AWS Audit Manager 専門
コンプライアンス監査のエビデンス収集と評価を自動化するサービス
何ができるか
AWS Audit Manager は、AWS 環境のコンプライアンス監査に必要なエビデンス (証拠) の収集を自動化するサービスです。GDPR、PCI DSS、SOC 2 などの業界標準フレームワークに対応した事前構築済みの評価テンプレートを提供し、AWS Config や CloudTrail などから関連するエビデンスを自動的に収集・整理します。監査準備にかかる手作業を大幅に削減できます。
どのような場面で使うか
SOC 2 や PCI DSS の年次監査に向けたエビデンス収集の自動化、社内セキュリティポリシーへの準拠状況の継続的なモニタリング、監査法人への提出資料の効率的な作成などに活用されています。マルチアカウント環境での一元的なコンプライアンス管理にも利用されます。
身近な例え
会社の内部監査部門のアシスタントに例えるとわかりやすいでしょう。監査に必要な書類 (エビデンス) を各部署から自動的に集めてきて、チェックリストに沿って整理してくれます。監査員は書類集めに奔走する代わりに、内容の確認と判断に集中できます。
AWS Audit Manager とは
AWS Audit Manager は、クラウド環境のコンプライアンス監査を効率化するマネージドサービスです。従来、監査対応ではスクリーンショットの取得やログの手動収集など膨大な手作業が必要でした。Audit Manager はこれらのエビデンス収集を自動化し、評価フレームワークに沿って整理します。AWS の各種サービスから継続的にデータを収集するため、監査時期に慌てて準備する必要がなくなります。
フレームワークと評価
Audit Manager には GDPR、PCI DSS、SOC 2、HIPAA など主要なコンプライアンスフレームワークの事前構築済みテンプレートが用意されています。フレームワークを選択して評価を開始すると、各コントロール (統制項目) に対応するエビデンスが AWS Config ルール、CloudTrail ログ、Security Hub の検出結果などから自動的に収集されます。カスタムフレームワークを作成して、自社独自の監査基準にも対応できます。
エビデンスの管理とレポート
収集されたエビデンスはコントロールごとに整理され、ダッシュボードで準拠状況を一目で確認できます。各コントロールの評価ステータスを手動でレビューし、準拠・非準拠・対象外などのステータスを設定します。評価が完了したら、エビデンスフォルダーごとレポートとして出力し、監査法人や社内の監査チームに提出できます。S3 にエビデンスを保存するため、長期的な保管にも対応しています。
注意点
- Audit Manager 自体の利用料金はリソース評価数に基づいて課金される。エビデンスの保存先 S3 の料金も別途発生する
- 自動収集されるエビデンスはあくまで技術的な証拠であり、監査の最終判断は人間が行う必要がある
- AWS Config と CloudTrail が有効化されていることが前提となる。これらが無効だとエビデンスを収集できない
この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。
