の運用上のベストプラクティス BNM RMiT

コンフォーマンスパックは、マネージドルールまたはカスタム AWS Config ルールと AWS Config 修復アクションを使用して、セキュリティ、運用、またはコスト最適化のガバナンスチェックを作成できるように設計された汎用コンプライアンスフレームワークを提供します。サンプルテンプレートとしてのコンフォーマンスパックは、特定のガバナンスまたはコンプライアンス基準を準拠するようには設計されていません。お客様は、本サービスの利用が該当する法的要件および規制要件を満たしているかどうかについて、お客様自身で評価する責任を負います。  

以下に、マレーシア国立銀行 (BNM) の「テクノロジーにおけるリスク管理 (RMiT）」と、 AWS マネージド Config ルール間のマッピングの例を示します。各 Config ルールは特定の AWS リソースに適用され、1 つ以上のBNMRMiTコントロールに関連付けられます。BNM RMiT コントロールは、複数の Config ルールに関連付けることができます。これらのマッピングに関する詳細およびガイダンスについては、以下の表を参照してください。

コントロール ID	コントロールの概要	AWS Config ルール	ガイダンス
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	alb-http-to-https-redirection-check	転送中のデータを保護するために、Application Load Balancer が暗号化されていないHTTPリクエストを自動的ににリダイレクトすることを確認しますHTTPS。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	api-gw-cache-enabled暗号化済み	保管中のデータを保護するため、APIゲートウェイステージのキャッシュで暗号化が有効になっていることを確認します。API メソッドでは機密データをキャプチャできるため、保管時の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	api-gw-ssl-enabled	Amazon API Gateway RESTAPIステージにSSL証明書が設定され、バックエンドシステムがリクエストが API Gateway から発信されたことを認証できるようにします。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	backup-recovery-point-encrypted	AWS Backup リカバリポイントで暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	cloudtrail-security-trail-enabled	このルールは、複数の設定が有効になっていることをチェックすることで AWS CloudTrail、 AWS 推奨されるセキュリティのベストプラクティスを確実に使用するのに役立ちます。これには、ログ暗号化の使用、ログの検証、複数のリージョン AWS CloudTrail でのの有効化が含まれます。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	cloudwatch-log-group-encrypted	保管中の機密データを保護するために、Amazon CloudWatch Log Groups で暗号化が有効になっていることを確認します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	cmk-backing-key-rotation対応	キーのローテーションを有効にして、暗号化期間の最後に到達した後にキーがローテーションされるようにします。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	dynamodb-table-encrypted-kms	Amazon DynamoDB テーブルで、暗号化が有効になっていることを確認します。これらのテーブルには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。デフォルトでは、DynamoDB テーブルは AWS が所有するカスタマーマスターキー () で暗号化されますCMK。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	EC2-ebs-encryption-by-default	保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	efs-encrypted-check	機密データが存在する可能性があるため、保管中のデータを保護するために、Amazon Elastic File System () で暗号化が有効になっていることを確認しますEFS。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	elbv2-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。 AWS Certificate Manager を使用して、 AWS サービスおよび内部リソースでパブリックおよびプライベート SSL/TLS 証明書を管理、プロビジョニング、デプロイします。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	encrypted-volumes	機密データが存在する可能性があるため、保管中のデータを保護するために、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	kms-cmk-not-scheduled削除対象	保管中のデータを保護するため、必要なカスタマーマスターキー (CMKs) が AWS Key Management Service () で削除されないようにしますAWS KMS。キーの削除が必要になる場合があるため、このルールでは、キーが意図せずスケジュールされた場合に備えて、削除予定のすべてのキーをチェックすることができます。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	opensearch-encrypted-at-rest	機密データが存在する可能性があるため、保管中のデータを保護するために、Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	opensearch-https-required	機密データが存在する可能性があるため、転送中のデータを保護するために、Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	opensearch-node-to-node暗号化チェック	Amazon OpenSearch Service node-to-nodeの暗号化が有効になっていることを確認します。 Node-to-node 暗号化は、Amazon Virtual Private Cloud (Amazon ) TLS 内のすべての通信に対して 1.2 暗号化を有効にしますVPC。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	rds-snapshot-encrypted	Amazon Relational Database Service (Amazon RDS) スナップショットで暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	rds-storage-encrypted	保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDSインスタンスには機密データが保管中に存在する可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、 clusterDbEncrypted (Config デフォルト: TRUE）、および loggingEnabled (Config デフォルト: ) に値が設定されている必要がありますTRUE。実際の値には、組織のポリシーを反映する必要があります。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	redshift-cluster-kms-enabled	保管中のデータを保護するため、Amazon Redshift クラスターで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。Redshift クラスターには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	redshift-require-tls-ssl	Amazon Redshift クラスターがSQLクライアントに接続するために TLS/SSL 暗号化を必要としていることを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	s3 bucket-server-side-encryption対応	保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	s3-bucket-ssl-requests-only	転送中のデータを保護するために、Amazon Simple Storage Service (Amazon S3) バケットで Secure Socket Layer () を使用するリクエストが必要であることを確認してくださいSSL。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	s3-default-encryption-kms	Amazon Simple Storage Service (Amazon S3) バケットで、暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、保管中のデータの暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	sagemaker-endpoint-configuration-kms-key-configured	保管中のデータを保護するため、 SageMaker エンドポイントで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。機密データは SageMaker エンドポイントに保存されている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	sagemaker-notebook-instance-kms-key-configured	保管中のデータを保護するため、 SageMaker ノートブックで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。機密データは SageMaker ノートブックに保存されている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	secretsmanager-using-cmk	保管中のデータを保護するため、Secrets Manager シー AWS クレットで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。保管中の Secrets Manager のシークレットに機密データが存在する可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.18	金融機関は、情報の機密性、完全性、認証、承認、および否認防止を保護するため、使用されるテクノロジーに関連する暗号化制御について、適切な注意を払って評価する必要があります。金融機関が独自の暗号化キーを生成していない場合、その金融機関は、暗号化キーを管理するための堅牢なコントロールとプロセスが実施されていることを確認するための適切な措置を講じるものとします。第三者の評価に依存する必要がある場合は、その依存が金融機関のリスク選好と許容範囲に合致するかどうかを検討するものとします。また、暗号化制御をサポートするために必要なシステムリソースや、暗号化されたデータのネットワークトラフィックの可視性が低下するリスクについても、十分に考慮する必要があります。	sns-encrypted-kms	保管中のデータを保護するために、Amazon Simple Notification Service (Amazon SNS) トピックで AWS Key Management Service () を使用した暗号化が必要であることを確認してくださいAWS KMS。公開されたメッセージには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.20	金融機関は、リスクのレベルに応じて、認証機関によって発行された証明書に暗号化のパブリックキーを保存するものとします。これらの顧客に関連する証明書は、認定を受けた認証機関によって発行されるものとします。金融機関は、ユーザー証明書に対応する暗号化のプライベートキーの使用が法的拘束力を持ち、議論の余地がないことを保証するために、それらの証明書を使用する認証および署名プロトコルの実装が、強力な保護の対象となっていることを確認する必要があります。このような証明書の最初の発行とその後の更新は、業界のベストプラクティスおよび適用される法律上/規制上の仕様に合致するものでなければなりません。	acm-certificate-expiration-check	X509 証明書がによって発行されるようにすることで、ネットワークの整合性が保護されていることを確認します AWS ACM。これらの証明書は有効で、期限切れではない必要があります。このルールには、 daysToExpiration （AWS Foundational Security Best Practices 値: 90) の値が必要です。実際の値には、組織のポリシーを反映する必要があります。
10.20	金融機関は、リスクのレベルに応じて、認証機関によって発行された証明書に暗号化のパブリックキーを保存するものとします。これらの顧客に関連する証明書は、認定を受けた認証機関によって発行されるものとします。金融機関は、ユーザー証明書に対応する暗号化のプライベートキーの使用が法的拘束力を持ち、議論の余地がないことを保証するために、それらの証明書を使用する認証および署名プロトコルの実装が、強力な保護の対象となっていることを確認する必要があります。このような証明書の最初の発行とその後の更新は、業界のベストプラクティスおよび適用される法律上/規制上の仕様に合致するものでなければなりません。	elbv2-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。 AWS Certificate Manager を使用して、 AWS サービスおよび内部リソースでパブリックおよびプライベート SSL/TLS 証明書を管理、プロビジョニング、デプロイします。
10.27	金融機関は、主要なプロセスとサービスにおける容量の使用率とパフォーマンスを追跡するための、リアルタイムのモニタリングメカニズムを確立する必要があります。これらのモニタリングメカニズムは、管理者にタイムリーかつ実用的なアラートを提供できるものでなければなりません。	autoscaling-group-elb-healthcheck必須	Amazon Elastic Compute Cloud (Amazon ELB) Auto Scaling グループの Elastic Load Balancer (EC2) ヘルスチェックは、適切な容量と可用性のメンテナンスをサポートします。ロードバランサーは、定期的に ping を送信したり、接続を試みたり、リクエストを送信して、Auto Scaling グループ内の Amazon EC2インスタンスの状態をテストしたりします。インスタンスがレポートされない場合、トラフィックは新しい Amazon EC2インスタンスに送信されます。
10.27	金融機関は、主要なプロセスとサービスにおける容量の使用率とパフォーマンスを追跡するための、リアルタイムのモニタリングメカニズムを確立する必要があります。これらのモニタリングメカニズムは、管理者にタイムリーかつ実用的なアラートを提供できるものでなければなりません。	beanstalk-enhanced-health-reporting対応	AWS Elastic Beanstalk の拡張ヘルスレポートにより、基盤となるインフラストラクチャのヘルスの変化により迅速に対応できます。これらの変更は、アプリケーションの可用性を低下させる可能性があります。Elastic Beanstalk 拡張ヘルスレポートは、特定された問題の重要度を測定し、調査すべき可能性のある原因を特定するためのステータス記述子を提供します。
10.27	金融機関は、主要なプロセスとサービスにおける容量の使用率とパフォーマンスを追跡するための、リアルタイムのモニタリングメカニズムを確立する必要があります。これらのモニタリングメカニズムは、管理者にタイムリーかつ実用的なアラートを提供できるものでなければなりません。	cloudwatch-alarm-action-check	Amazon CloudWatch アラームは、メトリクスが指定された評価期間数のしきい値を超えたときに警告します。アラームは、複数の期間にわたる閾値に対するメトリックまたはメートルの値に基づいて、1つまたは複数のアクションを実行します。このルールには、 alarmActionRequired (Config デフォルト: True) insufficientDataAction、必須 (Config デフォルト: True)、 okActionRequired (Config デフォルト: False) の値が必要です。実際の値には、環境に合わせたアラームのアクションを反映する必要があります。
10.27	金融機関は、主要なプロセスとサービスにおける容量の使用率とパフォーマンスを追跡するための、リアルタイムのモニタリングメカニズムを確立する必要があります。これらのモニタリングメカニズムは、管理者にタイムリーかつ実用的なアラートを提供できるものでなければなりません。	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch を使用して、ログイベントアクティビティを一元的に収集および管理します。 AWS CloudTrail データを含めると、内のAPI通話アクティビティの詳細が提供されます AWS アカウント。
10.27	金融機関は、主要なプロセスとサービスにおける容量の使用率とパフォーマンスを追跡するための、リアルタイムのモニタリングメカニズムを確立する必要があります。これらのモニタリングメカニズムは、管理者にタイムリーかつ実用的なアラートを提供できるものでなければなりません。	dynamodb-throughput-limit-check	このルールを有効にすると、Amazon DynamoDB テーブルでのプロビジョンドスループット性能がチェックされるようになります。これは、各テーブルがサポートできる読み取りおよび書き込みアクティビティの量です。DynamoDB はこの情報を使用して、スループット要件を満たすのに十分なシステムリソースを予約します。このルールでは、スループットがお客様のアカウントの最大限度に近づいたときにアラートが生成されます。このルールでは、オプションでaccountRCUThresholdパーセンテージ (Config デフォルト: 80) およびaccountWCUThresholdパーセンテージ (Config デフォルト: 80) パラメータを設定できます。実際の値には、組織のポリシーを反映する必要があります。
10.27	金融機関は、主要なプロセスとサービスにおける容量の使用率とパフォーマンスを追跡するための、リアルタイムのモニタリングメカニズムを確立する必要があります。これらのモニタリングメカニズムは、管理者にタイムリーかつ実用的なアラートを提供できるものでなければなりません。	EC2-instance-detailed-monitoring-enabled	このルールを有効にすると、Amazon EC2コンソールでの Amazon Elastic Compute Cloud (Amazon EC2) インスタンスのモニタリングが改善され、インスタンスの 1 分間のモニタリンググラフが表示されます。
10.27	金融機関は、主要なプロセスとサービスにおける容量の使用率とパフォーマンスを追跡するための、リアルタイムのモニタリングメカニズムを確立する必要があります。これらのモニタリングメカニズムは、管理者にタイムリーかつ実用的なアラートを提供できるものでなければなりません。	lambda-concurrency-check	このルールにより、Lambda 関数の同時実行数の上限と下限が確立されているかどうかを確認します。これは、関数が任意の時点で処理しているリクエスト数をベースライン化する際に役立ちます。
10.27	金融機関は、主要なプロセスとサービスにおける容量の使用率とパフォーマンスを追跡するための、リアルタイムのモニタリングメカニズムを確立する必要があります。これらのモニタリングメカニズムは、管理者にタイムリーかつ実用的なアラートを提供できるものでなければなりません。	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service ドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。 OpenSearch サービスエラーログは、セキュリティとアクセスの監査に役立ち、可用性の問題の診断に役立ちます。
10.27	金融機関は、主要なプロセスとサービスにおける容量の使用率とパフォーマンスを追跡するための、リアルタイムのモニタリングメカニズムを確立する必要があります。これらのモニタリングメカニズムは、管理者にタイムリーかつ実用的なアラートを提供できるものでなければなりません。	rds-enhanced-monitoring-enabled	Amazon Relational Database Service (Amazon RDS) を有効にして、Amazon のRDS可用性をモニタリングできるようにします。これにより、Amazon RDS データベースインスタンスの状態を詳細に把握できます。Amazon RDSストレージが複数の基盤となる物理デバイスを使用している場合、拡張モニタリングは各デバイスのデータを収集します。また、Amazon RDS データベースインスタンスがマルチ AZ 配置で実行されている場合、セカンダリホスト上の各デバイスのデータとセカンダリホストメトリクスが収集されます。
10.34	金融機関は、潜在的なネットワーク障害やサイバー脅威から重要なシステムを保護するためにSPOF、重要なシステムのネットワークサービスの信頼性を確保し、いかなるシステムも持たないようにする必要があります。	elb-deletion-protection-enabled	このルールにより、Elastic Load Balancing で削除保護が有効になっているかどうかを確認します。この機能を使用すると、ロードバランサーが誤って削除されたり悪意を持って削除されることで、アプリケーションの可用性が失われることを防ぐことができます。
10.34	金融機関は、潜在的なネットワーク障害やサイバー脅威から重要なシステムを保護するためにSPOF、重要なシステムのネットワークサービスの信頼性を確保し、いかなるシステムも持たないようにする必要があります。	vpc-vpn-2-tunnels-up	冗長 Site-to-SiteVPNトンネルを実装して、耐障害性要件を満たすことができます。2 つのトンネルを使用して、接続の 1 つが使用できなくなった場合VPNの接続を確保します Site-to-Site。接続が失われるのを防ぐために、カスタマーゲートウェイが使用できなくなった場合は、2 番目の Site-to-Siteカスタマーゲートウェイを使用して Amazon Virtual Private Cloud (Amazon VPC) と仮想プライベートゲートウェイへの 2 番目のVPN接続を設定できます。
10.35	金融機関は、ネットワーク帯域幅のリアルタイムのモニタリングプロセスと、対応するネットワークサービスの回復性のメトリクスを確立し、帯域幅の過剰な使用率、帯域幅の輻輳、ネットワーク障害によるシステムの中断にフラグを付けられるようにする必要があります。これには、傾向や異常を検出するためのトラフィック分析が含まれます。	api-gw-xray-enabled	AWS X-Ray は、アプリケーションが処理するリクエストに関するデータを収集し、そのデータを表示、フィルタリング、インサイトを取得して、問題や最適化の機会を特定するために使用できるツールを提供します。X-Ray がを有効にして、リクエストとレスポンスだけでなく、アプリケーションがダウンストリーム AWS リソース、マイクロサービス、データベース、HTTPウェブに対して行う呼び出しに関する詳細情報も表示できるようにしますAPIs。
10.35	金融機関は、ネットワーク帯域幅のリアルタイムのモニタリングプロセスと、対応するネットワークサービスの回復性のメトリクスを確立し、帯域幅の過剰な使用率、帯域幅の輻輳、ネットワーク障害によるシステムの中断にフラグを付けられるようにする必要があります。これには、傾向や異常を検出するためのトラフィック分析が含まれます。	cloudwatch-alarm-action-check	Amazon CloudWatch アラームは、メトリクスが指定された評価期間数のしきい値を超えたときに警告します。アラームは、複数の期間にわたる閾値に対するメトリックまたはメートルの値に基づいて、1つまたは複数のアクションを実行します。このルールには、 alarmActionRequired (Config デフォルト: True) insufficientDataAction、必須 (Config デフォルト: True)、 okActionRequired (Config デフォルト: False) の値が必要です。実際の値には、環境に合わせたアラームのアクションを反映する必要があります。
10.35	金融機関は、ネットワーク帯域幅のリアルタイムのモニタリングプロセスと、対応するネットワークサービスの回復性のメトリクスを確立し、帯域幅の過剰な使用率、帯域幅の輻輳、ネットワーク障害によるシステムの中断にフラグを付けられるようにする必要があります。これには、傾向や異常を検出するためのトラフィック分析が含まれます。	elb-logging-enabled	Elastic Load Balancing でのアクティビティは、環境内の通信の中心となるポイントです。ELB ログ記録が有効になっていることを確認します。収集されたデータは、に送信されたリクエストに関する詳細情報を提供しますELB。各ログには、リクエストを受け取った時刻、クライアントの IP アドレス、レイテンシー、リクエストのパス、サーバーレスポンスなどの情報が含まれます。
10.35	金融機関は、ネットワーク帯域幅のリアルタイムのモニタリングプロセスと、対応するネットワークサービスの回復性のメトリクスを確立し、帯域幅の過剰な使用率、帯域幅の輻輳、ネットワーク障害によるシステムの中断にフラグを付けられるようにする必要があります。これには、傾向や異常を検出するためのトラフィック分析が含まれます。	vpc-flow-logs-enabled	VPC フローログは、Amazon Virtual Private Cloud (Amazon ) のネットワークインターフェイスとの間で送受信される IP トラフィックに関する詳細レコードを提供しますVPC。フローログレコードには、送信元、送信先、プロトコルなど、IP フローのさまざまなコンポーネントの値がデフォルトで含まれています。
10.36	金融機関は、重要なシステムをサポートするネットワークサービスが、データの機密性、整合性、可用性を確保するように設計および実装されていることを確認する必要があります。	alb-http-to-https-redirection-check	転送中のデータを保護するために、Application Load Balancer が暗号化されていないHTTPリクエストを自動的ににリダイレクトすることを確認しますHTTPS。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.36	金融機関は、重要なシステムをサポートするネットワークサービスが、データの機密性、整合性、可用性を確保するように設計および実装されていることを確認する必要があります。	api-gw-ssl-enabled	Amazon API Gateway RESTAPIステージにSSL証明書が設定され、バックエンドシステムがリクエストが API Gateway から発信されたことを認証できるようにします。
10.36	金融機関は、重要なシステムをサポートするネットワークサービスが、データの機密性、整合性、可用性を確保するように設計および実装されていることを確認する必要があります。	elbv2-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。 AWS Certificate Manager を使用して、 AWS サービスおよび内部リソースでパブリックおよびプライベート SSL/TLS 証明書を管理、プロビジョニング、デプロイします。
10.36	金融機関は、重要なシステムをサポートするネットワークサービスが、データの機密性、整合性、可用性を確保するように設計および実装されていることを確認する必要があります。	elb-deletion-protection-enabled	このルールにより、Elastic Load Balancing で削除保護が有効になっているかどうかを確認します。この機能を使用すると、ロードバランサーが誤って削除されたり悪意を持って削除されることで、アプリケーションの可用性が失われることを防ぐことができます。
10.36	金融機関は、重要なシステムをサポートするネットワークサービスが、データの機密性、整合性、可用性を確保するように設計および実装されていることを確認する必要があります。	nlb-cross-zone-load- バランシングが有効	Network Load Balancer (NLBs) のクロスゾーン負荷分散を有効にして、適切な容量と可用性を維持します。クロスゾーン負荷分散により、有効な各アベイラビリティーゾーンで同じインスタンス数を維持する必要性が軽減されます。また、1 つ以上のインスタンスの消失を処理するアプリケーションの能力が向上します。
10.38	金融機関は、調査と法律上の目的で、関連する十分なネットワークデバイスログを、少なくとも 3 年間、保持する必要があります。	cw-loggroup-retention-period- チェック	トラブルシューティングとフォレンジック調査を実行するため、ロググループでイベントログデータの最小期間が保持されていることを確認します。利用可能な過去のイベントログデータを入手できない場合、悪意のあるイベントの再構築と特定が困難になります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	access-keys-rotated	認証情報は、組織ポリシーで指定されたIAMとおりにアクセスキーがローテーションされるようにすることで、承認されたデバイス、ユーザー、プロセスについて監査されます。アクセスキーを定期的に変更することが、セキュリティのベストプラクティスです。これにより、アクセスキーがアクティブになっている期間が短縮され、キーが侵害された場合のビジネスへの影響を軽減できます。このルールでは、アクセスキーの更新の値が必要です (Config デフォルト: 90)。実際の値には、組織のポリシーを反映する必要があります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	account-part-of-organizations	AWS Organizations AWS アカウント内のを一元管理することで、アカウントが確実に準拠するようにできます。アカウントの管理が一元化されていないと、アカウントの設定に一貫性がなくなり、リソースや機密データが流出する可能性があります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	alb-http-to-https-redirection-check	転送中のデータを保護するために、Application Load Balancer が暗号化されていないHTTPリクエストを自動的ににリダイレクトすることを確認しますHTTPS。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	api-gw-cache-enabled暗号化済み	保管中のデータを保護するため、APIゲートウェイステージのキャッシュで暗号化が有効になっていることを確認します。API メソッドでは機密データをキャプチャできるため、保管時の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	api-gw-ssl-enabled	Amazon API Gateway RESTAPIステージにSSL証明書が設定され、バックエンドシステムがリクエストが API Gateway から発信されたことを認証できるようにします。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	autoscaling-launch-config-public-ip-disabled	ネットワークインターフェイスをパブリック IP アドレスで設定すると、それらのネットワークインターフェイスに関連付けられたリソースにインターネットからアクセスできます。 EC2 リソースは、アプリケーションまたはサーバーへの意図しないアクセスを許可する可能性があるため、パブリックにアクセスすることはできません。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	backup-recovery-point-encrypted	AWS Backup リカバリポイントで暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	cloudtrail-security-trail-enabled	このルールは、複数の設定が有効になっていることをチェックすることで AWS CloudTrail、 AWS 推奨されるセキュリティのベストプラクティスを確実に使用するのに役立ちます。これには、ログ暗号化の使用、ログの検証、複数のリージョン AWS CloudTrail でのの有効化が含まれます。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	cloudwatch-log-group-encrypted	保管中の機密データを保護するために、Amazon CloudWatch Log Groups で暗号化が有効になっていることを確認します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	cmk-backing-key-rotation対応	キーのローテーションを有効にして、暗号化期間の最後に到達した後にキーがローテーションされるようにします。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	dms-replication-not-public	DMS レプリケーションインスタンスにパブリックにアクセスできないようにすることで、 AWS クラウドへのアクセスを管理します。レDMSプリケーションインスタンスには機密情報が含まれている場合があり、そのようなアカウントにはアクセス制御が必要です。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	dynamodb-table-encrypted-kms	Amazon DynamoDB テーブルで、暗号化が有効になっていることを確認します。これらのテーブルには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。デフォルトでは、DynamoDB テーブルは AWS が所有するカスタマーマスターキー () で暗号化されますCMK。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	ebs-snapshot-public-restorable- チェック	EBS スナップショットがパブリックに復元できないようにすることで、 AWS クラウドへのアクセスを管理します。 EBSボリュームスナップショットには機密情報が含まれている場合があり、そのようなアカウントにはアクセス制御が必要です。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	EC2-ebs-encryption-by-default	保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	EC2-instance-no-public-ip	Amazon Elastic Compute AWS Cloud (Amazon EC2) インスタンスにパブリックにアクセスできないようにすることで、クラウドへのアクセスを管理します。Amazon EC2インスタンスには機密情報が含まれている可能性があるため、そのようなアカウントにはアクセスコントロールが必要です。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	efs-encrypted-check	機密データが存在する可能性があるため、保管中のデータを保護するために、Amazon Elastic File System () で暗号化が有効になっていることを確認しますEFS。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	elbv2-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。 AWS Certificate Manager を使用して、 AWS サービスおよび内部リソースでパブリックおよびプライベート SSL/TLS 証明書を管理、プロビジョニング、デプロイします。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	emr-kerberos-enabled	アクセス許可と認可は、Amazon EMRクラスターの Kerberos を有効にすることで、最小特権と職務の分離の原則で管理し、組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。領域内では、Kerberos サーバーはキー分散センター () と呼ばれますKDC。これは、プリンシパルが認証を行うための手段を提供するものです。は、KDC認証のチケットを発行して認証を行います。は、その領域内のプリンシパルのデータベース、パスワード、および各プリンシパルに関するその他の管理情報KDCを保持します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	emr-master-no-public-ip	Amazon EMRクラスターマスターノードにパブリックにアクセスできないようにすることで、 AWS クラウドへのアクセスを管理します。Amazon EMRクラスターのマスターノードには機密情報が含まれている可能性があるため、そのようなアカウントにはアクセスコントロールが必要です。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	encrypted-volumes	機密データが存在する可能性があるため、保管中のデータを保護するために、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) は、最小特権と職務分離の原則をアクセス許可と認可に組み込み、すべての AWS Key Management Service キーでブロックされたアクションをポリシーに含めることを制限できます。タスク完了のために必要以上の特権を持つことは、最小特権と職務分離の原則に反する可能性があります。このルールでは、 blockedActionsPatterns パラメータを設定できます。（AWS 基本的なセキュリティのベストプラクティス値： kms:Decrypt、 kms:ReEncryptFrom）。実際の値には、組織のポリシーを反映する必要があります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	iam-no-inline-policy- チェック	AWS Identity and Access Management (IAM) ユーザー、IAMロール、またはIAMグループに、システムおよびアセットへのアクセスを制御するインラインポリシーがないことを確認します。 AWS は、インラインポリシーではなく、管理ポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	iam-password-policy	ID と認証情報は、組織のIAMパスワードポリシーに基づいて発行、管理、検証されます。NIST SP 800-63 およびパスワード強度に関する AWS Foundational Security Best Practices 標準に記載されている要件を満たしているか、上回っています。このルールでは、オプションでIAMパスワードポリシーに RequireUppercaseCharacters （AWS Foundational Security Best Practices 値: true)、 RequireLowercaseCharacters （AWS Foundational Security Best Practices 値: true) RequireSymbols 、（AWS Foundational Security Best Practices 値: true) RequireNumbers 、（AWS Foundational Security Best Practices 値: true) MinimumPasswordLength 、（AWS Foundational Security Best Practices 値: 14) PasswordReusePrevention 、（AWS Foundational Security Best Practices 値: 24)、および MaxPasswordAge （AWS Foundational Security Best Practices 値: 90) を設定できます。実際の値には、組織のポリシーを反映する必要があります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) は、最小特権と職務分離の原則をアクセス許可と認可に組み込み、ポリシーに「Resource」：「」ではなく「Action」：「」の「Effect」：「Allow」を含めることを制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	iam-root-access-key- チェック	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーがないことを確認することで、システムとアセットへのアクセスを制御できます。root アクセスキーが削除されていることを確認します。代わりに、最小機能の原則を組み込む AWS アカウントのに役立つロールベースのを作成して使用します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	iam-user-group-membership- チェック	AWS Identity and Access Management (IAM) は、IAMユーザーが少なくとも 1 つのグループのメンバーであることを確認することで、アクセス許可と認可を制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに許可することは、最小特権と職務の分離の原則に反する可能性があります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	iam-user-mfa-enabled	AWS クラウド内のリソースへのアクセスを制限するには、このルールを有効にします。このルールにより、すべてのIAMユーザーに対して多要素認証 (MFA) が有効になります。は、ユーザー名とパスワードの上に追加の保護レイヤーMFAを追加します。IAM ユーザーにを要求することで、侵害されたアカウントのインシデントを減らしMFAます。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	iam-user-no-policies- チェック	このルールにより、 AWS Identity and Access Management (IAM) ポリシーは、システムおよびアセットへのアクセスを制御するために、グループまたはロールにのみアタッチされます。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	iam-user-unused-credentials- チェック	AWS Identity and Access Management (IAM) は、指定された期間に使用されていないIAMパスワードとアクセスキーをチェックすることで、アクセス許可と認可に役立ちます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、値を maxCredentialUsageAge (Config デフォルト: 90) に設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	internet-gateway-authorized-vpcのみ	インターネットゲートウェイが承認された Amazon Virtual Private AWS Cloud (Amazon ) にのみアタッチされるようにすることで、クラウド内のリソースへのアクセスを管理しますVPC。 Amazon Virtual Private Cloud インターネットゲートウェイは、Amazon VPCリソースへの不正アクセスにつながるVPC可能性のある、Amazon との間の双方向のインターネットアクセスを可能にします。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	kms-cmk-not-scheduled削除対象	保管中のデータを保護するため、必要なカスタマーマスターキー (CMKs) が AWS Key Management Service () で削除されないようにしますAWS KMS。キーの削除が必要になる場合があるため、このルールでは、キーが意図せずスケジュールされた場合に備えて、削除予定のすべてのキーをチェックすることができます。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	lambda-function-public-access禁止	AWS Lambda 関数にパブリックにアクセスできないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。パブリックアクセスにより、リソースの可用性の低下を招く可能性があります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	lambda-inside-vpc	Amazon Virtual Private Cloud (Amazon VPC) 内に AWS Lambda 関数をデプロイして、関数と Amazon 内の他のサービス間の安全な通信を実現しますVPC。この設定では、インターネットゲートウェイ、NATデバイス、またはVPN接続は必要ありません。すべてのトラフィックは AWS クラウド内に安全に保持されます。論理的な分離により、Amazon 内に存在するドメインVPCは、パブリックエンドポイントを使用するドメインと比較して、セキュリティを強化します。アクセスを適切に管理するには、 AWS Lambda 関数をに割り当てる必要がありますVPC。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	no-unrestricted-route-to-igw	Amazon EC2ルートテーブルにインターネットゲートウェイへの無制限のルートがないことを確認します。Amazon 内のワークロードのインターネットへのアクセスを削除または制限VPCsすると、環境内の意図しないアクセスを減らすことができます。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	opensearch-encrypted-at-rest	機密データが存在する可能性があるため、保管中のデータを保護するために、Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	opensearch-https-required	機密データが存在する可能性があるため、転送中のデータを保護するために、Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	opensearch-in-vpc-only	Amazon OpenSearch サービスドメインが Amazon Virtual Private AWS Cloud (Amazon ) 内にあることを確認して、クラウドへのアクセスを管理しますVPC。 Amazon Virtual Private Cloud Amazon 内の Amazon OpenSearch Service ドメインVPCを使用すると、インターネットゲートウェイ、NATデバイス、またはVPN接続を必要とVPCせずに、Amazon OpenSearch Service と Amazon 内の他のサービスとの間の安全な通信が可能になります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	opensearch-node-to-node暗号化チェック	Amazon OpenSearch Service node-to-nodeの暗号化が有効になっていることを確認します。 Node-to-node 暗号化は、Amazon Virtual Private Cloud (Amazon ) TLS 内のすべての通信に対して 1.2 暗号化を有効にしますVPC。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	rds-instance-public-access- チェック	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されていないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報が含まれている可能性があるため、そのようなアカウントには原則とアクセスコントロールが必要です。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	rds-snapshots-public-prohibited	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されていないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報や原則が含まれている場合があり、そのようなアカウントにはアクセスコントロールが必要です。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	rds-snapshot-encrypted	Amazon Relational Database Service (Amazon RDS) スナップショットで暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	rds-storage-encrypted	保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDSインスタンスには機密データが保管中に存在する可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、 clusterDbEncrypted (Config デフォルト : TRUE）、および loggingEnabled (Config デフォルト : ) の値を設定する必要がありますTRUE。実際の値には、組織のポリシーを反映する必要があります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	redshift-cluster-kms-enabled	保管中のデータを保護するため、Amazon Redshift クラスターで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。Redshift クラスターには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	redshift-cluster-public-access- チェック	Amazon Redshift クラスターがパブリックでないことを確認して、 AWS クラウド内のリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	redshift-enhanced-vpc-routing対応	強化されたVPCルーティングにより、クラスターCOPYとデータリポジトリ間のすべてのおよび UNLOADトラフィックが Amazon を経由するように強制されますVPC。その後、セキュリティグループやネットワークアクセスコントロールリストなどのVPC機能を使用して、ネットワークトラフィックを保護できます。VPC フローログを使用してネットワークトラフィックをモニタリングすることもできます。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	redshift-require-tls-ssl	Amazon Redshift クラスターがSQLクライアントに接続するために TLS/SSL 暗号化を必要としていることを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	root-account-hardware-mfa対応	ルートユーザーに対してハードウェアMFAが有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。は、ユーザー名とパスワードの保護レイヤーMFAを追加します。ルートユーザーに MFAを要求することで、侵害されるインシデントを減らすことができます AWS アカウント。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	root-account-mfa-enabled	ルートユーザーに対して MFAが有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。は、ユーザー名とパスワードの保護レイヤーMFAを追加します。ルートユーザーに MFAを要求することで、侵害されるインシデントを減らすことができます AWS アカウント。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service (Amazon S3) バケットにパブリックにアクセスできないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。このルールは、パブリックアクセスを防止することで、権限のないリモートユーザーから機密データを保護するのに役立ちます。このルールでは、オプションで ignorePublicAcls (Config デフォルト: True) blockPublicPolicy 、 (Config デフォルト: True)、 blockPublicAcls (Config デフォルト: True)、および restrictPublicBuckets パラメータ (Config デフォルト: True) を設定できます。実際の値には、組織のポリシーを反映する必要があります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	s3-bucket-public-read-prohibited	Amazon Simple Storage Service (Amazon S3) バケットへのアクセスを許可されたユーザー、プロセス、およびデバイスのみに許可することで、 AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	s3-bucket-public-write-prohibited	Amazon Simple Storage Service (Amazon S3) バケットへのアクセスを許可されたユーザー、プロセス、およびデバイスのみに許可することで、 AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	s3 bucket-server-side-encryption対応	保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	s3-bucket-ssl-requests-only	転送中のデータを保護するために、Amazon Simple Storage Service (Amazon S3) バケットで Secure Socket Layer () を使用するリクエストが必要であることを確認してくださいSSL。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	s3-default-encryption-kms	Amazon Simple Storage Service (Amazon S3) バケットで、暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、保管中のデータの暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	sagemaker-endpoint-configuration-kms-key-configured	保管中のデータを保護するため、 SageMaker エンドポイントで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。機密データは SageMaker エンドポイントに保存されている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	sagemaker-notebook-instance-kms-key-configured	保管中のデータを保護するため、 SageMaker ノートブックで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。機密データは SageMaker ノートブックに保存されている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	sagemaker-notebook-no-direct-internet-access	Amazon SageMaker ノートブックが直接インターネットアクセスを許可しないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。インターネットからの直接アクセスを防止することで、権限のないユーザーが機密データにアクセスするのを防ぐことができます。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	sns-encrypted-kms	保管中のデータを保護するために、Amazon Simple Notification Service (Amazon SNS) トピックで AWS Key Management Service () を使用した暗号化が必要であることを確認してくださいAWS KMS。公開されたメッセージには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	ssm-document-not-public	AWS Systems Manager (SSM) ドキュメントが公開されていないことを確認します。これにより、SSMドキュメントへの意図しないアクセスが許可される可能性があります。パブリックSSMドキュメントは、アカウント、リソース、内部プロセスに関する情報を公開できます。
10.51	金融機関がクラウドサービスを利用する際は、不正な開示やアクセスから保護するために、顧客や取引先の情報や所有権のあるデータに対して適切な保護措置を講じる必要があります。これには、クラウド上でホストされている顧客や取引先の情報、所有権のあるデータやサービスに関連するすべてのデータの所有権、コントロール、管理の保持を含むものとし、関連する暗号化キーの管理も含まれるものとします。	subnet-auto-assign-public-ip-disabled	Amazon Virtual Private AWS Cloud (VPC) サブネットにパブリック IP アドレスが自動的に割り当てられないようにすることで、クラウドへのアクセスを管理します。 Amazon Virtual Private Cloud この属性が有効になっているサブネットで起動される Amazon Elastic Compute Cloud (EC2) インスタンスには、プライマリネットワークインターフェイスにパブリック IP アドレスが割り当てられます。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	access-keys-rotated	認証情報は、組織ポリシーで指定されたIAMとおりにアクセスキーがローテーションされるようにすることで、承認されたデバイス、ユーザー、プロセスについて監査されます。アクセスキーを定期的に変更することが、セキュリティのベストプラクティスです。これにより、アクセスキーがアクティブになっている期間が短縮され、キーが侵害された場合のビジネスへの影響を軽減できます。このルールでは、アクセスキーの更新の値が必要です (Config デフォルト: 90)。実際の値には、組織のポリシーを反映する必要があります。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	account-part-of-organizations	AWS Organizations AWS アカウント内のを一元管理することで、アカウントが準拠していることを確認できます。アカウントの管理が一元化されていないと、アカウントの設定に一貫性がなくなり、リソースや機密データが流出する可能性があります。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	EC2-instance-profile-attached	EC2 インスタンスプロファイルは、 IAMロールをEC2インスタンスに渡します。インスタンスプロファイルをインスタンスにアタッチすることで、最小特権とアクセス許可を管理できます。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	emr-kerberos-enabled	アクセス許可と認可は、Amazon EMRクラスターの Kerberos を有効にすることで、最小特権と職務の分離の原則で管理し、組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。領域内では、Kerberos サーバーはキー分散センター () と呼ばれますKDC。これは、プリンシパルが認証を行うための手段を提供するものです。は、KDC認証のチケットを発行して認証を行います。は、その領域内のプリンシパルのデータベース、パスワード、および各プリンシパルに関するその他の管理情報KDCを保持します。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) は、アクセス許可と認可に最小特権と職務分離の原則を組み込むのに役立ちます。これにより、すべての AWS Key Management Service キーでブロックされたアクションをポリシーに含めることを制限できます。タスク完了のために必要以上の特権を持つことは、最小特権と職務分離の原則に反する可能性があります。このルールでは、 blockedActionsPatterns パラメータを設定できます。（AWS 基本的なセキュリティのベストプラクティス値： kms:Decrypt、 kms:ReEncryptFrom）。実際の値には、組織のポリシーを反映する必要があります。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	iam-no-inline-policy- チェック	AWS Identity and Access Management (IAM) ユーザー、IAMロール、またはIAMグループに、システムおよびアセットへのアクセスを制御するインラインポリシーがないことを確認します。 AWS は、インラインポリシーではなく、管理ポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	iam-password-policy	ID と認証情報は、組織のIAMパスワードポリシーに基づいて発行、管理、検証されます。NIST SP 800-63 およびパスワード強度に関する AWS Foundational Security Best Practices 標準に記載されている要件を満たしているか、上回っています。このルールでは、オプションでIAMパスワードポリシーに RequireUppercaseCharacters （AWS Foundational Security Best Practices 値: true)、 RequireLowercaseCharacters （AWS Foundational Security Best Practices 値: true) RequireSymbols 、（AWS Foundational Security Best Practices 値: true) RequireNumbers 、（AWS Foundational Security Best Practices 値: true) MinimumPasswordLength 、（AWS Foundational Security Best Practices 値: 14) PasswordReusePrevention 、（AWS Foundational Security Best Practices 値: 24)、および MaxPasswordAge （AWS Foundational Security Best Practices 値: 90) を設定できます。実際の値には、組織のポリシーを反映する必要があります。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) は、最小特権と職務分離の原則をアクセス許可と認可に組み込み、ポリシーに「リソース」：「」ではなく「アクション」：「」で「効果」：「許可」を含めることを制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	iam-root-access-key- チェック	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーがないことを確認することで、システムとアセットへのアクセスを制御できます。root アクセスキーが削除されていることを確認します。代わりに、最小機能の原則を組み込む AWS アカウントのに役立つロールベースのを作成して使用します。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	iam-user-group-membership- チェック	AWS Identity and Access Management (IAM) は、IAMユーザーが少なくとも 1 つのグループのメンバーであることを確認することで、アクセス許可と認可を制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに許可することは、最小特権と職務の分離の原則に反する可能性があります。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	iam-user-mfa-enabled	AWS クラウド内のリソースへのアクセスを制限するには、このルールを有効にします。このルールにより、すべてのIAMユーザーに対して多要素認証 (MFA) が有効になります。は、ユーザー名とパスワードの上に追加の保護レイヤーMFAを追加します。IAM ユーザーにを要求することで、侵害されたアカウントのインシデントを減らしMFAます。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	iam-user-no-policies- チェック	このルールにより、 AWS Identity and Access Management (IAM) ポリシーがグループまたはロールにのみアタッチされ、システムおよびアセットへのアクセスが制御されます。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません。	iam-user-unused-credentials- チェック	AWS Identity and Access Management (IAM) は、指定した期間に使用されていないIAMパスワードとアクセスキーをチェックすることで、アクセス許可と認可に役立ちます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、値を maxCredentialUsageAge (Config デフォルト: 90) に設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	root-account-hardware-mfa対応	ルートユーザーに対してハードウェアMFAが有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。は、ユーザー名とパスワードの保護レイヤーMFAを追加します。ルートユーザーに MFAを要求することで、侵害されるインシデントを減らすことができます AWS アカウント。
10.52	金融機関は、ユーザー (サードパーティーのサービスプロバイダーなどの内部と外部のユーザー) の識別、認証、承認のための適切なアクセスコントロールポリシーを実装する必要があります。これは、テクノロジーやシステムへの不正アクセスのリスクレベルに見合っており、アクセスコントロールに論理的かつ物理的なテクノロジーで対応するものでなければなりません	root-account-mfa-enabled	ルートユーザーに対して MFAが有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。は、ユーザー名とパスワードの保護レイヤーMFAを追加します。ルートユーザーに MFAを要求することで、侵害されるインシデントを減らすことができます AWS アカウント。
10.53(b)(h)(i)	第 10.52 項を遵守するにあたり、金融機関はアクセスコントロールポリシーで次の原則を考慮する必要があります。(b) 「最小特権」のアクセス権を採用する、またはneed-to-have「」ベースで、正当なユーザーにロールを実行するための最低限のアクセス許可のみを付与する、(h) 複数のユーザー間でのユーザー ID とパスワードの共有を制限および管理する、(i) より個人を特定できるを優先して汎用ユーザー ID の命名規則の使用を制御するIDs。	iam-root-access-key- チェック	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーがないことを確認することで、システムとアセットへのアクセスを制御できます。root アクセスキーが削除されていることを確認します。代わりに、最小機能の原則を組み込む AWS アカウントのに役立つロールベースのを作成して使用します。
10.53(b)	第 10.52 項を遵守するにあたり、金融機関はアクセスコントロールポリシーで次の原則を考慮する必要があります。(b) 「最小特権」のアクセス権を採用するか、need-to-have「」に基づいて、正当なユーザーにロールを実行するための最小限のアクセス許可のみを付与します。	EC2-instance-profile-attached	EC2 インスタンスプロファイルは、 IAMロールをEC2インスタンスに渡します。インスタンスプロファイルをインスタンスにアタッチすることで、最小特権とアクセス許可を管理できます。
10.53(b)	第 10.52 項を遵守するにあたり、金融機関はアクセスコントロールポリシーで次の原則を考慮する必要があります。(b) 「最小特権」のアクセス権を採用するか、need-to-have「」に基づいて、正当なユーザーにロールを実行するための最小限のアクセス許可のみを付与します。	emr-kerberos-enabled	アクセス許可と認可は、Amazon EMRクラスターの Kerberos を有効にすることで、最小特権と職務の分離の原則で管理し、組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。領域内では、Kerberos サーバーはキー分散センター () と呼ばれますKDC。これは、プリンシパルが認証を行うための手段を提供するものです。は、KDC認証のチケットを発行して認証を行います。は、その領域内のプリンシパルのデータベース、パスワード、および各プリンシパルに関するその他の管理情報KDCを保持します。
10.53(b)	第 10.52 項を遵守するにあたり、金融機関はアクセスコントロールポリシーで次の原則を考慮する必要があります。(b) 「最小特権」のアクセス権を採用するか、need-to-have「」に基づいて、正当なユーザーにロールを実行するための最小限のアクセス許可のみを付与します。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) は、アクセス許可と認可に最小特権と職務分離の原則を組み込むのに役立ちます。これにより、すべての AWS Key Management Service キーでブロックされたアクションをポリシーに含めることを制限できます。タスク完了のために必要以上の特権を持つことは、最小特権と職務分離の原則に反する可能性があります。このルールでは、 blockedActionsPatterns パラメータを設定できます。（AWS 基本的なセキュリティのベストプラクティス値： kms:Decrypt、 kms:ReEncryptFrom）。実際の値には、組織のポリシーを反映する必要があります。
10.53(b)	第 10.52 項を遵守するにあたり、金融機関はアクセスコントロールポリシーで次の原則を考慮する必要があります。(b) 「最小特権」のアクセス権を採用するか、need-to-have「」に基づいて、正当なユーザーにロールを実行するための最小限のアクセス許可のみを付与します。	iam-no-inline-policy- チェック	AWS Identity and Access Management (IAM) ユーザー、IAMロール、またはIAMグループに、システムおよびアセットへのアクセスを制御するインラインポリシーがないことを確認します。 AWS は、インラインポリシーではなく、管理ポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
10.53(b)	第 10.52 項を遵守するにあたり、金融機関はアクセスコントロールポリシーで次の原則を考慮する必要があります。(b) 「最小特権」のアクセス権を採用するか、need-to-have「」に基づいて、正当なユーザーにロールを実行するための最小限のアクセス許可のみを付与します。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) は、最小特権と職務分離の原則をアクセス許可と認可に組み込み、ポリシーに「リソース」：「」ではなく「アクション」：「」で「効果」：「許可」を含めることを制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
10.53(b)	第 10.52 項を遵守するにあたり、金融機関はアクセスコントロールポリシーで次の原則を考慮する必要があります。(b) 「最小特権」のアクセス権を採用するか、need-to-have「」に基づいて、正当なユーザーにロールを実行するための最小限のアクセス許可のみを付与します。	iam-user-group-membership- チェック	AWS Identity and Access Management (IAM) は、IAMユーザーが少なくとも 1 つのグループのメンバーであることを確認することで、アクセス許可と認可を制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに許可することは、最小特権と職務の分離の原則に反する可能性があります。
10.53(b)	第 10.52 項を遵守するにあたり、金融機関はアクセスコントロールポリシーで次の原則を考慮する必要があります。(b) 「最小特権」のアクセス権を採用するか、need-to-have「」に基づいて、正当なユーザーにロールを実行するための最小限のアクセス許可のみを付与します。	iam-user-no-policies- チェック	このルールにより、 AWS Identity and Access Management (IAM) ポリシーがグループまたはロールにのみアタッチされ、システムおよびアセットへのアクセスが制御されます。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
10.53(c)(f)	10.52 項を遵守するにあたり、金融機関はアクセスコントロールポリシーにおいて以下の原則を考慮する必要があります。(c) サービスプロバイダーに付与されたアクセス許可を含む、特定の期間にアクセスを制限する期限付きのアクセス権現を採用する。(f) リモートアクセスを含む重要なアクティビティに対し、より強力な認証を採用する。	iam-password-policy	ID と認証情報は、組織のIAMパスワードポリシーに基づいて発行、管理、検証されます。NIST SP 800-63 およびパスワード強度に関する AWS Foundational Security Best Practices 標準に記載されている要件を満たしているか、上回っています。このルールでは、オプションでIAMパスワードポリシーに RequireUppercaseCharacters （AWS Foundational Security Best Practices 値: true)、 RequireLowercaseCharacters （AWS Foundational Security Best Practices 値: true) RequireSymbols 、（AWS Foundational Security Best Practices 値: true) RequireNumbers 、（AWS Foundational Security Best Practices 値: true) MinimumPasswordLength 、（AWS Foundational Security Best Practices 値: 14) PasswordReusePrevention 、（AWS Foundational Security Best Practices 値: 24)、および MaxPasswordAge （AWS Foundational Security Best Practices 値: 90) を設定できます。実際の値には、組織のポリシーを反映する必要があります。
10.53(f)(h)	10.52 項を遵守するにあたり、金融機関はアクセスコントロールポリシーにおいて以下の原則を考慮する必要があります。(f) リモートアクセスを含む重要なアクティビティに対する、より強力な認証を採用する。(h) 複数のユーザー間でのユーザー ID とパスワードの共有を制限および制御する。	iam-user-mfa-enabled	AWS クラウド内のリソースへのアクセスを制限するには、このルールを有効にします。このルールにより、すべてのIAMユーザーに対して多要素認証 (MFA) が有効になります。は、ユーザー名とパスワードの上に追加の保護レイヤーMFAを追加します。IAM ユーザーにを要求することで、侵害されたアカウントのインシデントを減らしMFAます。
10.53(f)(h)	10.54 項を遵守するにあたり、金融機関はアクセスコントロールポリシーにおいて以下の原則を考慮する必要があります。(f) リモートアクセスを含む重要なアクティビティに対する、より強力な認証を採用する。(h) 複数のユーザー間でのユーザー ID とパスワードの共有を制限および制御する。	root-account-hardware-mfa対応	ルートユーザーに対してハードウェアMFAが有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。は、ユーザー名とパスワードの保護レイヤーMFAを追加します。ルートユーザーに MFAを要求することで、侵害されるインシデントを減らすことができます AWS アカウント。
10.53(f)(h)	10.54 項を遵守するにあたり、金融機関はアクセスコントロールポリシーにおいて以下の原則を考慮する必要があります。(f) リモートアクセスを含む重要なアクティビティに対する、より強力な認証を採用する。(h) 複数のユーザー間でのユーザー ID とパスワードの共有を制限および制御する。	root-account-mfa-enabled	ルートユーザーに対して MFAが有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。は、ユーザー名とパスワードの保護レイヤーMFAを追加します。ルートユーザーに MFAを要求することで、侵害されるインシデントを減らすことができます AWS アカウント。
10.54	金融機関は、使用中の ID の信頼性を確保するため、堅牢な認証プロセスを採用する必要があります。認証メカニズムは、関数の重要度に見合ったものであり、ユーザーが知っているもの (パスワード、などPIN）、ユーザーが所有しているもの (スマートカード、セキュリティデバイスなど）、およびユーザーが持っているもの (フィンガープリントや凸状パターンなどの生体認証特性など) の 3 つの基本認証要素のうち少なくとも 1 つ以上を採用する必要があります。	iam-user-mfa-enabled	AWS クラウド内のリソースへのアクセスを制限するには、このルールを有効にします。このルールにより、すべてのIAMユーザーに対して多要素認証 (MFA) が有効になります。は、ユーザー名とパスワードの上に追加の保護レイヤーMFAを追加します。IAM ユーザーにを要求することで、侵害されたアカウントのインシデントを減らしMFAます。
10.54	金融機関は、使用中の ID の信頼性を確保するため、堅牢な認証プロセスを採用する必要があります。認証メカニズムは、関数の重要度に見合ったものであり、ユーザーが知っているもの (パスワード、などPIN）、ユーザーが所有しているもの (スマートカード、セキュリティデバイスなど）、およびユーザーが持っているもの (フィンガープリントや凸状パターンなどの生体認証特性など) の 3 つの基本認証要素のうち少なくとも 1 つ以上を採用する必要があります。	root-account-hardware-mfa対応	ルートユーザーに対してハードウェアMFAが有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。は、ユーザー名とパスワードの保護レイヤーMFAを追加します。ルートユーザーに MFAを要求することで、侵害されるインシデントを減らすことができます AWS アカウント。
10.54	金融機関は、使用中の ID の信頼性を確保するため、堅牢な認証プロセスを採用する必要があります。認証メカニズムは、関数の重要度に見合ったものであり、ユーザーが知っているもの (パスワード、などPIN）、ユーザーが所有しているもの (スマートカード、セキュリティデバイスなど）、およびユーザーが持っているもの (フィンガープリントや凸状パターンなどの生体認証特性など) の 3 つの基本認証要素のうち少なくとも 1 つ以上を採用する必要があります。	root-account-mfa-enabled	ルートユーザーに対して MFAが有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。は、ユーザー名とパスワードの保護レイヤーMFAを追加します。ルートユーザーに MFAを要求することで、侵害されるインシデントを減らすことができます AWS アカウント。
10.55	金融機関は、進化する攻撃に対する回復性を強化するために、パスワードの使用方法を定期的に見直し、改変するものとします。これには、効果的で安全なパスワードの生成が含まれます。作成したパスワードの強度をチェックするためには、適切な管理を行う必要があります。	iam-password-policy	ID と認証情報は、組織のIAMパスワードポリシーに基づいて発行、管理、検証されます。NIST SP 800-63 およびパスワード強度に関する AWS Foundational Security Best Practices 標準に記載されている要件を満たしているか、上回っています。このルールでは、オプションでIAMパスワードポリシーに RequireUppercaseCharacters （AWS Foundational Security Best Practices 値: true)、 RequireLowercaseCharacters （AWS Foundational Security Best Practices 値: true) RequireSymbols 、（AWS Foundational Security Best Practices 値: true) RequireNumbers 、（AWS Foundational Security Best Practices 値: true) MinimumPasswordLength 、（AWS Foundational Security Best Practices 値: 14) PasswordReusePrevention 、（AWS Foundational Security Best Practices 値: 24)、および MaxPasswordAge （AWS Foundational Security Best Practices 値: 90) を設定できます。実際の値には、組織のポリシーを反映する必要があります。
10.56	複数の要素を使用する認証方法は、一般的に、単一の要素を使用するシステムよりも侵害されにくくなります。これを考慮して、金融機関は、信頼性が高く、より強力な不正防止を提供する多要素認証 () を適切に設計および実装することをお勧めします (特に高リスクまたは「シングルサインオン」システムの場合MFA）。	iam-user-mfa-enabled	AWS クラウド内のリソースへのアクセスを制限するには、このルールを有効にします。このルールにより、すべてのIAMユーザーに対して多要素認証 (MFA) が有効になります。は、ユーザー名とパスワードの上に追加の保護レイヤーMFAを追加します。IAM ユーザーにを要求することで、侵害されたアカウントのインシデントを減らしMFAます。
10.56	複数の要素を使用する認証方法は、一般的に、単一の要素を使用するシステムよりも侵害されにくくなります。これを考慮して、金融機関は、信頼性が高く、より強力な不正防止を提供する多要素認証 () を適切に設計および実装することをお勧めします (特に高リスクまたは「シングルサインオン」システムの場合MFA）。	root-account-hardware-mfa対応	ルートユーザーに対してハードウェアMFAが有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。は、ユーザー名とパスワードの保護レイヤーMFAを追加します。ルートユーザーに MFAを要求することで、侵害されるインシデントを減らすことができます AWS アカウント。
10.56	複数の要素を使用する認証方法は、一般的に、単一の要素を使用するシステムよりも侵害されにくくなります。これを考慮して、金融機関は、信頼性が高く、より強力な不正防止を提供する多要素認証 () を適切に設計および実装することをお勧めします (特に高リスクまたは「シングルサインオン」システムの場合MFA）。	root-account-mfa-enabled	ルートユーザーに対して MFAが有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。は、ユーザー名とパスワードの保護レイヤーMFAを追加します。ルートユーザーに MFAを要求することで、侵害されるインシデントを減らすことができます AWS アカウント。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	access-keys-rotated	認証情報は、組織ポリシーで指定されたIAMとおりにアクセスキーがローテーションされるようにすることで、承認されたデバイス、ユーザー、プロセスについて監査されます。アクセスキーを定期的に変更することが、セキュリティのベストプラクティスです。これにより、アクセスキーがアクティブになっている期間が短縮され、キーが侵害された場合のビジネスへの影響を軽減できます。このルールでは、アクセスキーの更新の値が必要です (Config デフォルト: 90)。実際の値には、組織のポリシーを反映する必要があります。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	account-part-of-organizations	AWS Organizations AWS アカウント内のを一元管理することで、アカウントが準拠していることを確認できます。アカウントの管理が一元化されていないと、アカウントの設定に一貫性がなくなり、リソースや機密データが流出する可能性があります。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	api-gw-execution-logging対応	API ゲートウェイのログ記録には、にアクセスしたユーザーの詳細なビューAPIと、へのアクセス方法が表示されますAPI。このインサイトにより、ユーザーアクティビティを可視化することができます。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	cloudtrail-s3-dataevents-enabled	Simple Storage Service (Amazon S3) のデータイベントを収集することで、異常性の高いアクティビティを検出できます。詳細には、Amazon S3 バケットにアクセスした AWS アカウント情報、IP アドレス、およびイベントの発生時刻が含まれます。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	cloudtrail-security-trail-enabled	このルールは、複数の設定が有効になっていることをチェックすることで AWS CloudTrail、 AWS 推奨されるセキュリティのベストプラクティスを確実に使用するのに役立ちます。これには、ログ暗号化の使用、ログの検証、複数のリージョン AWS CloudTrail でのの有効化が含まれます。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch を使用して、ログイベントアクティビティを一元的に収集および管理します。 AWS CloudTrail データを含めると、内のAPI通話アクティビティの詳細が提供されます AWS アカウント。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	cw-loggroup-retention-period- チェック	トラブルシューティングとフォレンジック調査を実行するため、ロググループでイベントログデータの最小期間が保持されていることを確認します。利用可能な過去のイベントログデータを入手できない場合、悪意のあるイベントの再構築と特定が困難になります。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	EC2-instance-profile-attached	EC2 インスタンスプロファイルは、 IAMロールをEC2インスタンスに渡します。インスタンスプロファイルをインスタンスにアタッチすることで、最小特権とアクセス許可を管理できます。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	elb-logging-enabled	Elastic Load Balancing でのアクティビティは、環境内の通信の中心となるポイントです。ELB ログ記録が有効になっていることを確認します。収集されたデータは、に送信されたリクエストに関する詳細情報を提供しますELB。各ログには、リクエストを受け取った時刻、クライアントの IP アドレス、レイテンシー、リクエストのパス、サーバーレスポンスなどの情報が含まれます。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) は、アクセス許可と認可に最小特権と職務分離の原則を組み込むのに役立ちます。これにより、すべての AWS Key Management Service キーでブロックされたアクションをポリシーに含めることを制限できます。タスク完了のために必要以上の特権を持つことは、最小特権と職務分離の原則に反する可能性があります。このルールでは、 blockedActionsPatterns パラメータを設定できます。（AWS 基本的なセキュリティのベストプラクティス値： kms:Decrypt、 kms:ReEncryptFrom）。実際の値には、組織のポリシーを反映する必要があります。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	iam-password-policy	ID と認証情報は、組織のIAMパスワードポリシーに基づいて発行、管理、検証されます。NIST SP 800-63 およびパスワード強度に関する AWS Foundational Security Best Practices 標準に記載されている要件を満たしているか、上回っています。このルールでは、オプションでIAMパスワードポリシーに RequireUppercaseCharacters （AWS Foundational Security Best Practices 値: true)、 RequireLowercaseCharacters （AWS Foundational Security Best Practices 値: true) RequireSymbols 、（AWS Foundational Security Best Practices 値: true) RequireNumbers 、（AWS Foundational Security Best Practices 値: true) MinimumPasswordLength 、（AWS Foundational Security Best Practices 値: 14) PasswordReusePrevention 、（AWS Foundational Security Best Practices 値: 24)、および MaxPasswordAge （AWS Foundational Security Best Practices 値: 90) を設定できます。実際の値には、組織のポリシーを反映する必要があります。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) は、最小特権と職務分離の原則をアクセス許可と認可に組み込み、ポリシーに「リソース」：「」ではなく「アクション」：「」で「効果」：「許可」を含めることを制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	iam-root-access-key- チェック	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーがないことを確認することで、システムとアセットへのアクセスを制御できます。root アクセスキーが削除されていることを確認します。代わりに、最小機能の原則を組み込む AWS アカウントのに役立つロールベースのを作成して使用します。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	iam-user-group-membership- チェック	AWS Identity and Access Management (IAM) は、IAMユーザーが少なくとも 1 つのグループのメンバーであることを確認することで、アクセス許可と認可を制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに許可することは、最小特権と職務の分離の原則に反する可能性があります。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	iam-user-no-policies- チェック	このルールにより、 AWS Identity and Access Management (IAM) ポリシーは、システムおよびアセットへのアクセスを制御するために、グループまたはロールにのみアタッチされます。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service ドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。 OpenSearch サービスエラーログは、セキュリティとアクセスの監査に役立ち、可用性の問題の診断に役立ちます。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	rds-logging-enabled	環境内のログ記録とモニタリングに役立つように、Amazon Relational Database Service (Amazon RDS) のログ記録が有効になっていることを確認します。Amazon RDSログ記録を使用すると、接続、切断、クエリ、クエリされたテーブルなどのイベントをキャプチャできます。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、 clusterDbEncrypted (Config デフォルト : TRUE）、および loggingEnabled (Config デフォルト : ) に値が設定されている必要がありますTRUE。実際の値には、組織のポリシーを反映する必要があります。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) サーバーアクセスのログ記録によって、ネットワークをモニタリングし、潜在的なサイバーセキュリティイベントに対応することができます。Amazon S3 バケットに対して行われたリクエストの詳細な記録をキャプチャすることで、イベントをモニタリングします。各アクセスのログレコードから、1 つのアクセスリクエストについての詳細情報を取得できます。詳細情報には、リクエスタ、バケット名、リクエスト時刻、リクエストアクション、レスポンスのステータス、エラーコード (該当する場合) などの情報が含まれます。
10.59	金融機関は、以下のことを確認する必要があります。(a) 企業全体のシステムへのアクセスコントロールが効果的に管理および監視されている。(b) 重要なシステムでのユーザーアクティビティが、監査と調査のためにログに記録されている。アクティビティログは最低 3 年間保存し、定期的かつタイムリーに確認する必要があります。	wafv2-logging-enabled	環境内のログ記録とモニタリングに役立つように、リージョンおよびグローバルウェブで (V2) ログ記録を有効にします AWS WAFACLs。 AWS WAF ログ記録は、ウェブによって分析されるトラフィックに関する詳細情報を提供しますACL。ログには、が AWS WAF AWS リソースからリクエストを受信した時間、リクエストに関する情報、および各リクエストが一致したルールのアクションが記録されます。
10.60	10.59 項の要件を満たす上で、大規模な金融機関では以下のことを行う必要があります。(a) 企業全体のシステムへのユーザーアクセスを効果的に管理およびモニタリングするための ID のアクセス管理システムをデプロイする。(b) 自動監査ツールをデプロイし、あらゆる異常にフラグを付ける。	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch を使用して、ログイベントアクティビティを一元的に収集および管理します。 AWS CloudTrail データを含めると、内のAPI通話アクティビティの詳細が提供されます AWS アカウント。
10.60	10.61 項の要件を満たす上で、大規模な金融機関では以下のことを行う必要があります。(a) 企業全体のシステムへのユーザーアクセスを効果的に管理およびモニタリングするための ID のアクセス管理システムをデプロイする。(b) 自動監査ツールをデプロイし、あらゆる異常にフラグを付ける。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングおよび検出するのに役立ちます。これにはIPs、 AWS クラウド環境内の予期しないアクティビティ、許可されていないアクティビティ、悪意のあるアクティビティを識別するための悪意のあるアクティビティと機械学習のリストが含まれます。
10.60	10.61 項の要件を満たす上で、大規模な金融機関では以下のことを行う必要があります。(a) 企業全体のシステムへのユーザーアクセスを効果的に管理およびモニタリングするための ID のアクセス管理システムをデプロイする。(b) 自動監査ツールをデプロイし、あらゆる異常にフラグを付ける。	securityhub-enabled	AWS Security Hub は、権限のない担当者、接続、デバイス、ソフトウェアをモニタリングするのに役立ちます。 AWS Security Hub は、複数の AWS サービスからセキュリティアラートや検出結果を集約、整理、優先順位付けします。このようなサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer、 AWS Firewall Manager、 AWS パートナーソリューションなどがあります。
10.61	金融機関は、重要なシステムが、既知のセキュリティ脆弱性を持つ古いシステムまたは end-of-life (EOL) テクノロジーシステムで実行されていないことを確認する必要があります。これに関して、金融機関は特定された機能に責任を明確に割り当てる必要があります。(a) 最新のパッチリリースを適時に継続的に監視および実装し、(b) さらなる是正措置EOLのために近づいている重要なテクノロジーシステムを特定する必要があります。	EC2 instance-managed-by-systemsマネージャー	AWS Systems Manager で Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを管理することで、組織内のソフトウェアプラットフォームとアプリケーションのインベントリを作成できます。 AWS Systems Manager を使用して、詳細なシステム設定、オペレーティングシステムのパッチレベル、サービス名とタイプ、ソフトウェアのインストール、アプリケーション名、パブリッシャーとバージョン、および環境に関するその他の詳細を提供します。
10.61	金融機関は、重要なシステムが、既知のセキュリティ脆弱性を持つ古いシステムまたは end-of-life (EOL) テクノロジーシステムで実行されていないことを確認する必要があります。これに関して、金融機関は特定された機能に責任を明確に割り当てる必要があります。(a) 最新のパッチリリースを適時に継続的に監視および実装し、(b) さらなる是正措置EOLのために近づいている重要なテクノロジーシステムを特定する必要があります。	EC2 managedinstance-association-compliance-statusチェック	AWS Systems Manager Associations を使用して、組織内のソフトウェアプラットフォームとアプリケーションのインベントリを作成します。 AWS Systems Manager は、マネージドインスタンスに設定状態を割り当て、オペレーティングシステムのパッチレベル、ソフトウェアのインストール、アプリケーション設定、および環境に関するその他の詳細のベースラインを設定できます。
10.61	金融機関は、重要なシステムが、既知のセキュリティ脆弱性を持つ古いシステムまたは end-of-life (EOL) テクノロジーシステムで実行されていないことを確認する必要があります。これに関して、金融機関は特定された機能に責任を明確に割り当てる必要があります。(a) 最新のパッチリリースを適時に継続的に監視および実装し、(b) さらなる是正措置EOLのために近づいている重要なテクノロジーシステムを特定する必要があります。	EC2 managedinstance-patch-compliance-statusチェック	このルールを有効にすると、Amazon Elastic Compute Cloud (Amazon EC2) の脆弱性の特定と文書化に役立ちます。このルールは、組織のポリシーと手順で義務付けられている Systems AWS Manager の Amazon EC2インスタンスパッチコンプライアンスをチェックします。
10.61	金融機関は、重要なシステムが、既知のセキュリティ脆弱性を持つ古いシステムまたは end-of-life (EOL) テクノロジーシステムで実行されていないことを確認する必要があります。これに関して、金融機関は特定された機能に責任を明確に割り当てる必要があります。(a) 最新のパッチリリースを適時に継続的に監視および実装し、(b) さらなる是正措置EOLのために近づいている重要なテクノロジーシステムを特定する必要があります。	elastic-beanstalk-managed-updates対応	Amazon Elastic Beanstalk 環境でマネージドプラットフォームの更新を有効にすると、利用可能なプラットフォームの最新の修正、更新と、環境のための機能がインストールされます。パッチのインストールを最新の状態に保つことは、システムのセキュリティ保護のベストプラクティスです。
10.61	金融機関は、重要なシステムが、既知のセキュリティ脆弱性を持つ古いシステムまたは end-of-life (EOL) テクノロジーシステムで実行されていないことを確認する必要があります。これに関して、金融機関は特定された機能に責任を明確に割り当てる必要があります。(a) 最新のパッチリリースを適時に継続的に監視および実装し、(b) さらなる是正措置EOLのために近づいている重要なテクノロジーシステムを特定する必要があります。	redshift-cluster-maintenancesettings-check	このルールにより、Amazon Redshift クラスターで組織に適した設定が行われるようになります。具体的には、データベースの任意のメンテナンスウインドウと自動スナップショットの保持期間を設定します。このルールでは、を設定する必要があります allowVersionUpgrade。デフォルトは true です。また、オプションで preferredMaintenanceWindow （デフォルトは sat:16:00-sat:16:30) と automatedSnapshotRetention期間 (デフォルトは 1) を設定することもできます。実際の値には、組織のポリシーを反映する必要があります。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	alb-http-to-https-redirection-check	転送中のデータを保護するために、Application Load Balancer が暗号化されていないHTTPリクエストを自動的ににリダイレクトすることを確認しますHTTPS。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	api-gw-cache-enabled暗号化済み	保管中のデータを保護するため、APIゲートウェイステージのキャッシュで暗号化が有効になっていることを確認します。API メソッドでは機密データをキャプチャできるため、保管時の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	api-gw-ssl-enabled	Amazon API Gateway RESTAPIステージにSSL証明書が設定され、バックエンドシステムがリクエストが API Gateway から発信されたことを認証できるようにします。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	backup-recovery-point-encrypted	AWS Backup リカバリポイントで暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	cloudtrail-security-trail-enabled	このルールは、複数の設定が有効になっていることをチェックすることで AWS CloudTrail、 AWS 推奨されるセキュリティのベストプラクティスを確実に使用するのに役立ちます。これには、ログ暗号化の使用、ログの検証、複数のリージョン AWS CloudTrail でのの有効化が含まれます。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	cloudwatch-log-group-encrypted	保管中の機密データを保護するために、Amazon CloudWatch Log Groups で暗号化が有効になっていることを確認します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	dynamodb-table-encrypted-kms	Amazon DynamoDB テーブルで、暗号化が有効になっていることを確認します。これらのテーブルには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。デフォルトでは、DynamoDB テーブルは AWS が所有するカスタマーマスターキー () で暗号化されますCMK。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	EC2-ebs-encryption-by-default	保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	efs-encrypted-check	機密データが存在する可能性があるため、保管中のデータを保護するために、Amazon Elastic File System () で暗号化が有効になっていることを確認しますEFS。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	elbv2-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。 AWS Certificate Manager を使用して、 AWS サービスおよび内部リソースでパブリックおよびプライベート SSL/TLS 証明書を管理、プロビジョニング、デプロイします。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	encrypted-volumes	機密データが存在する可能性があるため、保管中のデータを保護するために、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	opensearch-encrypted-at-rest	機密データが存在する可能性があるため、保管中のデータを保護するために、Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	opensearch-https-required	機密データが存在する可能性があるため、転送中のデータを保護するために、Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	opensearch-node-to-node暗号化チェック	Amazon OpenSearch Service node-to-nodeの暗号化が有効になっていることを確認します。 Node-to-node 暗号化は、Amazon Virtual Private Cloud (Amazon ) TLS 内のすべての通信に対して 1.2 暗号化を有効にしますVPC。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	rds-snapshot-encrypted	Amazon Relational Database Service (Amazon RDS) スナップショットで暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	rds-storage-encrypted	保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDSインスタンスには機密データが存在する可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、 clusterDbEncrypted (Config デフォルト : TRUE）、および loggingEnabled (Config デフォルト : ) に値が設定されている必要がありますTRUE。実際の値には、組織のポリシーを反映する必要があります。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	redshift-cluster-kms-enabled	保管中のデータを保護するため、Amazon Redshift クラスターで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。Redshift クラスターには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	redshift-require-tls-ssl	Amazon Redshift クラスターがSQLクライアントに接続するために TLS/SSL 暗号化を必要としていることを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	s3 bucket-server-side-encryption対応	保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	s3-bucket-ssl-requests-only	転送中のデータを保護するために、Amazon Simple Storage Service (Amazon S3) バケットで Secure Socket Layer () を使用するリクエストが必要であることを確認してくださいSSL。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	sagemaker-endpoint-configuration-kms-key-configured	保管中のデータを保護するため、 SageMaker エンドポイントで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。機密データは SageMaker エンドポイントに保存されている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	sagemaker-notebook-instance-kms-key-configured	保管中のデータを保護するため、 SageMaker ノートブックで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。機密データは SageMaker ノートブックに保存されている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	secretsmanager-using-cmk	保管中のデータを保護するため、 AWS Secrets Manager シークレットで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。保管中の Secrets Manager のシークレットに機密データが存在する可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.64(a)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実装する必要があります。(a) 顧客および取引先の情報と、トランザクションの機密性および完全性	sns-encrypted-kms	保管中のデータを保護するために、Amazon Simple Notification Service (Amazon SNS) トピックで AWS Key Management Service () を使用した暗号化が必要であることを確認してくださいAWS KMS。公開されたメッセージには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
10.64(b)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(b) チャネルやデバイスから、サービスの中断を最小限に抑えて提供されるサービスの信頼性	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling は、 AWS Application Auto Scaling サービスを使用して、実際のトラフィックパターンに自動的に応答するプロビジョニングされたスループットキャパシティを調整します。これにより、テーブルまたはグローバルセカンダリインデックスで、プロビジョンされた読み取りおよび書き込みの容量が拡張され、トラフィックの急激な増加をスロットリングなしで処理できるようになります。
10.64(b)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(b) チャネルやデバイスから、サービスの中断を最小限に抑えて提供されるサービスの信頼性	ec2-stopped-instance	このルールを有効にすると、組織の標準に従って、Amazon インスタンスが許可されている日数を超えて停止されているかどうかをチェックして、Amazon Elastic Compute Cloud (Amazon EC2) EC2インスタンスのベースライン設定に役立ちます。
10.64(b)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(b) チャネルやデバイスから、サービスの中断を最小限に抑えて提供されるサービスの信頼性	elb-deletion-protection-enabled	このルールにより、Elastic Load Balancing で削除保護が有効になっているかどうかを確認します。この機能を使用すると、ロードバランサーが誤って削除されたり悪意を持って削除されることで、アプリケーションの可用性が失われることを防ぐことができます。
10.64(b)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(b) チャネルやデバイスから、サービスの中断を最小限に抑えて提供されるサービスの信頼性	nlb-cross-zone-load- バランシングが有効	適切な容量と可用性を維持するために、 NetworkLoad バランサー (NLBs) のクロスゾーン負荷分散を有効にします。クロスゾーン負荷分散により、有効な各アベイラビリティーゾーンで同じインスタンス数を維持する必要性が軽減されます。また、1 つ以上のインスタンスの消失を処理するアプリケーションの能力が向上します。
10.64(b)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(b) チャネルやデバイスから、サービスの中断を最小限に抑えて提供されるサービスの信頼性	rds-instance-deletion-protection対応	Amazon Relational Database Service (Amazon RDS) インスタンスで削除保護が有効になっていることを確認します。削除保護を使用して、Amazon RDSインスタンスが誤って削除されたり、悪意を持って削除されたりするのを防ぎ、アプリケーションの可用性が失われる可能性があります。
10.64(b)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(b) チャネルやデバイスから、サービスの中断を最小限に抑えて提供されるサービスの信頼性	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) でのマルチ AZ サポートにより、データベースインスタンスの可用性と耐久性が向上します。マルチ AZ データベースインスタンスをプロビジョニングすると、Amazon RDSは自動的にプライマリデータベースインスタンスを作成し、データを別のアベイラビリティーゾーンのスタンバイインスタンスに同期的にレプリケートします。各アベイラビリティーゾーンは、物理的に独立した独自のインフラストラクチャで実行されますが、高度な信頼性を実現できるよう設計されています。インフラストラクチャに障害が発生した場合、Amazon はスタンバイへの自動フェイルオーバーRDSを実行するため、フェイルオーバーが完了するとすぐにデータベースオペレーションを再開できます。
10.64(b)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(b) チャネルやデバイスから、サービスの中断を最小限に抑えて提供されるサービスの信頼性	rds-cluster-multi-az対応	Amazon Relational Database Service (Amazon RDS) でのマルチ AZ サポートにより、データベースインスタンスの可用性と耐久性が向上します。マルチ AZ データベースインスタンスをプロビジョニングすると、Amazon RDSは自動的にプライマリデータベースインスタンスを作成し、データを別のアベイラビリティーゾーンのスタンバイインスタンスに同期的にレプリケートします。各アベイラビリティーゾーンは、物理的に独立した独自のインフラストラクチャで実行されますが、高度な信頼性を実現できるよう設計されています。インフラストラクチャに障害が発生した場合、Amazon はスタンバイへの自動フェイルオーバーRDSを実行するため、フェイルオーバーが完了するとすぐにデータベースオペレーションを再開できます。
10.64(b)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(b) チャネルやデバイスから、サービスの中断を最小限に抑えて提供されるサービスの信頼性	vpc-vpn-2-tunnels-up	冗長 Site-to-SiteVPNトンネルを実装して、耐障害性要件を満たすことができます。2 つのトンネルを使用して、接続の 1 つが使用できなくなった場合VPNの接続を確保します Site-to-Site。接続が失われるのを防ぐために、カスタマーゲートウェイが使用できなくなった場合は、2 番目の Site-to-Siteカスタマーゲートウェイを使用して Amazon Virtual Private Cloud (Amazon VPC) と仮想プライベートゲートウェイへの 2 番目のVPN接続を設定できます。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	api-gw-execution-logging対応	API ゲートウェイのログ記録には、にアクセスしたユーザーの詳細なビューAPIと、へのアクセス方法が表示されますAPI。このインサイトにより、ユーザーアクティビティを可視化することができます。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	autoscaling-group-elb-healthcheck必須	Amazon Elastic Compute Cloud (Amazon ELB) Auto Scaling グループの Elastic Load Balancer (EC2) ヘルスチェックは、適切な容量と可用性のメンテナンスをサポートします。ロードバランサーは定期的に ping を送信したり、接続を試みたり、リクエストを送信して、Auto Scaling グループ内の Amazon EC2インスタンスのヘルスをテストしたりします。インスタンスがレポートされない場合、トラフィックは新しい Amazon EC2インスタンスに送信されます。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	cloudtrail-s3-dataevents-enabled	Simple Storage Service (Amazon S3) のデータイベントを収集することで、異常性の高いアクティビティを検出できます。詳細には、Amazon S3 バケットにアクセスした AWS アカウント情報、IP アドレス、およびイベントの発生時刻が含まれます。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	cloudtrail-security-trail-enabled	このルールは、複数の設定が有効になっていることをチェックすることで AWS CloudTrail、 AWS 推奨されるセキュリティのベストプラクティスを確実に使用するのに役立ちます。これには、ログ暗号化の使用、ログの検証、複数のリージョン AWS CloudTrail でのの有効化が含まれます。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	cloudwatch-alarm-action-check	Amazon CloudWatch アラームは、メトリクスが指定された評価期間数のしきい値を超えたときに警告します。アラームは、複数の期間にわたる閾値に対するメトリックまたはメートルの値に基づいて、1つまたは複数のアクションを実行します。このルールには、 alarmActionRequired (Config デフォルト: True) insufficientDataAction、必須 (Config デフォルト: True)、 okActionRequired (Config デフォルト: False) の値が必要です。実際の値には、環境に合わせたアラームのアクションを反映する必要があります。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch を使用して、ログイベントアクティビティを一元的に収集および管理します。 AWS CloudTrail データを含めると、内のAPI通話アクティビティの詳細が表示されます AWS アカウント。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	dynamodb-throughput-limit-check	このルールを有効にすると、Amazon DynamoDB テーブルでのプロビジョンドスループット性能がチェックされるようになります。これは、各テーブルがサポートできる読み取りおよび書き込みアクティビティの量です。DynamoDB はこの情報を使用して、スループット要件を満たすのに十分なシステムリソースを予約します。このルールでは、スループットがお客様のアカウントの最大限度に近づいたときにアラートが生成されます。このルールでは、オプションでaccountRCUThresholdパーセンテージ (Config デフォルト: 80) およびaccountWCUThresholdパーセンテージ (Config デフォルト: 80) パラメータを設定できます。実際の値には、組織のポリシーを反映する必要があります。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	EC2-instance-detailed-monitoring-enabled	このルールを有効にすると、Amazon EC2コンソールでの Amazon Elastic Compute Cloud (Amazon EC2) インスタンスのモニタリングが改善され、インスタンスのモニタリンググラフが 1 分間表示されます。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	elb-logging-enabled	Elastic Load Balancing でのアクティビティは、環境内の通信の中心となるポイントです。ELB ログ記録が有効になっていることを確認します。収集されたデータは、に送信されたリクエストに関する詳細情報を提供しますELB。各ログには、リクエストを受け取った時刻、クライアントの IP アドレス、レイテンシー、リクエストのパス、サーバーレスポンスなどの情報が含まれます。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングおよび検出するのに役立ちます。これにはIPs、 AWS クラウド環境内の予期しないアクティビティ、許可されていないアクティビティ、悪意のあるアクティビティを識別するための悪意のあるアクティビティと機械学習のリストが含まれます。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service ドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。 OpenSearch サービスエラーログは、セキュリティとアクセスの監査に役立ち、可用性の問題の診断に役立ちます。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	rds-enhanced-monitoring-enabled	Amazon Relational Database Service (Amazon RDS) を有効にして、Amazon のRDS可用性をモニタリングできるようにします。これにより、Amazon RDS データベースインスタンスの状態を詳細に可視化できます。Amazon RDSストレージが複数の基盤となる物理デバイスを使用している場合、拡張モニタリングは各デバイスのデータを収集します。また、Amazon RDS データベースインスタンスがマルチ AZ 配置で実行されている場合、セカンダリホスト上の各デバイスのデータとセカンダリホストメトリクスが収集されます。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	rds-logging-enabled	環境内のログ記録とモニタリングに役立つように、Amazon Relational Database Service (Amazon RDS) のログ記録が有効になっていることを確認します。Amazon RDSログ記録を使用すると、接続、切断、クエリ、クエリされたテーブルなどのイベントをキャプチャできます。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、 clusterDbEncrypted (Config デフォルト : TRUE）、および loggingEnabled (Config デフォルト : ) の値を設定する必要がありますTRUE。実際の値には、組織のポリシーを反映する必要があります。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) サーバーアクセスのログ記録によって、ネットワークをモニタリングし、潜在的なサイバーセキュリティイベントに対応することができます。Amazon S3 バケットに対して行われたリクエストの詳細な記録をキャプチャすることで、イベントをモニタリングします。各アクセスのログレコードから、1 つのアクセスリクエストについての詳細情報を取得できます。詳細情報には、リクエスタ、バケット名、リクエスト時刻、リクエストアクション、レスポンスのステータス、エラーコード (該当する場合) などの情報が含まれます。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	securityhub-enabled	AWS Security Hub は、権限のない担当者、接続、デバイス、ソフトウェアをモニタリングするのに役立ちます。 AWS Security Hub は、複数の AWS サービスからセキュリティアラートや検出結果を集約、整理、優先順位付けします。このようなサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer、 AWS Firewall Manager、 AWS パートナーソリューションなどがあります。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	vpc-flow-logs-enabled	VPC フローログは、Amazon Virtual Private Cloud (Amazon ) のネットワークインターフェイスとの間で送受信される IP トラフィックに関する詳細レコードを提供しますVPC。フローログレコードには、送信元、送信先、プロトコルなど、IP フローのさまざまなコンポーネントの値がデフォルトで含まれています。
10.64(d)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(d) 十分な監査証跡と異常なトランザクションのモニタリング	wafv2-logging-enabled	環境内のログ記録とモニタリングに役立つように、リージョンおよびグローバルウェブで (V2) ログ記録を有効にします AWS WAFACLs。 AWS WAF ログ記録は、ウェブによって分析されるトラフィックに関する詳細情報を提供しますACL。ログには、が AWS WAF AWS リソースからリクエストを受信した時間、リクエストに関する情報、および各リクエストが一致したルールのアクションが記録されます。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	aurora-resources-protected-by-バックアップ計画	データのバックアッププロセスを支援するには、Amazon Aurora リソースが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	db-instance-backup-enabled	Amazon のバックアップ機能により、データベースとトランザクションログのバックアップRDSが作成されます。Amazon は DB インスタンスのストレージボリュームスナップショットRDSを自動的に作成し、DB インスタンス全体をバックアップします。このシステムでは、回復性の要件を満たす特定の保持期間を設定できます。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	dynamodb-pitr-enabled	このルールを有効にして、情報がバックアップされているかどうかをチェックします。また、Amazon DynamoDB で復旧が有効になっていること point-in-timeを確認することで、バックアップも維持されます。リカバリによって、過去 35 日間のテーブルの継続的なバックアップが維持されます。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	dynamodb-resources-protected-by-バックアップ計画	データのバックアッププロセスを支援するには、Amazon DynamoDB リソースが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) の最適化されたインスタンスは、Amazon EBS I/O オペレーション用の追加の専用容量を提供します。この最適化は、Amazon EBS I/O オペレーションとインスタンスからの他のトラフィック間の競合を最小限に抑えることで、EBSボリュームの最も効率的なパフォーマンスを提供します。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	ebs-resources-protected-by-バックアップ計画	データのバックアッププロセスを支援するために、Amazon Elastic Block Store (Amazon EBS) リソースが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	EC2 resources-protected-by-backupプラン	データのバックアッププロセスを支援するために、Amazon Elastic Compute Cloud (Amazon EC2) リソースが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	efs-resources-protected-by-バックアップ計画	データのバックアッププロセスを支援するために、Amazon Elastic File System (Amazon EFS) ファイルシステムが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	elasticache-redis-cluster-automatic-backup-check	自動バックアップが有効になっている場合、Amazon はクラスターのバックアップを毎日 ElastiCache 作成します。バックアップは、組織の指定により数日間、保持することができます。自動バックアップは、データ損失を防ぐのに役立ちます。障害が発生した場合は、新しいクラスターを作成して、最新のバックアップからデータを復元できます。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	rds-resources-protected-by-バックアップ計画	データのバックアッププロセスを支援するために、Amazon Relational Database Service (Amazon RDS) リソースが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	redshift-backup-enabled	データのバックアッププロセスを実行するため、Amazon Redshift クラスターで自動スナップショットが設定されていることを確認します。クラスターの自動スナップショットを有効にすると、Amazon Redshift はそのクラスターのスナップショットを定期的に作成します。デフォルトでは、Redshift は 8 時間ごと、または各ノードの 5 GB ごとのデータ変更、またはそのいずれか早い方のタイミングでスナップショットを作成します。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) バケットのバージョニングは、同じ Amazon S3 バケットでオブジェクトの複数のバリアントを保持するのに役立ちます。バージョニングを使用すると、Amazon S3 バケットに保存されたあらゆるオブジェクトのすべてのバージョンを、保存、取得、復元することができます。バージョニングによって、意図しないユーザーアクションやアプリケーション障害から簡単に復旧できます。
10.64(e)	金融機関は、デジタルサービスを提供する際、以下のことを保証する堅牢なテクノロジーによるセキュリティコントロールを実施する必要があります。(e) インシデントやサービス中断の前にリカバリポイントを特定して復旧させる機能	s3resources-protected-by-backup--plan	データのバックアッププロセスを支援するために、Amazon Simple Storage Service (S3) バケットが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
11.7	金融機関は、テクノロジーインフラストラクチャの異常なアクティビティを継続的かつプロアクティブにモニタリングし、タイムリーに検出するための効果的なツールをデプロイする必要があります。モニタリングの範囲は、サポートするインフラストラクチャを含むあらゆる重要なシステムをカバーする必要があります。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングおよび検出するのに役立ちます。これにはIPs、 AWS クラウド環境内の予期しないアクティビティ、許可されていないアクティビティ、悪意のあるアクティビティを識別するための悪意のあるアクティビティと機械学習のリストが含まれます。
11.7	金融機関は、テクノロジーインフラストラクチャの異常なアクティビティを継続的かつプロアクティブにモニタリングし、タイムリーに検出するための効果的なツールをデプロイする必要があります。モニタリングの範囲は、サポートするインフラストラクチャを含むあらゆる重要なシステムをカバーする必要があります。	securityhub-enabled	AWS Security Hub は、権限のない担当者、接続、デバイス、ソフトウェアをモニタリングするのに役立ちます。 AWS Security Hub は、複数の AWS サービスからセキュリティアラートや検出結果を集約、整理、優先順位付けします。このようなサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer、 AWS Firewall Manager、 AWS パートナーソリューションなどがあります。
11.8	金融機関は、サイバーセキュリティオペレーションによって、セキュリティ管理への潜在的な侵害やセキュリティ体制の弱体化を、継続的に防止および検出する必要があります。大規模な金融機関では、すべての重要なシステムをサポートする外部および内部のネットワークコンポーネントに対して、四半期ごとに脆弱性評価を行う必要もあります。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングおよび検出するのに役立ちます。これにはIPs、 AWS クラウド環境内の予期しないアクティビティ、許可されていないアクティビティ、悪意のあるアクティビティを識別するための悪意のあるアクティビティと機械学習のリストが含まれます。
11.8	金融機関は、サイバーセキュリティオペレーションによって、セキュリティ管理への潜在的な侵害やセキュリティ体制の弱体化を、継続的に防止および検出する必要があります。大規模な金融機関では、すべての重要なシステムをサポートする外部および内部のネットワークコンポーネントに対して、四半期ごとに脆弱性評価を行う必要もあります。	securityhub-enabled	AWS Security Hub は、権限のない担当者、接続、デバイス、ソフトウェアをモニタリングするのに役立ちます。 AWS Security Hub は、複数の AWS サービスからセキュリティアラートや検出結果を集約、整理、優先順位付けします。このようなサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer、 AWS Firewall Manager、 AWS パートナーソリューションなどがあります。
11.18(c)(f)	は、次の機能を実行できるSOC必要があります。(c) 脆弱性管理、(f) 脅威インテリジェンスの分析と運用を含む攻撃者や脅威を検出するための状況認識の提供、および侵害の指標のモニタリング ()IOC。これには、署名のないマルウェアやファイルのないマルウェアを検出し、エンドポイントやネットワークレイヤーなどでセキュリティ脅威となりうる異常を特定するための高度な動作分析が含まれます。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングおよび検出するのに役立ちます。これにはIPs、 AWS クラウド環境内の予期しないアクティビティ、許可されていないアクティビティ、悪意のあるアクティビティを識別するための悪意のあるアクティビティと機械学習のリストが含まれます。
11.18(c)(f)	は、次の機能を実行できるSOC必要があります。(c) 脆弱性管理、(f) 脅威インテリジェンスの分析と運用を含む攻撃者や脅威を検出するための状況認識の提供、および侵害の指標のモニタリング ()IOC。これには、署名のないマルウェアやファイルのないマルウェアを検出し、エンドポイントやネットワークレイヤーなどでセキュリティ脅威となりうる異常を特定するための高度な動作分析が含まれます。	guardduty-non-archived-findings	Amazon GuardDuty は、調査結果を重要度: 低、中、高で分類することで、インシデントの影響を理解するのに役立ちます。これらの分類を使用して、修復戦略と優先度を決定することができます。このルールでは、必要に応じて、アーカイブされていない検出結果の daysLowSev (Config デフォルト: 30)、 daysMediumSev (Config デフォルト: 7)、および daysHighSev (Config デフォルト: 1) を、組織のポリシーで必要とされるとおりに設定できます。
11.18(c)(f)	は、次の機能を実行できるSOC必要があります。(c) 脆弱性管理、(f) 脅威インテリジェンスの分析と運用を含む攻撃者や脅威を検出するための状況認識の提供、および侵害の指標のモニタリング ()IOC。これには、署名のないマルウェアやファイルのないマルウェアを検出し、エンドポイントやネットワークレイヤーなどでセキュリティ脅威となりうる異常を特定するための高度な動作分析が含まれます。	securityhub-enabled	AWS Security Hub は、権限のない担当者、接続、デバイス、ソフトウェアをモニタリングするのに役立ちます。 AWS Security Hub は、複数の AWS サービスからセキュリティアラートや検出結果を集約、整理、優先順位付けします。このようなサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer、 AWS Firewall Manager、 AWS パートナーソリューションなどがあります。
付録 5.1	すべてのセキュリティデバイスの設定およびルール設定を定期的に確認します。自動化ツールを使用して、設定およびルール設定の変更を確認し、モニタリングします。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングおよび検出するのに役立ちます。これにはIPs、 AWS クラウド環境内の予期しないアクティビティ、許可されていないアクティビティ、悪意のあるアクティビティを識別するための悪意のあるアクティビティと機械学習のリストが含まれます。
付録 5.1	すべてのセキュリティデバイスの設定およびルール設定を定期的に確認します。自動化ツールを使用して、設定およびルール設定の変更を確認し、モニタリングします。	securityhub-enabled	AWS Security Hub は、権限のない担当者、接続、デバイス、ソフトウェアをモニタリングするのに役立ちます。 AWS Security Hub は、複数の AWS サービスからセキュリティアラートや検出結果を集約、整理、優先順位付けします。このようなサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer、 AWS Firewall Manager、 AWS パートナーソリューションなどがあります。
付録 5.5 (b)	外部ネットワーク接続のセキュリティコントロール server-to-serverに、(b) Transport Layer Security () や Virtual Private Network (TLS) などのセキュアトンネルの使用が含まれていることを確認しますVPN。 IPSec	alb-http-to-https-redirection-check	転送中のデータを保護するために、Application Load Balancer が暗号化されていないHTTPリクエストを自動的ににリダイレクトすることを確認しますHTTPS。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
付録 5.5 (b)	外部ネットワーク接続のセキュリティコントロール server-to-serverに、(b) Transport Layer Security () や Virtual Private Network (TLS) などのセキュアトンネルの使用が含まれていることを確認しますVPN。 IPSec	api-gw-ssl-enabled	Amazon API Gateway RESTAPIステージにSSL証明書が設定されていることを確認し、バックエンドシステムが API Gateway からのリクエストを認証できるようにします。
付録 5.5 (b)	外部ネットワーク接続のセキュリティコントロール server-to-serverに、(b) Transport Layer Security () や Virtual Private Network (TLS) などのセキュアトンネルの使用が含まれていることを確認しますVPN。 IPSec	opensearch-https-required	機密データが存在する可能性があるため、転送中のデータを保護するために、Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
付録 5.5 (b)	外部ネットワーク接続のセキュリティコントロール server-to-serverに、(b) Transport Layer Security () や Virtual Private Network (TLS) などのセキュアトンネルの使用が含まれていることを確認しますVPN。 IPSec	opensearch-node-to-node暗号化チェック	Amazon OpenSearch Service node-to-nodeの暗号化が有効になっていることを確認します。 Node-to-node 暗号化は、Amazon Virtual Private Cloud (Amazon ) TLS 内のすべての通信に対して 1.2 暗号化を有効にしますVPC。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
付録 5.5 (b)	外部ネットワーク接続のセキュリティコントロール server-to-serverに、(b) Transport Layer Security () や Virtual Private Network (TLS) などのセキュアトンネルの使用が含まれていることを確認しますVPN。 IPSec	redshift-require-tls-ssl	Amazon Redshift クラスターがSQLクライアントに接続するために TLS/SSL 暗号化を必要としていることを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
付録 5.5 (b)	外部ネットワーク接続のセキュリティコントロール server-to-serverに、(b) Transport Layer Security () や Virtual Private Network (TLS) などのセキュアトンネルの使用が含まれていることを確認しますVPN。 IPSec	s3-bucket-ssl-requests-only	転送中のデータを保護するために、Amazon Simple Storage Service (Amazon S3) バケットで Secure Socket Layer () を使用するリクエストが必要であることを確認してくださいSSL。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
付録 5.5 (c)	外部ネットワーク接続のセキュリティコントロール server-to-serverに、(c) ファイアウォールなどの適切な境界防御と保護を備えたステージングサーバーをデプロイIPSする、およびウイルス対策が含まれていることを確認します。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングおよび検出するのに役立ちます。これにはIPs、 AWS クラウド環境内の予期しないアクティビティ、許可されていないアクティビティ、悪意のあるアクティビティを識別するための悪意のあるアクティビティと機械学習のリストが含まれます。
付録 5.5 (c)	外部ネットワーク接続のセキュリティコントロール server-to-serverに、(c) ファイアウォールなどの適切な境界防御と保護を備えたステージングサーバーをデプロイIPSする、およびウイルス対策が含まれていることを確認します。	vpc-default-security-groupクローズ済み	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループは、 AWS リソースへの送受信ネットワークトラフィックをステートフルにフィルタリングすることで、ネットワークアクセスの管理に役立ちます。デフォルトのセキュリティグループ上のすべてのトラフィックを制限すると、 AWS リソースへのリモートアクセスを制限するのに役立ちます。
付録 5.5 (c)	外部ネットワーク接続のセキュリティコントロール server-to-serverに、(c) ファイアウォールなどの適切な境界防御と保護を備えたステージングサーバーをデプロイIPSする、およびウイルス対策が含まれていることを確認します。	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) セキュリティグループで共通ポートが制限されるようにすることで、クラウド内のリソースへのアクセスを管理します。信頼できるソースへのポートに対するアクセスを制限しないと、システムの可用性、完全性、機密性に対する攻撃を招く可能性があります。インターネットからのセキュリティグループ内のリソースへのアクセスを制限することで (0.0.0.0/0)、内部システムへのリモートアクセスをコントロールできます。
付録 5.6	サーバーへのリモートアクセスのセキュリティコントロールには、(a) 強化およびロックされたエンドポイントデバイスのみへのアクセスを制限する、(b) TLSや VPN などの安全なトンネルを使用するIPSec、(c) ファイアウォールやウイルスIPS対策などの適切な境界防御と保護を備えた「ゲートウェイ」サーバーをデプロイする、(d) リモートアクセスの有効期限が切れたらすぐに関連するポートを閉じる、などを含めます。	alb-http-to-https-redirection-check	転送中のデータを保護するために、Application Load Balancer が暗号化されていないHTTPリクエストを自動的ににリダイレクトすることを確認しますHTTPS。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
付録 5.6	サーバーへのリモートアクセスのセキュリティコントロールには、(a) 強化およびロックされたエンドポイントデバイスのみへのアクセスを制限する、(b) TLSや VPN などの安全なトンネルを使用するIPSec、(c) ファイアウォールやウイルスIPS対策などの適切な境界防御と保護を備えた「ゲートウェイ」サーバーをデプロイする、(d) リモートアクセスの有効期限が切れたらすぐに関連するポートを閉じる、などを含めます。	api-gw-ssl-enabled	Amazon API Gateway RESTAPIステージにSSL証明書が設定され、バックエンドシステムがリクエストが API Gateway から発信されたことを認証できるようにします。
付録 5.6	サーバーへのリモートアクセスのセキュリティコントロールには、(a) 強化およびロックされたエンドポイントデバイスのみへのアクセスを制限する、(b) TLSや VPN などの安全なトンネルを使用するIPSec、(c) ファイアウォールやウイルスIPS対策などの適切な境界防御と保護を備えた「ゲートウェイ」サーバーをデプロイする、(d) リモートアクセスの有効期限が切れたらすぐに関連するポートを閉じる、などを含めます。	opensearch-https-required	機密データが存在する可能性があるため、転送中のデータを保護するために、Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
付録 5.6	サーバーへのリモートアクセスのセキュリティコントロールには、(a) 強化およびロックされたエンドポイントデバイスのみへのアクセスを制限する、(b) TLSや VPN などの安全なトンネルを使用するIPSec、(c) ファイアウォールやウイルスIPS対策などの適切な境界防御と保護を備えた「ゲートウェイ」サーバーをデプロイする、(d) リモートアクセスの有効期限が切れたらすぐに関連するポートを閉じる、などを含めます。	redshift-require-tls-ssl	Amazon Redshift クラスターがSQLクライアントに接続するために TLS/SSL 暗号化を必要としていることを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
付録 5.6	サーバーへのリモートアクセスのセキュリティコントロールには、(a) 強化およびロックされたエンドポイントデバイスのみへのアクセスを制限する、(b) TLSや VPN などの安全なトンネルを使用するIPSec、(c) ファイアウォールやウイルスIPS対策などの適切な境界防御と保護を備えた「ゲートウェイ」サーバーをデプロイする、(d) リモートアクセスの有効期限が切れたらすぐに関連するポートを閉じる、などを含めます。	vpc-default-security-groupクローズ済み	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループは、 AWS リソースへの送受信ネットワークトラフィックをステートフルにフィルタリングすることで、ネットワークアクセスの管理に役立ちます。デフォルトのセキュリティグループ上のすべてのトラフィックを制限すると、 AWS リソースへのリモートアクセスを制限するのに役立ちます。
付録 5.6	サーバーへのリモートアクセスのセキュリティコントロールには、(a) 強化およびロックされたエンドポイントデバイスのみへのアクセスを制限する、(b) TLSや VPN などの安全なトンネルを使用するIPSec、(c) ファイアウォールやウイルスIPS対策などの適切な境界防御と保護を備えた「ゲートウェイ」サーバーをデプロイする、(d) リモートアクセスの有効期限が切れたらすぐに関連するポートを閉じる、などを含めます。	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) セキュリティグループで共通ポートが制限されるようにすることで、クラウド内のリソースへのアクセスを管理します。信頼できるソースへのポートに対するアクセスを制限しないと、システムの可用性、完全性、機密性に対する攻撃を招く可能性があります。インターネットからのセキュリティグループ内のリソースへのアクセスを制限することで (0.0.0.0/0)、内部システムへのリモートアクセスをコントロールできます。
付録 10 パート B - 1 (a)	金融機関は、堅牢なクラウドアーキテクチャを設計し、その設計が想定するアプリケーションに関連する国際規格に準拠していることを確認する必要があります。	account-part-of-organizations	AWS Organizations AWS アカウント内のを一元管理することで、アカウントが準拠していることを確認できます。アカウントの管理が一元化されていないと、アカウントの設定に一貫性がなくなり、リソースや機密データが流出する可能性があります。
付録 10 パート B - 1 (b)	金融機関は、「侵害を想定する」考え方を採用し、マイクロセグメンテーション、「」、deny-by-default「最小特権」のアクセス権を階層化し defense-in-depth、該当する場合は詳細な検査と継続的な検証を実施することで、ゼロトラストの原則を採用して、サイバーレジリエントなアーキテクチャを提供することが推奨されます。	alb-waf-enabled	ウェブアプリケーションを保護するために、Elastic Load Balancer (ELB) でが有効になっていることを確認します AWS WAF。は、ウェブアプリケーションや一般的なウェブの悪用APIsから保護するWAFのに役立ちます。これらのウェブの脆弱性は、お客様の環境で可用性に影響を与えたり、セキュリティを侵害したり、リソースを過剰に消費したりする可能性があります。
付録 10 パート B - 1 (b)	金融機関は、「侵害を想定する」考え方を採用し、マイクロセグメンテーション、「」、deny-by-default「最小特権」のアクセス権を階層化し defense-in-depth、該当する場合は詳細な検査と継続的な検証を実施することで、ゼロトラストの原則を採用して、サイバーレジリエントなアーキテクチャを提供することが推奨されます。	subnet-auto-assign-public-ip-disabled	Amazon Virtual Private AWS Cloud (VPC) サブネットにパブリック IP アドレスが自動的に割り当てられないようにすることで、クラウドへのアクセスを管理します。 Amazon Virtual Private Cloud この属性が有効になっているサブネットで起動される Amazon Elastic Compute Cloud (EC2) インスタンスには、プライマリネットワークインターフェイスにパブリック IP アドレスが割り当てられます。
付録 10 パート B - 1 (b)	金融機関は、「侵害を想定する」考え方を採用し、マイクロセグメンテーション、「」、deny-by-default「最小特権」のアクセス権を階層化し defense-in-depth、該当する場合は詳細な検査と継続的な検証を実施することで、ゼロトラストの原則を採用して、サイバーレジリエントなアーキテクチャを提供することが推奨されます。	vpc-default-security-groupクローズ済み	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループは、 AWS リソースへの送受信ネットワークトラフィックをステートフルにフィルタリングすることで、ネットワークアクセスの管理に役立ちます。デフォルトのセキュリティグループ上のすべてのトラフィックを制限すると、 AWS リソースへのリモートアクセスを制限するのに役立ちます。
付録 10 パート B - 1 (b)	金融機関は、「侵害を想定する」考え方を採用し、マイクロセグメンテーション、「」、deny-by-default「最小特権」のアクセス権を階層化し defense-in-depth、該当する場合は詳細な検査と継続的な検証を実施することで、ゼロトラストの原則を採用して、サイバーレジリエントなアーキテクチャを提供することが推奨されます。	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) セキュリティグループで共通ポートが制限されるようにすることで、クラウド内のリソースへのアクセスを管理します。信頼できるソースへのポートに対するアクセスを制限しないと、システムの可用性、完全性、機密性に対する攻撃を招く可能性があります。インターネットからのセキュリティグループ内のリソースへのアクセスを制限することで (0.0.0.0/0)、内部システムへのリモートアクセスをコントロールできます。
付録 10 パート B - 1 (c)	金融機関は、複雑なクラウドネットワーク環境の管理において、きめ細かなネットワークセキュリティと集中型ネットワークプロビジョニングを管理およびモニタリングするために、最新のネットワークアーキテクチャアプローチ、適切なネットワーク設計概念とソリューションを使用する必要があります。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングおよび検出するのに役立ちます。これにはIPs、 AWS クラウド環境内の予期しないアクティビティ、許可されていないアクティビティ、悪意のあるアクティビティを識別するための悪意のあるアクティビティと機械学習のリストが含まれます。
付録 10 パート B - 1 (c)	金融機関は、複雑なクラウドネットワーク環境の管理において、きめ細かなネットワークセキュリティと集中型ネットワークプロビジョニングを管理およびモニタリングするために、最新のネットワークアーキテクチャアプローチ、適切なネットワーク設計概念とソリューションを使用する必要があります。	vpc-flow-logs-enabled	VPC フローログは、Amazon Virtual Private Cloud (Amazon ) のネットワークインターフェイスとの間で送受信される IP トラフィックに関する詳細レコードを提供しますVPC。フローログレコードには、送信元、送信先、プロトコルなど、IP フローのさまざまなコンポーネントの値がデフォルトで含まれています。
付録 10 パート B - 1 (d)	金融機関は、物理サーバー、アプリケーション、またはデータをクラウドプラットフォームに移行するために、安全で暗号化された通信チャネルを確立し、利用する必要があります。	dms-replication-not-public	DMS レプリケーションインスタンスにパブリックにアクセスできないようにすることで、 AWS クラウドへのアクセスを管理します。 DMSレプリケーションインスタンスには機密情報が含まれている場合があり、そのようなアカウントにはアクセス制御が必要です。
付録 10 パート B - 1 (d)	金融機関は、物理サーバー、アプリケーション、またはデータをクラウドプラットフォームに移行するために、安全で暗号化された通信チャネルを確立し、利用する必要があります。	s3-bucket-ssl-requests-only	転送中のデータを保護するために、Amazon Simple Storage Service (Amazon S3) バケットで Secure Socket Layer () を使用するリクエストが必要であることを確認してくださいSSL。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
付録 10 パート B - 1 (f) i)	金融機関がアプリケーションプログラミングインターフェイス (API) を使用して外部アプリケーションサービスプロバイダーと相互接続するにつれて、新しいサービス配信の効率が向上する可能性があります。ただし、これによりサイバーアタックサーフェスが増加し、管理の誤りによって情報セキュリティインシデントの影響を増幅させる可能性があります。金融機関APIsは、以下を含む厳格な管理および制御メカニズムの対象であることを確認するAPIs必要があります。i) 単一障害点のリスクを回避するためにサービスの耐障害性を考慮して設計し、適切なアクセスコントロールを使用して安全に設定する必要があります。	api-gwv2-authorization-type-configured	Amazon API Gateway v2 APIルートに、基盤となるバックエンドリソースへの不正アクセスを防ぐための認可タイプが設定されていることを確認します。
付録 10 パート B - 1 (f) ii)	金融機関がアプリケーションプログラミングインターフェイス (API) を使用して外部アプリケーションサービスプロバイダーと相互接続するにつれて、新しいサービス配信の効率が向上する可能性があります。ただし、これによりサイバーアタックサーフェスが増加し、管理の誤りによって情報セキュリティインシデントの影響を増幅させる可能性があります。金融機関APIsは、以下を含む厳格な管理および制御メカニズムの対象であることを確認するAPIs必要があります。ii) 適切なインシデント対応対策を備えたサイバー攻撃に対して追跡および監視し、使用されなくなったら適時に廃止する必要があります。	api-gw-associated-with-waf	AWS WAF では、定義したカスタマイズ可能なウェブセキュリティルールと条件に基づいてウェブリクエストを許可、ブロック、またはカウントする一連のルール (ウェブアクセスコントロールリスト (ウェブ ACL) と呼ばれる) を設定できます。悪意のある攻撃から保護ACLするために、Amazon API Gateway ステージがWAFウェブに関連付けられていることを確認する
付録 10 パート B - 1 (f) ii)	金融機関がアプリケーションプログラミングインターフェイス (API) を使用して外部アプリケーションサービスプロバイダーと相互接続するにつれて、新しいサービス配信の効率が向上する可能性があります。ただし、これによりサイバーアタックサーフェスが増加し、管理の誤りによって情報セキュリティインシデントの影響を増幅させる可能性があります。金融機関APIsは、以下を含む厳格な管理および制御メカニズムの対象であることを確認するAPIs必要があります。ii) 適切なインシデント対応対策を備えたサイバー攻撃に対して追跡および監視し、使用されなくなったら適時に廃止する必要があります。	api-gw-execution-logging対応	API ゲートウェイのログ記録には、にアクセスしたユーザーの詳細なビューAPIと、へのアクセス方法が表示されますAPI。このインサイトにより、ユーザーアクティビティを可視化することができます。
付録 10 パート B - 2 (b) ii)	金融機関は、強化されたクラウド機能を継続的に活用してクラウドサービスのセキュリティを向上させる必要があります。また、金融機関にはとりわけ次をお勧めします。ii) サービスのデプロイに不変のインフラストラクチャプラクティスを使用し、最新の安定したバージョンのソフトウェアを使用した新しい環境を作成することにより障害のリスクを軽減します。クラウド環境で進行中のモニタリングには、コンプライアンスレビューを改善し、進化し続けるサイバー攻撃と戦うために、変更不可能なインフラストラクチャへの変更の検出を自動化することが含まれている必要があります。	cloudformation-stack-notification-check	基盤となる AWS リソースへの意図しない変更を検出するには、Amazon SNSトピックにイベント通知を送信するように CloudFormation スタックが設定されていることを確認します。
付録 10 パート B - 3 (b) vi)	金融機関は、仮想マシンとコンテナイメージが適切に設定、強化、モニタリングされていることを確認する必要があります。これには次が含まれます。vi) 保存されたイメージが、不正アクセスや変更によるセキュリティモニタリングの対象となります。	cloudtrail-security-trail-enabled	このルールは、複数の設定が有効になっていることをチェックすることで AWS CloudTrail、 AWS 推奨されるセキュリティのベストプラクティスを確実に使用するのに役立ちます。これには、ログ暗号化の使用、ログの検証、複数のリージョン AWS CloudTrail でのの有効化が含まれます。
付録 10 パート B - 5 (a) i)	効果的な復旧能力の一部として、金融機関は既存のバックアップと復旧の手順をクラウドサービスもカバーできるように拡張しておく必要があります。これには次が含まれます。i) クラウド導入の計画段階で、バックアップと復旧戦略を定義し、形式化する。	aurora-resources-protected-by-バックアップ計画	データのバックアッププロセスを支援するには、Amazon Aurora リソースが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
付録 10 パート B - 5 (a) i)	効果的な復旧能力の一部として、金融機関は既存のバックアップと復旧の手順をクラウドサービスもカバーできるように拡張しておく必要があります。これには次が含まれます。i) クラウド導入の計画段階で、バックアップと復旧戦略を定義し、形式化する。	dynamodb-resources-protected-by-バックアップ計画	データのバックアッププロセスを支援するために、Amazon DynamoDB リソースが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
付録 10 パート B - 5 (a) i)	効果的な復旧能力の一部として、金融機関は既存のバックアップと復旧の手順をクラウドサービスもカバーできるように拡張しておく必要があります。これには次が含まれます。i) クラウド導入の計画段階で、バックアップと復旧戦略を定義し、形式化する。	ebs-resources-protected-by-バックアップ計画	データのバックアッププロセスを支援するために、Amazon Elastic Block Store (Amazon EBS) リソースが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
付録 10 パート B - 5 (a) i)	効果的な復旧能力の一部として、金融機関は既存のバックアップと復旧の手順をクラウドサービスもカバーできるように拡張しておく必要があります。これには次が含まれます。i) クラウド導入の計画段階で、バックアップと復旧戦略を定義し、形式化する。	efs-resources-protected-by-バックアップ計画	データのバックアッププロセスを支援するために、Amazon Elastic File System (Amazon EFS) ファイルシステムが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
付録 10 パート B - 5 (a) i)	効果的な復旧能力の一部として、金融機関は既存のバックアップと復旧の手順をクラウドサービスもカバーできるように拡張しておく必要があります。これには次が含まれます。i) クラウド導入の計画段階で、バックアップと復旧戦略を定義し、形式化する。	rds-resources-protected-by-バックアップ計画	データのバックアッププロセスを支援するために、Amazon Relational Database Service (Amazon RDS) リソースが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
付録 10 パート B - 5 (a) i)	効果的な復旧能力の一部として、金融機関は既存のバックアップと復旧の手順をクラウドサービスもカバーできるように拡張しておく必要があります。これには次が含まれます。i) クラウド導入の計画段階で、バックアップと復旧戦略を定義し、形式化する。	s3resources-protected-by-backup--plan	データのバックアッププロセスを支援するために、Amazon Simple Storage Service (S3) バケットが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
付録 10 パート B - 5 (b)	金融機関は、バックアップと復元の手順を定期的にテストして、復旧機能を検証する必要があります。バックアップ手順の頻度は、システムの重要度とシステムの目標復旧時点 (RPO) に比例する必要があります。バックアップに失敗した場合、金融機関は迅速に是正措置を実行する必要があります。	backup-plan-min-frequency-and-min-retention-check	データのバックアッププロセスを支援するために、 AWS バックアッププランが最小頻度と保持期間に設定されていることを確認します。 AWS バックアップは、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。このルールでは、 requiredFrequencyValue (Config のデフォルト: 1)、 requiredRetentionDays (Config のデフォルト: 35)、 requiredFrequencyUnit および (Config のデフォルト: 日数) パラメータを設定できます。実際の値には、組織の要件を反映する必要があります。
付録 10 パート B - 5 (c) i)	金融機関は、バックアップ設定 (該当する場合、IaaS および PaaS 用) を含む仮想マシンとコンテナの十分なバックアップとリカバリを確保する必要があります。これには、i) ビジネス復旧目標で指定されたとおりに、で point-in-time仮想マシンとコンテナを復元する機能を確保します。	backup-plan-min-frequency-and-min-retention-check	データのバックアッププロセスを支援するために、 AWS バックアッププランが最小頻度と保持期間に設定されていることを確認します。 AWS バックアップは、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。このルールでは、 requiredFrequencyValue (Config のデフォルト: 1)、 requiredRetentionDays (Config のデフォルト: 35)、 requiredFrequencyUnit および (Config のデフォルト: 日数) パラメータを設定できます。実際の値には、組織の要件を反映する必要があります。
付録 10 パート B - 5 (d) i)	金融機関は、クラウドサービスの耐障害性要件を評価し、システムの重大性に見合った適切な措置を特定して、極端に有害なシナリオでもサービスの可用性を確保する必要があります。金融機関は、サービスの可用性を確保し、集中リスクを軽減するために、リスクベースのアプローチを検討し、適切な緩和策を段階的に採用する必要があります。実行可能なオプションとしては、クラウドサービスの高可用性と冗長性を活用して、運用データセンターのキャパシティを異なるアベイラビリティーゾーンで確実に冗長化できるようにすることなどが挙げられます。	autoscaling-multiple-az	高可用性を確保するには、Auto Scaling グループが複数のアベイラビリティーゾーンの範囲にまたがって設定されていることを確認します。
付録 10 パート B - 5 (d) i)	金融機関は、クラウドサービスの耐障害性要件を評価し、システムの重大性に見合った適切な措置を特定して、極端に有害なシナリオでもサービスの可用性を確保する必要があります。金融機関は、サービスの可用性を確保し、集中リスクを軽減するために、リスクベースのアプローチを検討し、適切な緩和策を段階的に採用する必要があります。実行可能なオプションとしては、クラウドサービスの高可用性と冗長性を活用して、運用データセンターのキャパシティを異なるアベイラビリティーゾーンで確実に冗長化できるようにすることなどが挙げられます。	elbv2-multiple-az	Elastic Load Balancing (ELB) は、アベイラビリティーゾーン内のEC2インスタンス、コンテナ、IP アドレスなど、複数のターゲットに受信トラフィックを自動的に分散します。高可用性を確保するには、 ELBが複数のアベイラビリティーゾーンからインスタンスを登録していることを確認します。
付録 10 パート B - 5 (d) i)	金融機関は、クラウドサービスの耐障害性要件を評価し、システムの重大性に見合った適切な措置を特定して、極端に有害なシナリオでもサービスの可用性を確保する必要があります。金融機関は、サービスの可用性を確保し、集中リスクを軽減するために、リスクベースのアプローチを検討し、適切な緩和策を段階的に採用する必要があります。実行可能なオプションとしては、クラウドサービスの高可用性と冗長性を活用して、運用データセンターのキャパシティを異なるアベイラビリティーゾーンで確実に冗長化できるようにすることなどが挙げられます。	lambda-vpc-multi-az- チェック	AWS Lambda 関数がアカウントの仮想プライベートクラウド (VPC) に接続するように設定されている場合は、Lambda AWS 関数を少なくとも 2 つの異なるアベイラビリティーゾーンにデプロイして、単一のゾーンでサービスが中断された場合に関数がイベントを処理できるようにします。
付録 10 パート B - 5 (d) i)	金融機関は、クラウドサービスの耐障害性要件を評価し、システムの重大性に見合った適切な措置を特定して、極端に有害なシナリオでもサービスの可用性を確保する必要があります。金融機関は、サービスの可用性を確保し、集中リスクを軽減するために、リスクベースのアプローチを検討し、適切な緩和策を段階的に採用する必要があります。実行可能なオプションとしては、クラウドサービスの高可用性と冗長性を活用して、運用データセンターのキャパシティを異なるアベイラビリティーゾーンで確実に冗長化できるようにすることなどが挙げられます。	nlb-cross-zone-load- バランシングが有効	適切な容量と可用性を維持するために、 NetworkLoad バランサー (NLBs) のクロスゾーン負荷分散を有効にします。クロスゾーン負荷分散により、有効な各アベイラビリティーゾーンで同じインスタンス数を維持する必要性が軽減されます。また、1 つ以上のインスタンスの消失を処理するアプリケーションの能力が向上します。
付録 10 パート B - 5 (d) i)	金融機関は、クラウドサービスの耐障害性要件を評価し、システムの重大性に見合った適切な措置を特定して、極端に有害なシナリオでもサービスの可用性を確保する必要があります。金融機関は、サービスの可用性を確保し、集中リスクを軽減するために、リスクベースのアプローチを検討し、適切な緩和策を段階的に採用する必要があります。実行可能なオプションとしては、クラウドサービスの高可用性と冗長性を活用して、運用データセンターのキャパシティを異なるアベイラビリティーゾーンで確実に冗長化できるようにすることなどが挙げられます。	rds-cluster-multi-az対応	Amazon Relational Database Service (Amazon RDS) クラスターでは、マルチ AZ レプリケーションを有効にして、保存されるデータの可用性を高める必要があります。各アベイラビリティーゾーンは、物理的に独立した独自のインフラストラクチャで実行されますが、高度な信頼性を実現できるよう設計されています。インフラストラクチャに障害が発生した場合、Amazon はスタンバイへの自動フェイルオーバーRDSを実行するため、フェイルオーバーが完了するとすぐにデータベースオペレーションを再開できます。
付録 10 パート B - 5 (d) i)	金融機関は、クラウドサービスの耐障害性要件を評価し、システムの重大性に見合った適切な措置を特定して、極端に有害なシナリオでもサービスの可用性を確保する必要があります。金融機関は、サービスの可用性を確保し、集中リスクを軽減するために、リスクベースのアプローチを検討し、適切な緩和策を段階的に採用する必要があります。実行可能なオプションとしては、クラウドサービスの高可用性と冗長性を活用して、運用データセンターのキャパシティを異なるアベイラビリティーゾーンで確実に冗長化できるようにすることなどが挙げられます。	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) でのマルチ AZ サポートにより、データベースインスタンスの可用性と耐久性が向上します。マルチ AZ データベースインスタンスをプロビジョニングすると、Amazon RDSは自動的にプライマリデータベースインスタンスを作成し、データを別のアベイラビリティーゾーンのスタンバイインスタンスに同期的にレプリケートします。各アベイラビリティーゾーンは、物理的に独立した独自のインフラストラクチャで実行されますが、高度な信頼性を実現できるよう設計されています。インフラストラクチャに障害が発生した場合、Amazon はスタンバイへの自動フェイルオーバーRDSを実行するため、フェイルオーバーが完了するとすぐにデータベースオペレーションを再開できます。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	api-gw-cache-enabled暗号化済み	保管中のデータを保護するため、APIゲートウェイステージのキャッシュで暗号化が有効になっていることを確認します。API メソッドでは機密データをキャプチャできるため、保管時の暗号化を有効にしてデータを保護します。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	backup-recovery-point-encrypted	AWS Backup リカバリポイントで暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	cloudtrail-security-trail-enabled	このルールは、複数の設定が有効になっていることをチェックすることで AWS CloudTrail、 AWS 推奨されるセキュリティのベストプラクティスを確実に使用するのに役立ちます。これには、ログ暗号化の使用、ログの検証、複数のリージョン AWS CloudTrail でのの有効化が含まれます。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	cloudwatch-log-group-encrypted	保管中の機密データを保護するために、Amazon CloudWatch Log Groups で暗号化が有効になっていることを確認します。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	dynamodb-table-encrypted-kms	Amazon DynamoDB テーブルで、暗号化が有効になっていることを確認します。これらのテーブルには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。デフォルトでは、DynamoDB テーブルは AWS が所有するカスタマーマスターキー () で暗号化されますCMK。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	EC2-ebs-encryption-by-default	保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	efs-encrypted-check	機密データが存在する可能性があるため、保管中のデータを保護するために、Amazon Elastic File System () で暗号化が有効になっていることを確認しますEFS。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	eks-secrets-encrypted	保管中のデータを保護するため、Amazon Elastic Kubernetes Service (EKS) クラスターが Kubernetes シークレットを暗号化するように設定されていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	encrypted-volumes	機密データが存在する可能性があるため、保管中のデータを保護するために、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	opensearch-encrypted-at-rest	機密データが存在する可能性があるため、保管中のデータを保護するために、Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認します。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	rds-snapshot-encrypted	Amazon Relational Database Service (Amazon RDS) スナップショットで暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	redshift-cluster-kms-enabled	保管中のデータを保護するため、Amazon Redshift クラスターで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。Redshift クラスターには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	s3-default-encryption-kms	Amazon Simple Storage Service (Amazon S3) バケットで、暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、保管中のデータの暗号化を有効にしてデータを保護します。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	secretsmanager-using-cmk	保管中のデータを保護するため、Secrets Manager シー AWS クレットに対して AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。保管中の Secrets Manager のシークレットに機密データが存在する可能性があるため、保管時の暗号化を有効にしてデータを保護します。
付録 10 パート B - 8 (a)	金融機関は、クラウドに保存されている機密データの機密性と整合性を保護するために、適切で関連する暗号化技術を実装する必要があります。	sns-encrypted-kms	保管中のデータを保護するために、Amazon Simple Notification Service (Amazon SNS) トピックで AWS Key Management Service () を使用した暗号化が必要であることを確認してくださいAWS KMS。公開されたメッセージには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
付録 10 パート B - 8 (d)	クラウドの採用が増加するにつれて、データ保護に使用される多くの暗号化キーの管理がより複雑になり、金融機関にとって新しい課題を生む場合があります。金融機関は、キーの生成、保管、配布を安全かつスケーラブルな方法で処理できる一元化されたキー管理システムの使用など、キー管理のために包括的で一元的な手法を採用する必要があります。	cmk-backing-key-rotation対応	キーのローテーションを有効にして、暗号化期間の最後に到達した後にキーがローテーションされるようにします。
付録 10 パート B - 8 (d)	クラウドの採用が増加するにつれて、データ保護に使用される多くの暗号化キーの管理がより複雑になり、金融機関にとって新しい課題を生む場合があります。金融機関は、キーの生成、保管、配布を安全かつスケーラブルな方法で処理できる一元化されたキー管理システムの使用など、キー管理のために包括的で一元的な手法を採用する必要があります。	kms-cmk-not-scheduled削除対象	保管中のデータを保護するため、必要なカスタマーマスターキー (CMKs) が AWS Key Management Service () で削除されないようにしますAWS KMS。キーの削除が必要になる場合があるため、このルールでは、キーが意図せずスケジュールされた場合に備えて、削除予定のすべてのキーをチェックすることができます。
付録 10 パート B - 9 (a) ii)	管理プレーンは、従来のインフラストラクチャとデフォルトでリモートアクセスがサポートされているクラウドコンピューティングとのセキュリティ上の主な違いです。このアクセスレイヤーはサイバー攻撃を受けやすいため、全体的なクラウドデプロイの整合性が損なわれる可能性があります。これを考慮して、金融機関は、以下を含む管理プレーンへのアクセスに対する強力なコントロールを確実に使用する必要があります。ii) 強力なパスワード、ソフトトークン、特権アクセス管理ツール、メーカーチェッカー機能などの「最小特権」と強力な多要素認証 (MFA) を実装する。	iam-password-policy	ID と認証情報は、組織のIAMパスワードポリシーに基づいて発行、管理、検証されます。NIST SP 800-63 およびパスワード強度に関する AWS Foundational Security Best Practices 標準に記載されている要件を満たしているか、上回っています。このルールでは、オプションでIAMパスワードポリシーに RequireUppercaseCharacters （AWS Foundational Security Best Practices 値: true)、 RequireLowercaseCharacters （AWS Foundational Security Best Practices 値: true) RequireSymbols 、（AWS Foundational Security Best Practices 値: true) RequireNumbers 、（AWS Foundational Security Best Practices 値: true) MinimumPasswordLength 、（AWS Foundational Security Best Practices 値: 14) PasswordReusePrevention 、（AWS Foundational Security Best Practices 値: 24)、および MaxPasswordAge （AWS Foundational Security Best Practices 値: 90) を設定できます。実際の値には、組織のポリシーを反映する必要があります。
付録 10 パート B - 9 (a) ii)	管理プレーンは、従来のインフラストラクチャとデフォルトでリモートアクセスがサポートされているクラウドコンピューティングとのセキュリティ上の主な違いです。このアクセスレイヤーはサイバー攻撃を受けやすいため、全体的なクラウドデプロイの整合性が損なわれる可能性があります。これを考慮して、金融機関は、以下を含む管理プレーンへのアクセスに対する強力なコントロールを確実に使用する必要があります。ii) 強力なパスワード、ソフトトークン、特権アクセス管理ツール、メーカーチェッカー機能などの「最小特権」と強力な多要素認証 (MFA) を実装する。	iam-user-mfa-enabled	AWS クラウド内のリソースへのアクセスを制限するには、このルールを有効にします。このルールにより、すべてのIAMユーザーに対して多要素認証 (MFA) が有効になります。は、ユーザー名とパスワードの上に追加の保護レイヤーMFAを追加します。IAM ユーザーにを要求することで、侵害されたアカウントのインシデントを減らしMFAます。
付録 10 パート B - 9 (a) ii)	管理プレーンは、従来のインフラストラクチャとデフォルトでリモートアクセスがサポートされているクラウドコンピューティングとのセキュリティ上の主な違いです。このアクセスレイヤーはサイバー攻撃を受けやすいため、全体的なクラウドデプロイの整合性が損なわれる可能性があります。これを考慮して、金融機関は、以下を含む管理プレーンへのアクセスに対する強力なコントロールを確実に使用する必要があります。ii) 強力なパスワード、ソフトトークン、特権アクセス管理ツール、メーカーチェッカー機能などの「最小特権」と強力な多要素認証 (MFA) を実装する。	root-account-hardware-mfa対応	ルートユーザーに対してハードウェアMFAが有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。は、ユーザー名とパスワードの保護レイヤーMFAを追加します。ルートユーザーに MFAを要求することで、侵害されるインシデントを減らすことができます AWS アカウント。
付録 10 パート B - 9 (a) ii)	管理プレーンは、従来のインフラストラクチャとデフォルトでリモートアクセスがサポートされているクラウドコンピューティングとのセキュリティ上の主な違いです。このアクセスレイヤーはサイバー攻撃を受けやすいため、全体的なクラウドデプロイの整合性が損なわれる可能性があります。これを考慮して、金融機関は、以下を含む管理プレーンへのアクセスに対する強力なコントロールを確実に使用する必要があります。ii) 強力なパスワード、ソフトトークン、特権アクセス管理ツール、メーカーチェッカー機能などの「最小特権」と強力な多要素認証 (MFA) を実装する。	root-account-mfa-enabled	ルートユーザーに対して MFAが有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。は、ユーザー名とパスワードの保護レイヤーMFAを追加します。ルートユーザーに MFAを要求することで、侵害されるインシデントを減らすことができます AWS アカウント。
付録 10 パート B - 9 (a) iii)	管理プレーンは、従来のインフラストラクチャとデフォルトでリモートアクセスがサポートされているクラウドコンピューティングとのセキュリティ上の主な違いです。このアクセスレイヤーはサイバー攻撃を受けやすいため、全体的なクラウドデプロイの整合性が損なわれる可能性があります。このことから、金融機関は、次を含め、管理プレーンへのアクセスに対する強力な制御を確認する必要があります。iii) 特権のあるユーザーにはきめ細かい使用権限の割り当てを採用します。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) は、最小特権と職務分離の原則をアクセス許可と認可に組み込み、ポリシーに「Resource」：「」ではなく「Action」：「」の「Effect」：「Allow」を含めることを制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
付録 10 パート B - 9 (a) iii)	管理プレーンは、従来のインフラストラクチャとデフォルトでリモートアクセスがサポートされているクラウドコンピューティングとのセキュリティ上の主な違いです。このアクセスレイヤーはサイバー攻撃を受けやすいため、全体的なクラウドデプロイの整合性が損なわれる可能性があります。このことから、金融機関は、次を含め、管理プレーンへのアクセスに対する強力な制御を確認する必要があります。iii) 特権のあるユーザーにはきめ細かい使用権限の割り当てを採用します。	iam-user-no-policies- チェック	このルールにより、 AWS Identity and Access Management (IAM) ポリシーは、システムおよびアセットへのアクセスを制御するために、グループまたはロールにのみアタッチされます。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
付録 10 パート B - 9 (a) iv)	管理プレーンは、従来のインフラストラクチャとデフォルトでリモートアクセスがサポートされているクラウドコンピューティングとのセキュリティ上の主な違いです。このアクセスレイヤーはサイバー攻撃を受けやすいため、全体的なクラウドデプロイの整合性が損なわれる可能性があります。このことから、金融機関は、次を含め、管理プレーンへのアクセスに対する強力な制御を確認する必要があります。iv) 特権のあるユーザーが実行するアクティビティへの継続的なモニタリングを実施すること。	cloudtrail-security-trail-enabled	このルールは、複数の設定が有効になっていることをチェックすることで AWS CloudTrail、 AWS 推奨されるセキュリティのベストプラクティスを確実に使用するのに役立ちます。これには、ログ暗号化の使用、ログの検証、複数のリージョン AWS CloudTrail でのの有効化が含まれます。
付録 10 パート B - 9 (a) iv)	管理プレーンは、従来のインフラストラクチャとデフォルトでリモートアクセスがサポートされているクラウドコンピューティングとのセキュリティ上の主な違いです。このアクセスレイヤーはサイバー攻撃を受けやすいため、全体的なクラウドデプロイの整合性が損なわれる可能性があります。このことから、金融機関は、次を含め、管理プレーンへのアクセスに対する強力な制御を確認する必要があります。iv) 特権のあるユーザーが実行するアクティビティへの継続的なモニタリングを実施すること。	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch を使用して、ログイベントアクティビティを一元的に収集および管理します。 AWS CloudTrail データを含めると、内のAPI通話アクティビティの詳細が表示されます AWS アカウント。
付録 10 パート B - 12 (a)	金融機関は、このポリシードキュメントの「データ損失防止」セクション (パラグラフ 11.14～11.16) で要求されているとおりに、クラウドサービスでホストされているデータを保護する必要があります。これには、金融機関がスタッフに自分のデバイスを使用して機密データにアクセスすることを許可した場合のエンドポイントフットプリントの拡大も含まれます。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングおよび検出するのに役立ちます。これにはIPs、 AWS クラウド環境内の予期しないアクティビティ、許可されていないアクティビティ、悪意のあるアクティビティを識別するための悪意のあるアクティビティと機械学習のリストが含まれます。
付録 10 パート B - 12 (a)	金融機関は、このポリシードキュメントの「データ損失防止」セクション (パラグラフ 11.14～11.16) で要求されているとおりに、クラウドサービスでホストされているデータを保護する必要があります。これには、金融機関がスタッフに自分のデバイスを使用して機密データにアクセスすることを許可した場合のエンドポイントフットプリントの拡大も含まれます。	macie-status-check	Amazon Macie は、機械学習 (ML) とパターンマッチングを使用して、Amazon Simple Storage Service (Amazon S3) バケットに保存されている機密データを検出し、保護するのに役立つデータセキュリティサービスです。
付録 10 パート B - 14 (c) i)	金融機関は、の開発において、次の追加の対策を検討する必要がありますCIRP。i) セキュリティ違反インシデントを検出する能力を強化し、ダークウェブ上のデータ漏洩を検出する能力など、効果的なインシデント管理を実現する。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングおよび検出するのに役立ちます。これにはIPs、 AWS クラウド環境内の予期しないアクティビティ、許可されていないアクティビティ、悪意のあるアクティビティを識別するための悪意のあるアクティビティと機械学習のリストが含まれます。
付録 10 パート B - 14 (c) i)	金融機関は、の開発において、次の追加の対策を検討する必要がありますCIRP。i) セキュリティ違反インシデントを検出する能力を強化し、ダークウェブ上のデータ漏洩を検出する能力など、効果的なインシデント管理を実現する。	guardduty-non-archived-findings	Amazon GuardDuty は、調査結果を重要度: 低、中、高で分類することで、インシデントの影響を理解するのに役立ちます。これらの分類を使用して、修復戦略と優先度を決定することができます。このルールでは、必要に応じて、アーカイブされていない検出結果の daysLowSev (Config デフォルト: 30)、 daysMediumSev (Config デフォルト: 7)、および daysHighSev (Config デフォルト: 1) を、組織のポリシーで必要とされるとおりに設定できます。

テンプレート

テンプレートは、「の運用上のベストプラクティス GitHub」で入手できます。 BNM RMiT

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

BCP と DR に関する運用上のベストプラクティス

カナダサイバーセキュリティセンター (CCCS) 中規模クラウド制御プロファイルに関する運用面のベストプラクティス