を理解する AWS Audit Manager の概念と用語

Audit Manager の評価を使用して、監査に関連する証拠を自動的に収集できます。

評価は、監査に関連するコントロールのグループであるフレームワークに基づいています。標準またはカスタムのフレームワークから評価を作成できます。標準フレームワークには、特定のコンプライアンス標準または規制をサポートする構築済みのコントロールセットが含まれています。対照的に、カスタムフレームワークには、特定の監査要件に応じてカスタマイズおよびグループ化できるコントロールが含まれています。フレームワークを開始点として使用して、 AWS アカウント 監査の範囲に含める 。

評価を作成すると、Audit Manager は自動的に のリソースの評価を開始します。 AWS アカウント フレームワークで定義されているコントロールに基づいています。次に、関連する証拠を収集し、監査人が確認しやすい形式に変換します。これを行った後、評価のコントロールに証拠をアタッチします。監査の時間になると、ユーザー (または任意の受任者) は収集された証拠をレビューし、それらの証拠を評価レポートに追加できます。この評価レポートは、コントロールが意図したとおりに機能していることを実証するのに役立ちます。

証拠の収集は、評価を作成したときに開始される継続的なプロセスです。評価ステータスを [inactive] (非アクティブ) に変更することで、証拠の収集を停止できます。または、コントロールレベルで証拠の収集を停止することもできます。これを実行するには、評価内の特定のコントロールのステータスを [inactive] (非アクティブ) に変更します。

評価を作成および管理する方法については、「での評価の管理 AWS Audit Manager」を参照してください。

評価レポートは、 Audit Manager の評価から生成された確定ドキュメントです。これらのレポートは、監査のために収集された関連する証拠を要約したものです。それらのレポートは、関連する証拠のフォルダにリンクしています。フォルダは、評価で指定されたコントロールに従って名前が付けられ、編成されています。各評価について、Audit Manager が収集した証拠をレビューし、評価レポートに含める証拠を決定できます。

評価レポートの詳細については、「評価レポート」を参照してください。評価レポートを生成する方法については、「での評価レポートの準備 AWS Audit Manager」を参照してください。

評価レポートの送信先は、Audit Manager が評価レポートを保存するデフォルトの S3 バケットです。詳細については、「デフォルトの評価レポートの送信先の設定」を参照してください。

監査とは、組織の資産、オペレーション、または事業上の誠実さを独立して調べることをいいます。情報技術 (IT) 監査は、組織の情報システム内のコントロールを集中的に調べるものです。IT 監査の目的は、情報システムがアセットを保護し、効果的に運用されており、データの完全性を維持しているかどうかを確認することにあります。これらはすべて、コンプライアンス標準または規制によって義務付けられている規制要件を満たすために重要です。

監査所有者という用語には、文脈に応じて 2 つの異なる意味があります。

Audit Manager において、監査所有者とは、評価とその関連リソースを管理する IAM ユーザーまたはロールです。この Audit Manager のペルソナの責任には、評価の作成、証拠のレビュー、および評価レポートの生成が含まれます。Audit Manager はコラボレーションが可能なサービスであり、監査所有者は、他のステークホルダーが評価に参加する際にそのメリットを享受できます。例えば、他の監査所有者を評価に追加して、管理タスクを共有できます。または、ユーザーが監査所有者であり、コントロールのために収集された証拠の解釈についてサポートが必要な場合は、その分野における内容領域専門家であるステークホルダーにそのコントロールセットを委任できます。このような担当者は、受任者ペルソナとして知られています。

ビジネス用語では、監査所有者は、会社の監査準備に向けた取り組みを調整および監督し、監査人に証拠を提示する担当者をいいます。通常、これは、コンプライアンス責任者やGDPRデータ保護責任者などのガバナンス、リスク、コンプライアンス (GRC) の専門家です。GRC プロフェッショナルには、監査の準備を管理するための専門知識と権限があります。より具体的には、これらの専門家はコンプライアンス要件を理解しており、レポートデータを分析、解釈、および準備できます。ただし、他のビジネスロールも監査所有者の Audit Manager ペルソナを引き受けることができ、GRC専門家だけがこのロールを引き受けるわけではありません。例えば、次のいずれかのチームの技術エキスパートに Audit Manager の評価を設定および管理させることもできます。

Audit Manager の評価で監査所有者として誰を割り当てるかは、組織によって大きく異なります。また、セキュリティオペレーションをどのように構成するか、および監査の詳細によっても異なります。Audit Manager では、同じ個人がある評価で監査所有者のペルソナを引き受け、別の評価で委任ペルソナを引き受けることができます。

Audit Manager の使用方法にかかわらず、監査所有者/委任ペルソナを使用して組織全体の職務の分離を管理し、各ユーザーに特定のIAMポリシーを付与できます。この 2 段階のアプローチにより、Audit Manager は、個々の評価のあらゆる詳細を完全にコントロールできるようにします。詳細については、「 のユーザーペルソナに推奨されるポリシー AWS Audit Manager」を参照してください。

An AWS マネージドソースは、 AWS はお客様に代わって管理します。

各 AWS マネージドソースは、特定の共通コントロールまたはコアコントロールにマッピングされるデータソースの事前定義されたグループです。証拠ソースとして共通コントロールを使用すると、その共通コントロールをサポートするすべてのコアコントロールの証拠が自動的に収集されます。個々のコアコントロールを証拠ソースとして使用することもできます。

が AWS マネージドソースが更新され、それを使用するすべてのカスタムコントロールに同じ更新が自動的に適用されます。 AWS マネージドソース。つまり、カスタムコントロールは、その証拠ソースの最新の定義に照らして証拠を収集します。これにより、クラウドコンプライアンス環境の変化に応じて継続的なコンプライアンスを確保できます。

「」、customer managed source「」も参照してくださいevidence source。

Audit Manager は、評価内のコントロールごとに、そのコントロールのユーザーアクティビティを追跡します。その後、特定のコントロールに関連するアクティビティの監査証跡を確認できます。変更ログにキャプチャされるユーザーアクティビティの詳細については、「」を参照してくださいChangelog タブ。

クラウドコンプライアンスは、クラウドをご利用のお客様が従わなければならない標準に、クラウドで提供されるシステムが準拠している必要があるという一般原則です。

「control」を参照してください。

コンプライアンス規制は、通常は行動を規制するために、当局によって規定される法令、規則、または他の命令です。その一例が ですGDPR。

コンプライアンス標準は、組織のプロセスを詳述する一連の構造化されたガイドラインであり、確立された規制、仕様、または法律に従って維持することを目的としています。例としては、 PCIDSSや などがありますHIPAA。

統制とは、情報システムまたは組織に規定されている保護手段または対策です。コントロールは、情報の機密性、完全性、可用性を保護し、定義された一連の要件を満たすように設計されています。リソースが意図したとおりに動作していること、データが信頼できること、組織が適用可能な法律や規制に準拠していることを保証します。

Audit Manager では、統制はベンダーリスク評価アンケート内の質問を表すこともできます。この場合、統制とは、組織のセキュリティとコンプライアンス体制に関する情報を尋ねる具体的な質問です。

統制部門は、Audit Manager の評価で有効になっているときに、継続的に証拠を収集します。任意のコントロールに証拠を手動で追加することもできます。各証拠は、コントロールの要件への準拠を示すのに役立つレコードです。

Audit Manager には、次のタイプのコントロールが用意されています。

コントロールドメインは、コンプライアンス標準に固有ではないコントロールのカテゴリと考えることができます。コントロールドメインの例は、データ保護 です。

コントロールは、多くの場合、単純な組織上の目的でドメインごとにグループ化されます。各ドメインには複数の目標があります。

コントロールドメインのグループ化は、Audit Manager のダッシュボードの最も強力な機能の 1 つです。Audit Manager は、非準拠の証拠がある評価のコントロールを強調表示し、コントロールドメインごとにグループ化します。これにより、監査に向けて準備する際に、特定の対象ドメインの是正に集中的に取り組むことができます。

コントロールの目標には、その下にある一般的なコントロールの目標が記述されます。各目標には、複数の共通のコントロールを含めることができます。これらの一般的なコントロールが正常に実装されれば、目的を達成するのに役立ちます。

各コントロール目標はコントロールドメインに分類されます。例えば、データ保護コントロールドメインには、データ分類と処理という名前のコントロール目標がある場合があります。このコントロールの目的をサポートするために、アクセスコントロールと呼ばれる共通のコントロールを使用して、 リソースへの不正アクセスをモニタリングおよび検出できます。

「control」を参照してください。

「control」を参照してください。

カスタマーマネージドソースは、ユーザーが定義する証拠ソースです。

Audit Manager でカスタムコントロールを作成する場合、このオプションを使用して独自の個々のデータソースを作成できます。これにより、カスタム などのビジネス固有のリソースから自動証拠を柔軟に収集できます。 AWS Config ルール。カスタムコントロールに手動証拠を追加する場合は、このオプションを使用することもできます。

カスタマーマネージドソースを使用する場合は、作成するすべてのデータソースを維持する責任があります。

「」、AWS managed source「」も参照してくださいevidence source。

Audit Manager はデータソースを使用してコントロールの証拠を収集します。データソースには次のプロパティがあります。

1 つのコントロールに複数のデータソースタイプと複数のマッピングを含めることができます。例えば、1 つのコントロールが、複数のデータソースタイプ ( など) から証拠を収集する場合があります。 AWS Config および Security Hub)。別のコントロールには AWS Config を唯一のデータソースタイプとして、複数の を持つ AWS Config マッピングとしての ルール。

次の表は、自動化されたデータソースタイプの一覧と、対応するマッピングの例を示しています。

代理人は AWS Audit Manager アクセス許可が制限されている ユーザー。受任者は通常、専門的なレベルでビジネスまたは技術に関する知識を有しています。例えば、これらの専門知識は、データ保持ポリシー、トレーニングプラン、ネットワークインフラストラクチャ、または ID 管理に関するものである可能性があります。受任者は、監査所有者が自らの専門分野に属するコントロールに関して収集された証拠をレビューするのをサポートします。受任者は、コントロールセットとそれに関連する証拠のレビュー、コメントの追加、追加の証拠のアップロード、レビュー用に割り当てられた各コントロールのステータスの更新を行うことができます。

監査所有者は、評価全体ではなく、特定のコントロールセットを委任者に割り当てます。その結果、代表者による評価へのアクセスが制限されます。コントロールセットを委任する方法については、「での委任 AWS Audit Manager」を参照してください。

証拠とは、統制の要件への準拠を証明するために必要な情報を含む記録です。証拠の一例として、ユーザーによって呼び出された変更アクティビティとシステム設定スナップショットを挙げることができます。

Audit Manager の証拠には、主に自動と手動の証拠の 2 つのタイプがあります。

評価を作成すると、自動証拠収集が開始されます。これは継続的なプロセスであり、Audit Manager は、証拠タイプと基盤となるデータソースに応じてさまざまな頻度で証拠を収集します。詳細については、「方法を理解する AWS Audit Manager 証拠を収集する」を参照してください。

評価で証拠をレビューする方法については、「での証拠の確認 AWS Audit Manager」を参照してください。

証拠ソースは、コントロールが証拠を収集する場所を定義します。個々のデータソースでも、共通のコントロールまたはコアコントロールにマッピングされるデータソースの事前定義されたグループでもかまいません。

カスタムコントロールを作成すると、 から証拠を収集できます。 AWS マネージドソース、カスタマーマネージドソース、またはその両方。

「」、AWS managed source「」も参照してくださいcustomer managed source。

コントロールがエビデンスを収集する方法は 2 つあります。

エクスポート先は、エビデンスファインダーからエクスポートしたファイルを Audit Manager が保存するデフォルトの S3 バケットです。詳細については、「証拠ファインダーのデフォルトのエクスポート先の設定」を参照してください。

Audit Manager フレームワークは、特定の標準またはリスクガバナンス原則の評価を構造化および自動化します。これらのフレームワークには、構築済みコントロールまたはユーザー定義コントロールのコレクションが含まれており、 のマッピングに役立ちます。 AWS これらのコントロールの要件に対する リソース。

Audit Manager には 2 種類のフレームワークがあります。

フレームワークを作成および管理する方法については、「フレームワークライブラリを使用して でフレームワークを管理する AWS Audit Manager」を参照してください。

でのカスタムフレームワークの共有 AWS Audit Manager この機能を使用すると、 間でカスタムフレームワークをすばやく共有できます。 AWS アカウント および リージョン。カスタムフレームワークを共有するには、[共有リクエスト] を作成します。その後、受信者はリクエストを承諾または拒否するまでに 120 日かかります。承諾されると、Audit Manager は、フレームワークライブラリに共有されたカスタムフレームワークをレプリケートします。カスタムフレームワークをレプリケートすることに加えて、Audit Manager は、そのフレームワーク内に含まれているカスタムコントロールセットおよびコントロールもレプリケートします。これらのカスタムコントロールは、受信者のコントロールライブラリに追加されます。Audit Manager は、標準のフレームワークまたはコントロールをレプリケートしません。これは、これらのリソースが各アカウントとリージョンでデフォルトで既に利用可能であるためです。

リソースは、監査で評価される物理的な資産または情報アセットです。の例 AWS リソースには、Amazon EC2インスタンス、Amazon RDSインスタンス、Amazon S3 バケット、Amazon VPC サブネットが含まれます。

リソース評価は、個々のリソースを評価するプロセスです。この評価は、コントロールの要件に基づきます。評価がアクティブである間、は、評価の範囲内の個々のリソースごとにリソース評価を実行します。リソース評価では、次の一連のタスクが実行されます。

資源コンプライアンスとは、コンプライアンスチェックの証拠を収集する際に評価された資源の評価状況を指します。

Audit Manager は、 を使用するコントロールのコンプライアンスチェックの証拠を収集します。 AWS Config データソースタイプとして および Security Hub を使用します。このエビデンス収集では、複数のリソースが評価される場合があります。その結果、1 つのコンプライアンスチェックエビデンスに 1 つ以上のリソースが含まれる可能性があります。

エビデンスファインダーのリソースコンプライアンスフィルターを使用して、リソースレベルでのコンプライアンスステータスを調べることができます。検索が完了すると、検索クエリに一致したリソースをプレビューできます。

エビデンスファインダーでは、リソースのコンプライアンス値として 3 つの値が指定できます。

Audit Manager が管理する AWS のサービス は評価の対象範囲です。古い評価がある場合は、過去にスコープ内のサービスを手動で指定した可能性があります。2024 年 6 月 4 日以降は、範囲内のサービスを手動で指定または編集することはできません。

対象範囲内のサービスは です。 AWS のサービス 評価が証拠を収集する 。サービスが評価の範囲に含まれると、Audit Manager はそのサービスのリソースを評価します。リソースの例は下記のとおりです。

例えば、Amazon S3 が範囲内のサービスである場合、Audit Manager は S3 バケットに関する証拠を収集できます。収集される正確な証拠は、コントロールの によって決まりますdata source。例えば、データソースタイプが の場合 AWS Config、データソースマッピングは です。 AWS Config ルール ( などs3-bucket-public-write-prohibited）、Audit Manager はそのルール評価の結果を証拠として収集します。

「control」を参照してください。