AWS Artifact でコンプライアンスレポートを取得 - 監査対応と契約管理
SOC・PCI DSS・ISO の監査レポートをオンデマンドで取得し、BAA や GDPR DPA を Organizations 全体に一括適用する手順を紹介します。
Artifact の概要
Artifact は AWS のコンプライアンスレポートと契約書をオンデマンドで取得するサービスです。自社のコンプライアンス監査で「AWS のセキュリティ管理体制の証跡」を求められた場合、Artifact から SOC レポートや ISO 認証書をダウンロードして監査人に提出できます。BAA や GDPR DPA などの契約も Organizations 全体に一括適用できます。
レポートと契約管理
Artifact Reports では 50 種類以上のコンプライアンスレポートを提供しており、SOC 1 (財務報告に関する内部統制)、SOC 2 (セキュリティ・可用性・機密性)、PCI DSS AOC (決済カード業界準拠証明)、ISO 27001 認証書などを取得できます。Artifact Agreements では BAA (HIPAA 対応に必要な事業提携契約) や NDA を電子的に締結します。Organizations の管理アカウントから組織契約を締結すると、全メンバーアカウントに自動適用されます。
レポートの活用と監査対応
Artifact Reports で取得できるレポートは SOC 1/2/3 、 PCI DSS 、 ISO 27001/27017/27018 、 FedRAMP 、 HIPAA など多岐にわたります。監査人から「 AWS のセキュリティ管理策の証拠」を求められた場合、該当するレポートをダウンロードして提出します。 NDA (秘密保持契約) への同意が必要なレポートもあり、ダウンロード時に電子的に同意します。 Artifact Agreements で BAA (Business Associate Agreement) や GDPR DPA (Data Processing Addendum) を Organizations 全体に一括適用でき、個別アカウントでの契約管理が不要になります。レポートは定期的に更新されるため、監査時期に合わせて最新版を取得します。 Artifact に関する詳しい解説はAmazon の関連書籍でも確認できます。
Artifact の料金と運用
Artifact は無料で利用できます。レポートのダウンロードや契約の管理に追加料金は発生しません。Organizations の管理アカウントまたは委任管理者アカウントから、全メンバーアカウントの契約を一括管理できます。監査対応のワークフローとして、年次の監査スケジュールに合わせて必要なレポートのリストを作成し、Artifact から最新版をダウンロードして監査チームに提供する手順を標準化します。AWS の責任共有モデルにおいて、Artifact のレポートは AWS 側の管理策の証拠であり、ユーザー側の管理策は別途文書化が必要です。
まとめ
Artifact は AWS のコンプライアンスレポートと契約書をオンデマンドで提供する無料のサービスです。SOC 1/2/3、PCI DSS、ISO 27001 などの監査レポートをダウンロードして監査人に提出でき、BAA や GDPR DPA を Organizations 全体に一括適用することで、監査対応の工数を大幅に削減します。