AWS Audit Manager
コンプライアンス監査のエビデンス収集を自動化し、SOC 2、PCI DSS、HIPAA 等のフレームワークに対する準拠状況を継続的に評価するサービス
概要
AWS Audit Manager は、AWS 環境におけるコンプライアンス監査のエビデンス収集と評価を自動化するサービスです。SOC 2、PCI DSS、HIPAA、GDPR、NIST 800-53 など業界標準のフレームワークがプリビルトで用意されており、AWS Config ルール、CloudTrail ログ、Security Hub の検出結果などから自動的にエビデンスを収集します。手動エビデンスのアップロードにも対応し、技術的な自動検証と人的な確認作業を統合した監査ワークフローを構築できます。
フレームワークとコントロールの構造
Audit Manager の中核はフレームワーク、コントロールセット、コントロールの 3 層構造です。フレームワークは監査基準全体 (例: SOC 2 Type II) を表し、その中にコントロールセット (例: 論理的アクセス制御) が含まれ、さらに個別のコントロール (例: MFA の有効化確認) が定義されます。AWS が提供する標準フレームワークをそのまま使うこともできますが、実務では組織固有の要件を反映したカスタムフレームワークを作成するケースが多くなります。カスタムフレームワークでは、標準コントロールに自社のポリシーに基づくコントロールを追加し、AWS Config のカスタムルールや手動確認項目を組み合わせます。コントロールにはデータソースを紐づけ、AWS Config の準拠/非準拠ステータス、CloudTrail の API コールログ、Security Hub の検出結果を自動的にエビデンスとして取り込みます。フレームワークの設計段階で、各コントロールの評価頻度と担当者を明確にしておくと、運用フェーズでの混乱を防げます。
エビデンスの自動収集と手動エビデンス
Audit Manager は 3 種類のエビデンスを扱います。第 1 にコンプライアンスチェック型で、AWS Config ルールの評価結果を自動取得します。第 2 にユーザーアクティビティ型で、CloudTrail から特定の API コール (IAM ポリシー変更、S3 バケット設定変更など) を抽出します。第 3 に設定スナップショット型で、リソースの現在の設定状態を定期的にキャプチャします。自動収集だけではカバーできない領域には手動エビデンスを活用します。たとえばセキュリティ研修の受講記録、物理アクセス制御のログ、ベンダー評価レポートなどは PDF やスクリーンショットとしてアップロードします。エビデンスは評価ごとにフォルダ構造で整理され、コントロール単位で紐づくため、監査人が特定のコントロールに対するエビデンスを一覧で確認できます。Organizations との統合により、マルチアカウント環境でも委任管理者アカウントからエビデンスを一元収集できます。
評価レポートの生成と監査対応
評価 (Assessment) を作成すると、指定したフレームワークに基づいてエビデンスの自動収集が開始されます。評価の対象スコープは AWS アカウントとリージョンの組み合わせで指定し、本番環境のみを監査対象にするといった絞り込みが可能です。収集されたエビデンスは各コントロールに自動マッピングされ、担当者がレビューしてステータスを更新します。全コントロールのレビューが完了したら、評価レポートを PDF として生成し、S3 バケットに出力します。このレポートには、コントロールごとのエビデンス一覧、準拠/非準拠のサマリー、手動レビューのコメントが含まれ、外部監査人への提出資料としてそのまま使用できます。実務上のポイントとして、評価は継続的に実行し、四半期ごとにスナップショットを取得する運用が効果的です。年次監査の直前に慌ててエビデンスを集めるのではなく、日常的にエビデンスが蓄積される仕組みを構築することで、監査対応の工数を大幅に削減できます。