翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
グラムリーチブライリー法 (GLBA) に関する運用上のベストプラクティス
コンフォーマンスパックは、 マネージドルールまたはカスタム AWS Config ルールと AWS Config 修復アクションを使用して、セキュリティ、運用、またはコスト最適化のガバナンスチェックを作成できるように設計された汎用コンプライアンスフレームワークを提供します。サンプルテンプレートとしてのコンフォーマンスパックは、特定のガバナンスまたはコンプライアンス基準を準拠するようには設計されていません。お客様は、本サービスの利用が該当する法的要件および規制要件を満たしているかどうかについて、お客様自身で評価する責任を負います。
グラムリーチブライリー法 (GLBA) と AWS 管理の Config ルールのマッピングの例を次に示します。各 Config ルールは特定の AWS リソースに適用され、1 つ以上の GLBA コントロールに関連付けられます。GLBA によるコントロールを、複数の Config ルールに関連付けることができます。これらのマッピングに関する詳細およびガイダンスについては、以下の表を参照してください。
| コントロール ID | コントロールの概要 | AWS 設定ルール | ガイダンス |
|---|---|---|---|
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | DMS レプリケーションインスタンスにパブリックにアクセスできないようにすることで、 AWS クラウドへのアクセスを管理します。DMS レプリケーションインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | EBS スナップショットをパブリックに復元できないようにすることで、 AWS クラウドへのアクセスを管理します。EBS ボリュームスナップショットには機密情報が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon Elastic Compute AWS Cloud (Amazon EC2) インスタンスにパブリックにアクセスできないようにすることで、 クラウドへのアクセスを管理します。Amazon EC2 インスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon OpenSearch Service (OpenSearch Service) ドメインが Amazon Virtual Private AWS Cloud (Amazon VPC) 内にあることを確認して、 クラウドへのアクセスを管理します。 Amazon Virtual Private Cloud Amazon VPC 内の OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイスや VPN 接続なしで、OpenSearch Service と他のサービス間に Amazon VPC 内で安全な通信ができるようになります。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon EMR クラスターのマスターノードにパブリックにアクセスできないようにすることで、 AWS クラウドへのアクセスを管理します。Amazon EMR クラスターのマスターノードには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon Virtual Private Cloud (Amazon VPC) 内に Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを展開し、Amazon VPC 内でのインスタンスとサービス間の安全な通信を、インターネットゲートウェイ、NAT デバイス、VPN 接続を必要とせず可能にします。すべてのトラフィックは AWS クラウド内に安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。Amazon EC2 インスタンスを Amazon VPC に割り当て、アクセスを適切に管理します。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | インターネットゲートウェイが承認された Amazon Virtual Private AWS Cloud (Amazon VPC) にのみアタッチされるようにすることで、 クラウド内のリソースへのアクセスを管理します。 Amazon Virtual Private Cloud インターネットゲートウェイは、Amazon VPC との間の双方向インターネットアクセスを可能にしますが、これにより Amazon VPC リソースへの不正アクセスが発生する可能性があります。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | AWS Lambda 関数にパブリックにアクセスできないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。パブリックアクセスにより、リソースの可用性の低下を招く可能性があります。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon Virtual Private Cloud (Amazon VPC) 内に AWS Lambda 関数をデプロイして、関数と Amazon VPC 内の他のサービス間の安全な通信を実現します。この設定では、インターネットゲートウェイ、NAT デバイス、VPN 接続を使用する必要はありません。すべてのトラフィックは AWS クラウド内に安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。アクセスを適切に管理するには、 AWS Lambda 関数を VPC に割り当てる必要があります。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon Relational Database Service (Amazon RDS) インスタンスが公開されていないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon Relational Database Service (Amazon RDS) インスタンスが公開されていないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報と原則が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon Redshift クラスターが公開されていないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon Simple Storage Service (Amazon S3) バケットにパブリックにアクセスできないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。このルールは、パブリックアクセスを防止することで、権限のないリモートユーザーから機密データを保護するのに役立ちます。このルールでは、ignorePublicAcls (Config デフォルト: True)、blockPublicPolicy (Config デフォルト: True)、blockPublicAcls (Config デフォルト: True)、および restrictPublicBuckets (Config デフォルト: True) の各パラメータを必要に応じて設定できます。実際の値には、組織のポリシーを反映する必要があります。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon Simple Storage Service (Amazon S3) バケットへのアクセスを許可されたユーザー、プロセス、デバイスのみに許可することで、 AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon SageMaker ノートブックが直接インターネットアクセスを許可しないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。インターネットからの直接アクセスを防止することで、権限のないユーザーが機密データにアクセスするのを防ぐことができます。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | パブリック IP アドレスを使用してネットワークインターフェイスを設定すると、それらのネットワークインターフェイスに関連付けられたリソースにインターネットからアクセスできます。EC2 リソースが、アプリケーションやサーバーへの意図しないアクセスを許可する可能性があるため、パブリックにアクセスできないようにする必要があります。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon Simple Storage Service (Amazon S3) バケットにパブリックにアクセスできないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。このルールでは、バケットレベルでのパブリックアクセスを防止することで、権限のないリモートユーザーから機密データを保護します。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon Simple Storage Service (Amazon S3) バケットへのアクセスを許可されたユーザー、プロセス、デバイスのみに許可することで、 AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | AWS Systems Manager (SSM) ドキュメントが公開されていないことを確認します。これにより、SSM ドキュメントへの意図しないアクセスが許可される可能性があります。パブリック SSM ドキュメントにより、お客様のアカウント、リソース、内部プロセスに関する情報が公開される可能性があります。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon Virtual Private AWS Cloud (VPC) サブネットにパブリック IP アドレスが自動的に割り当てられないようにすることで、 クラウドへのアクセスを管理します。 Amazon Virtual Private Cloud この属性が有効になっているサブネットで起動される Amazon Elastic Compute Cloud (EC2) インスタンスでは、プライマリネットワークインターフェイスにパブリック IP アドレスが割り当てられています。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon Elastic Compute AWS Cloud (Amazon EC2) セキュリティグループで共通ポートが制限されるようにすることで、 クラウド内のリソースへのアクセスを管理します。信頼できるソースへのポートに対するアクセスを制限しないと、システムの可用性、完全性、機密性に対する攻撃を招く可能性があります。インターネットからのセキュリティグループ内のリソースへのアクセスを制限することで (0.0.0.0/0)、内部システムへのリモートアクセスをコントロールできます。 | |
| GLBA-SEC.501(b) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない | Amazon OpenSearch Service ドメインが Amazon Virtual Private AWS Cloud (Amazon VPC) 内にあることを確認して、 クラウドへのアクセスを管理します。 Amazon Virtual Private Cloud Amazon VPC 内の Amazon OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイス、そして VPN 接続を必要とせずに、Amazon OpenSearch と Amazon VPC 内にある他のサービスの間での安全な通信が可能になります。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 保管中のデータを保護するため、API Gateway ステージのキャッシュで暗号化が有効になっていることを確認します。機密データは API のメソッドでキャプチャされる可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 機密データが存在する可能性があるため、保管中のデータを保護するために、 AWS CloudTrail 証跡で暗号化が有効になっていることを確認します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 保管中の機密データを保護するため、Amazon CloudWatch ロググループで暗号化が有効になっていることを確認します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic File System (EFS) で暗号化が有効になっていることを確認します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service (OpenSearch Service) ドメインで暗号化が有効になっていることを確認します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDS インスタンスには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、clusterDbEncrypted (Config デフォルト: TRUE) と loggingEnabled (Config デフォルト:TRUE) の値が設定されている必要があります。実際の値には、組織のポリシーを反映する必要があります。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 保管中のデータを保護するため、SageMaker エンドポイントで Key Management Service (AWS KMS) による AWS 暗号化が有効になっていることを確認します。SageMaker エンドポイントには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 保管中のデータを保護するため、SageMaker ノートブックで Key Management Service (AWS KMS) による AWS 暗号化が有効になっていることを確認します。SageMaker ノートブックには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 保管中のデータを保護するために、Amazon Simple Notification Service (Amazon SNS) トピックで Key Management Service (AWS KMS) を使用した AWS 暗号化が必要であることを確認してください。公開されたメッセージには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | Amazon DynamoDB テーブルで、暗号化が有効になっていることを確認します。これらのテーブルには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。デフォルトでは、DynamoDB テーブルは AWS 所有のカスタマーマスターキー (CMK) で暗号化されます。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | Amazon Relational Database Service (Amazon RDS) スナップショットで、暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | Amazon Simple Storage Service (Amazon S3) バケットで、暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、保管中のデータの暗号化を有効にしてデータを保護します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | AWS Backup 復旧ポイントで暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 保管中の機密データを保護するために、Amazon S3 に保存されている AWS CodeBuild ログに対して暗号化が有効になっていることを確認します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 保管中の機密データを保護するために、 AWS CodeBuild アーティファクトの暗号化が有効になっていることを確認します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。 | |
| GLBA-SEC.501(b)(1) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(1) 顧客の記録および情報のセキュリティと機密性を確保する。 | 機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Kinesis Streams で暗号化が有効になっていることを確認します。 | |
| GLBA-SEC.501(b)(2) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(2) それらの記録のセキュリティまたは完全性に対する予測される脅威または危険から保護する。 | Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、 AWS クラウド環境内の予期しないアクティビティ、不正なアクティビティ、悪意のあるアクティビティを識別するための悪意のある IPs と機械学習のリストが含まれます。 | |
| GLBA-SEC.501(b)(2) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(2) それらの記録のセキュリティまたは完全性に対する予測される脅威または危険から保護する。 | AWS Security Hub は、権限のない担当者、接続、デバイス、ソフトウェアをモニタリングするのに役立ちます。 AWS Security Hub は、複数の AWS サービスからセキュリティアラートや検出結果を集約、整理、優先順位付けします。このようなサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer、 AWS Firewall Manager、 AWS パートナーソリューションなどがあります。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | このルールにより、 AWS Secrets Manager のシークレットでローテーションが有効になります。シークレットを定期的にローテーションすることで、シークレットがアクティブになる期間が短縮され、シークレットが侵害された場合のビジネスへの影響が軽減される可能性があります。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | 組織のポリシーが指定した通り IAM アクセスキーがローテーションされるようにすることで、認可されたデバイス、ユーザー、プロセスについての認証情報が監査されます。アクセスキーを定期的に変更することが、セキュリティのベストプラクティスです。これにより、アクセスキーがアクティブになっている期間が短縮され、キーが侵害された場合のビジネスへの影響を軽減できます。このルールでは、アクセスキーの更新の値が必要です (Config デフォルト: 90)。実際の値には、組織のポリシーを反映する必要があります。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | AWS Identity and Access Management (IAM) は、IAM グループに少なくとも 1 人のユーザーがいるようにすることで、最小特権と職務分離の原則をアクセス許可と認可に組み込むのに役立ちます。関連するアクセス許可や職務に基づいてユーザーをグループに配置することは、最小特権を組み込む方法の 1 つです。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | ID と認証情報は、組織の IAM パスワードポリシーに基づいて発行、管理、検証されます。これらは、NIST SP 800-63 およびパスワード強度に関する AWS Foundational Security Best Practices 標準に記載されている要件を満たしています。このルールでは、オプションで RequireUppercaseCharacters (AWS Foundational Security Best Practices 値： true)、 RequireLowercaseCharacters (AWS 基本的なセキュリティのベストプラクティス値： true)、 RequireSymbols (AWS 基礎セキュリティのベストプラクティス値： true)、 RequireNumbers (AWS 基礎セキュリティのベストプラクティス値： true)、 MinimumPasswordLength (AWS 基本的なセキュリティのベストプラクティス値： 14)、 PasswordReusePrevention (AWS 基本的なセキュリティのベストプラクティス値： 24)、 および MaxPasswordAge (AWS 基礎セキュリティのベストプラクティス値： 90)。実際の値には、組織のポリシーを反映する必要があります。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | AWS Identity and Access Management (IAM) は、最小特権と職務分離の原則をアクセス許可と認可に組み込み、ポリシーに「Resource」：「*」ではなく「Effect」：「Allow」を「Action」：「*」と含めないように制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーがないことを確認することで、システムとアセットへのアクセスを制御できます。root アクセスキーが削除されていることを確認します。代わりに、最小機能の原則を組み込むのに役立つ AWS アカウント ロールベースの を作成して使用します。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | AWS Identity and Access Management (IAM) は、ユーザーが少なくとも 1 つのグループのメンバーであることを確認することで、アクセス許可と認可を制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに許可することは、最小特権と職務の分離の原則に反する可能性があります。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | このルールにより、 AWS Identity and Access Management (IAM) ポリシーがグループまたはロールにのみアタッチされ、システムおよびアセットへのアクセスが制御されます。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | AWS Identity and Access Management (IAM) は、指定された期間に使用されていない IAM パスワードとアクセスキーをチェックすることで、アクセス許可と認可に役立ちます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、maxCredentialUsageAge (Config デフォルト: 90) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | s3_ bucket_policy_grantee_check を有効にして、 AWS クラウドへのアクセスを管理します。このルールは、Amazon S3 バケットによって付与されるアクセスが、指定したプリン AWS シパル、フェデレーティッドユーザー、サービスプリンシパル、IP アドレス、または Amazon Virtual Private Cloud (Amazon VPC) IDs によって制限されていることを確認します。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | IAM アクションが、必要なアクションのみに制限されていることを確認します。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | コンソールパスワードを持つすべての AWS Identity and Access Management (IAM) ユーザーに対して MFA が有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。MFA は、サインイン認証情報に加えて更なる保護手段を追加します。ユーザーに MFA を要求することで、アカウントが侵害されるインシデントを減らし、権限のないユーザーが機密データにアクセスできないようにすることができます。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | Amazon OpenSearch Service ドメインで、きめ細かいアクセスコントロールが有効になっていることを確認します。きめ細かいアクセスコントロールによって、Amazon OpenSearch Service ドメインへの最小特権アクセスを実現するための強化された認可メカニズムが得られます。これにより、ドメインへのロールベースのアクセスコントロール、インデックス、ドキュメント、およびフィールドレベルのセキュリティ、OpenSearch Service ダッシュボードのマルチテナンシーのサポート、OpenSearch Service と Kibana の HTTP 基本認証が可能になります。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | Amazon Elastic Container Service (Amazon ECS) コンテナへの読み取り専用アクセスを有効にすると、最小特権のプリンシパルを遵守するのに役立ちます。このオプションにより、明示的な読み取り/書き込み権限がない場合にはコンテナインスタンスのファイルシステムを変更できないため、攻撃ベクトルを減らすことができます。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | Amazon Elastic File System (Amazon EFS) アクセスポイントのルートディレクトリを適用すると、アクセスポイントのユーザーを、指定されたサブディレクトリのファイルにのみアクセスさせ、データアクセスを制限することができます。 | |
| GLBA-SEC.501(b)(3) | サブセクション (a) のポリシーを推進するために、セクション 505(a) に記載されている各機関または当局は、次の各項の目的を達するため、管理上、技術上、および物理的な保護に関して、管轄権の対象となる金融機関に適切な基準を確立しなければならない。(3) 顧客に多大な危害または問題を生じさせる恐れがあるそれらの記録または情報に対する不正なアクセスまたは使用から保護する。 | 最小特権の原則の実装を支援するため、Amazon Elastic File System (Amazon EFS) でユーザー適用が有効になっていることを確認します。有効になっていると、Amazon EFS では、NFS クライアントのユーザー ID およびグループ ID が、アクセスポイントですべてのファイルシステムオペレーションに対して設定されている ID に置き換えられ、この適用されたユーザー ID へのアクセスのみが許可されます。 |
テンプレート
GitHub から Operational-Best-Practices-for-Gramm-Leach-Bliley-Act.yaml
