管理	AWS基盤を安全に構成します。	利用するAWSリソース、OS、アプリを適切に構成します。
意識向上とトレーニング（教育）	AWS従業員を教育します。	自組織の利用者や管理者を教育します。

物理的な施設管理は利用者がAWSから継承できる統制です。一方、組織独自のデータ分類やユーザー権限は利用者固有の責任です。統制は次の3種類に分けて説明されます。

統制の種類	意味	例
継承される統制	利用者がAWSから完全に引き継ぎ、自分では実装しません。	物理的および環境的な統制
共有される統制	AWSと利用者が、それぞれの層で実装します。	パッチ管理、構成管理、意識向上とトレーニング
利用者固有の統制	利用者だけが責任を負います。	特定のセキュリティ環境の中でのデータのルーティングやゾーン分け

④コンプライアンスも共有責任

AWSが各種認証や監査報告を提供していても、利用者のシステム全体が自動的に要件を満たすわけではありません。

では、AWSの監査レポートや契約文書を確認できます。利用者は、自分のワークロードに適用される法令や業界要件を確認し、AWSサービスを適切に設定・運用します。

試験対策

問題文の対象	主な担当	判断理由
データセンターへの物理入退室	AWS	クラウド基盤の物理セキュリティです。
物理サーバーやハイパーバイザー	AWS	AWSが運用する基盤です。
ゲストのパッチ	利用者	利用者が管理するOSです。
のアクセス許可	利用者	利用者が設定できるデータアクセスです。
ユーザーと	利用者	IDと権限は利用者が管理します。
の基盤OS	AWS	サービス基盤はAWSが運用します。
規制要件を満たすワークロード構成	利用者	AWSの証明を活用しつつ、自環境の適合を確認します。

迷ったときは「その項目を誰が設定・操作できるか」を考えます。ただし、正確な責任範囲は利用するサービスによって変わるため、EC2、、S3、の違いを押さえます。