AWS のコンプライアンス認証の網羅性 - ISMAP から PCI DSS まで対象サービスの確認方法
AWS が対応するコンプライアンス認証 (2026 年 8 月時点で 143) を ISMAP、SOC、PCI DSS、HIPAA を軸に解説し、認証ごとの対象サービスとリージョンを確認する手順を整理します。
143 の認証が意味するもの
AWS が公式のコンプライアンスページで公表している対応数は、2026 年 8 月時点で 143 のセキュリティ標準およびコンプライアンス認証です。この数字は単なるマーケティング上の指標ではなく、各国・各業界の規制当局が求める要件を個別に満たした結果の積み重ねです。金融業界の PCI DSS、医療分野の HIPAA、政府機関向けの FedRAMP、日本の政府情報システム向けの ISMAP など、それぞれ異なる監査基準と審査プロセスを経て取得されています。認証の取得には膨大なドキュメント整備、技術的統制の実装、第三者監査の受審が必要であり、取得後も有効性を保つために監査を継続的に受け直す必要があります。認証は 1 度取得すれば終わりというものではなく、対象サービスとリージョンを監査サイクルごとに洗い直す運用が前提です。実際に AWS は SOC を年 2 回のサイクルで更新し、HITRUST CSF は年次の評価サイクル、PCI DSS は Spring / Fall の半期ごとのパッケージ更新で対象サービスとリージョンを追加しています。AWS がこれだけの認証を維持できる背景には、専任のコンプライアンスチームと、認証要件を設計段階からサービスに組み込むエンジニアリング文化があります。
ISMAP と日本市場への対応
ISMAP (Information system Security Management and Assessment Program) は、日本政府が 2020 年に開始したクラウドサービスの安全性評価制度です。政府機関がクラウドサービスを調達する際、ISMAP に登録されたサービスから選定することが原則とされています。AWS は ISMAP の初回の評価から登録されており、その後も評価を重ねています。AWS が対象範囲を公表した直近の更新は 2024 年で、171 サービス・28 リージョンが対象でした (2023 年 12 月 1 日から 2024 年 12 月 31 日まで有効の登録)。それ以降の更新内容は個別に公表されていないため、現在の登録状況と対象サービスは ISMAP ポータルのクラウドサービスリストで確認する必要があります。ISMAP の評価基準は ISO 27001 をベースにしつつ、日本固有の要件が追加されており、データの所在地や運用体制に関する厳格な基準が設けられています。AWS は東京リージョンと大阪リージョンの 2 拠点を国内に持ち、データの国内保持要件に対応できる点が強みです。なお ISMAP には、リスクや影響度の小さい業務での利用を前提とした ISMAP-LIU (Low-Impact Use) という別枠があります。こちらは主に SaaS を対象とした枠で、自治体専用の制度ではありません。調達要件が通常の ISMAP と LIU のどちらを指しているかは、案件ごとに登録簿で確認する必要があります。金融機関向けには FISC 安全対策基準への準拠も公表しており、国内の規制産業でクラウドを選ぶ際の判断材料が揃っています。
SOC 報告書と継続的な監査体制
AWS は SOC 1、SOC 2、SOC 3 の全報告書を取得しています。SOC 1 は財務報告に関連する内部統制を評価するもので、AWS 上で会計システムを運用する企業にとって不可欠です。SOC 2 はセキュリティ、可用性、処理の完全性、機密性、プライバシーの 5 つの信頼原則に基づく評価であり、クラウドサービスの信頼性を包括的に証明します。SOC 3 は SOC 2 の要約版で一般公開されており、誰でも閲覧できます。重要なのは、これらが Type II 報告書として発行されている点です。Type I が特定時点の統制設計を評価するのに対し、Type II は通常 6 か月から 12 か月の期間にわたって統制が有効に運用されていたことを証明します。AWS は年 2 回の SOC 監査サイクルを維持しており、監査の空白期間が生じない体制を構築しています。直近の Spring 2026 報告書は 2025 年 4 月 1 日から 2026 年 3 月 31 日までの 12 か月間を対象とし、188 サービスがカバーされています。報告書は PDF に加えて機械可読な OSCAL 形式でも提供されるため、自社の統制台帳への取り込みを自動化できます。この継続的な監査体制は、顧客企業が自社の監査対応を行う際にも大きな助けとなります。
PCI DSS と HIPAA - 業界固有の厳格基準
PCI DSS (Payment Card Industry Data Security Standard) はクレジットカード情報を扱うすべての組織に適用される基準で、AWS は最も厳格なレベル 1 サービスプロバイダーとして認定されています。AWS が対象サービスの総数を公表した直近の値は 2020 年春時点の 124 サービスで、EC2、S3、RDS、Lambda など主要サービスが範囲に含まれます。以降の半期ごと (Spring / Fall) のパッケージでは総数ではなく追加分が公表されており、2025 年秋の更新でも新たなサービスとアジアパシフィック (台北) リージョンが範囲に加わりました。現時点の対象範囲は AWS の Services in Scope ページで確認できます。これにより、顧客は AWS 上でカード決済システムを構築する際、インフラ層の PCI DSS 準拠を AWS に委ねることができます。HIPAA (Health Insurance Portability and Accountability Act) は米国の医療情報保護法で、AWS は HIPAA 対応サービスを明示的に公開し、BAA (Business Associate Agreement) を顧客と締結する仕組みを整えています。日本の医療機関でも、厚生労働省の「医療情報システムの安全管理に関するガイドライン」への対応が求められます。このガイドラインはクラウド事業者が取得する認証ではなく、医療機関などの利用者側が自ら満たす遵守事項であるため、責任分担を整理したうえで自社の体制を作る必要があります。医療情報を扱う際に参照できる AWS 側の裏付けとしては HITRUST CSF の認証があり、2025 年の評価サイクルでは 177 サービスがバージョン 11.5.1 の統制フレームワークで認証されています。
認証の網羅性を比較するときの見方
クラウド事業者はそれぞれ対応する認証の一覧を公開していますが、何を 1 件として数えるか (国別・業界別の規制、フレームワーク、対象地域をどう扱うか) の定義が事業者ごとに異なるため、公表数の大小をそのまま優劣として比較することはできません。実務で確認すべきなのは、自社が必要とする認証がカバーされているか、そしてその認証の対象サービスに使う予定のサービスが含まれているかの 2 点です。認証を取得していても対象サービスが限定的であれば、アーキテクチャの選択肢が狭まります。AWS はプログラムごとの対象サービスを Services in Scope by Compliance Program ページで公開しており、本記事で触れた ISMAP、SOC、HITRUST のようにプログラム単位で対象範囲を追えます。同じ確認は Azure と Google Cloud のコンプライアンス公開ページでもできるので、候補となる事業者ごとに対象サービス一覧を並べ、使う予定のサービス単位で突き合わせる進め方が確実です。FedRAMP、C5、IRAP、ISMAP のように国・地域ごとに要件が分かれる認証では、必要なリージョンが対象に入っているかも合わせて確認します。監査対応の準備としては、認証の有無だけでなく、どの統制を事業者が担い、どの統制が自社の責任として残るかを、責任共有モデルと報告書の記述まで読み込んでおくことが重要です。
認証取得の実務的な活用方法
AWS の認証を自社のコンプライアンス対応に活用するには、AWS Artifact を利用します。Artifact は AWS の監査報告書や認証ドキュメントをオンデマンドでダウンロードできるサービスで、SOC 報告書、PCI DSS の AOC (Attestation of Compliance)、ISO 27001 の認証書などを即座に入手できます。自社の監査対応では、AWS が責任を持つ範囲の統制を AWS の認証で代替し、自社が責任を持つ範囲に監査リソースを集中させる戦略が有効です。AWS Config Rules を使えば、自社のリソースが特定のコンプライアンス基準に準拠しているかを継続的に評価できます。PCI DSS や CIS Benchmark に対応したルールパックが用意されており、設定のドリフトを自動検出します。
まとめ
AWS が公表するコンプライアンス認証は 2026 年 8 月時点で 143 に達し、グローバルの主要な規制要件を広くカバーしています。ISMAP による日本政府機関への対応、SOC Type II による継続的な監査体制、PCI DSS レベル 1 や HIPAA BAA による業界固有の厳格基準への準拠は、エンタープライズがクラウドを選定する際の決定的な判断材料です。他社との比較は公表数の大小ではなく、自社が必要とする認証と、その認証の対象サービスおよびリージョンが一致しているかで判断してください。自社のコンプライアンス要件を整理し、AWS Artifact と Config Rules を組み合わせて効率的な監査体制を構築することが、クラウド活用の成功につながります。
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトおよび公式ドキュメントです。最新の仕様 / 料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。