AWS 合规认证的覆盖范围 - 从 ISMAP 到 PCI DSS 的适用服务确认方法
以 ISMAP、SOC、PCI DSS、HIPAA 为主线，解说 AWS 支持的合规认证（截至 2026 年 8 月为 143 项），并梳理确认每项认证的适用服务和区域的步骤。
143 项认证意味着什么
截至 2026 年 8 月，AWS 在官方合规页面上公布的支持数量为 143 项安全标准和合规认证。这个数字不仅仅是营销上的指标，而是逐一满足各国 / 各行业监管机构所要求的条件的结果的积累。金融行业的 PCI DSS、医疗领域的 HIPAA、面向政府机构的 FedRAMP、面向日本政府信息系统的 ISMAP 等，各自经过不同的审计标准和审查流程而取得。取得认证需要整理大量文档、实施技术控制并接受第三方审计，取得后为了保持有效性，还需要持续地重新接受审计。认证并不是取得 1 次就结束的，其前提是在每个审计周期重新梳理适用服务和区域的运营。实际上，AWS 以每年 2 次的周期更新 SOC，HITRUST CSF 采用年度评估周期，PCI DSS 则通过 Spring / Fall 每半年 1 次的报告包更新来追加适用服务和区域。AWS 能够维持如此多的认证，背后有专职的合规团队，以及从设计阶段就将认证要求融入服务的工程文化。
ISMAP 与对日本市场的支持
ISMAP（Information system Security Management and Assessment Program）是日本政府于 2020 年启动的云服务安全性评估制度。政府机构采购云服务时，原则上要从在 ISMAP 中注册的服务中选择。AWS 从 ISMAP 的首次评估起就已注册，此后也持续接受评估。AWS 公布适用范围的最近一次更新是在 2024 年，适用对象为 171 项服务 / 28 个区域（有效期为 2023 年 12 月 1 日至 2024 年 12 月 31 日的注册）。此后的更新内容没有单独公布，因此当前的注册状况和适用服务需要在 ISMAP 门户网站的云服务列表中确认。ISMAP 的评估标准以 ISO 27001 为基础，同时增加了日本特有的要求，并对数据所在地和运营体制设有严格的标准。AWS 在日本国内拥有东京区域和大阪区域 2 个站点，能够满足数据境内保存的要求，这是其优势。另外，ISMAP 还有一个以在风险和影响程度较小的业务中使用为前提的单独类别 ISMAP-LIU（Low-Impact Use）。这一类别主要面向 SaaS，并不是地方政府专用的制度。采购要求指的是普通 ISMAP 还是 LIU，需要针对每个项目在注册名录中确认。面向金融机构，AWS 还公布了对 FISC 安全对策标准的遵循情况，为日本国内受监管行业选择云提供了齐全的判断依据。
SOC 报告与持续的审计体制
AWS 已取得 SOC 1、SOC 2、SOC 3 的全部报告。SOC 1 评估与财务报告相关的内部控制，对于在 AWS 上运营会计系统的企业不可或缺。SOC 2 是基于安全性、可用性、处理完整性、机密性、隐私 5 项信任原则的评估，全面证明云服务的可信性。SOC 3 是 SOC 2 的摘要版，向公众公开，任何人都可以查阅。重要的是，这些报告是作为 Type II 报告发布的。Type I 评估的是特定时间点的控制设计，而 Type II 证明的是在通常 6 个月至 12 个月的期间内控制得到了有效运行。AWS 保持每年 2 次的 SOC 审计周期，建立了不会出现审计空白期的体制。最近的 Spring 2026 报告以 2025 年 4 月 1 日至 2026 年 3 月 31 日的 12 个月为对象，涵盖 188 项服务。报告除 PDF 外还以机器可读的 OSCAL 格式提供，因此可以将导入自家控制台账的工作自动化。这种持续的审计体制，在客户企业开展自身的审计应对时也会提供很大帮助。
PCI DSS 与 HIPAA - 行业特有的严格标准
PCI DSS（Payment Card Industry Data Security Standard）是适用于所有处理信用卡信息的组织的标准，AWS 被认定为最严格的 1 级服务提供商。AWS 公布的适用服务总数的最近数值是 2020 年春季时的 124 项服务，EC2、S3、RDS、Lambda 等主要服务都包含在范围内。此后每半年（Spring / Fall）的报告包公布的不是总数而是新增部分，在 2025 年秋季的更新中，也有新的服务和亚太地区（台北）区域加入了范围。当前的适用范围可以在 AWS 的 Services in Scope 页面上确认。因此，客户在 AWS 上构建信用卡支付系统时，可以将基础设施层的 PCI DSS 合规交给 AWS。HIPAA（Health Insurance Portability and Accountability Act）是美国的医疗信息保护法。AWS 明确公开了支持 HIPAA 的服务，并建立了与客户签订 BAA（Business Associate Agreement）的机制。日本的医疗机构也需要遵循厚生劳动省的“医疗信息系统安全管理指南”。该指南不是云服务商取得的认证，而是医疗机构等使用方自行满足的遵守事项，因此需要在梳理责任分工的基础上建立自身的体制。作为处理医疗信息时可以参考的 AWS 方面的依据，有 HITRUST CSF 认证，在 2025 年的评估周期中，有 177 项服务通过了版本 11.5.1 的控制框架认证。
比较认证覆盖范围时的看法
各云服务商都公开了各自支持的认证列表，但由于把什么算作 1 项（如何处理各国 / 各行业的法规、框架和适用地区）的定义因服务商而异，因此不能将公布数量的多少直接当作优劣来比较。实务中应确认的是 2 点：自家需要的认证是否已覆盖，以及该认证的适用服务中是否包含计划使用的服务。即使取得了认证，如果适用服务有限，架构的选择也会变窄。AWS 在 Services in Scope by Compliance Program 页面上公开了每个项目的适用服务，可以像本文提到的 ISMAP、SOC、HITRUST 那样按项目追踪适用范围。同样的确认也可以在 Azure 和 Google Cloud 的合规公开页面上进行，因此按候选服务商列出适用服务一览，并以计划使用的服务为单位进行核对，是稳妥的做法。对于 FedRAMP、C5、IRAP、ISMAP 这类按国家 / 地区划分要求的认证，还要一并确认所需的区域是否在适用范围内。作为审计应对的准备，重要的是不仅看有无认证，还要读到责任共担模型和报告书的描述，弄清哪些控制由服务商承担、哪些控制作为自家的责任保留下来。
取得认证的实务应用方法
要将 AWS 的认证用于自家的合规应对，使用 AWS Artifact。Artifact 是可以按需下载 AWS 的审计报告和认证文档的服务，可以立即获取 SOC 报告、PCI DSS 的 AOC（Attestation of Compliance）、ISO 27001 的认证书等。在自家的审计应对中，用 AWS 的认证替代 AWS 负责范围内的控制，将审计资源集中在自家负责的范围，这一策略很有效。使用 AWS Config Rules，可以持续评估自家的资源是否符合特定的合规标准。AWS 提供了支持 PCI DSS 和 CIS Benchmark 的规则包，并自动检测配置的偏差。
总结
截至 2026 年 8 月，AWS 公布的合规认证达到 143 项，广泛覆盖了全球主要的监管要求。通过 ISMAP 支持日本政府机构、通过 SOC Type II 建立持续的审计体制、通过 PCI DSS 1 级和 HIPAA BAA 遵循行业特有的严格标准，这些都是企业选择云时决定性的判断依据。与其他公司的比较，请不要看公布数量的多少，而要根据自家需要的认证与该认证的适用服务及区域是否一致来判断。梳理自家的合规要求，并结合 AWS Artifact 和 Config Rules 构建高效的审计体制，会带来云应用的成功。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。