責任共有

セキュリティとコンプライアンスに関して、AWS とお客様の間で責任を共有します。この共有モデルにより、ホストオペレーティングシステムや仮想化レイヤーからサービスが運用されている施設の物理的なセキュリティに至るまで、さまざまなコンポーネントを AWS が運用、管理、制御するため、お客様の運用の負担が軽減されます。お客様は、AWS が提供するセキュリティグループのファイアウォール設定に加えて、ゲストオペレーティングシステム (更新やセキュリティパッチを含む) およびその他の関連アプリケーションソフトウェアを管理し、責任を負うものとします。お客様の責任範囲は、使用するサービス、IT 環境へのサービス統合、適用される法規制に応じて異なります。このため、お客様は選択するサービスを注意深く検討する必要があります。この責任共有モデルの性質によって柔軟性が得られ、お客様はデプロイを統制できます。下図に示すように、この責任分担は一般的に、クラウド「の」セキュリティと、クラウド「内の」セキュリティと呼ばれます。

AWS の責任「クラウドのセキュリティ」 – AWS クラウドで提供されるすべてのサービスを実行するインフラストラクチャの保護に関しては、AWS が責任を負います。このインフラストラクチャは、AWS クラウドサービスを実行するハードウェア、ソフトウェア、ネットワーク、施設で構成されます。

お客様の責任「クラウド内のセキュリティ」 – お客様の責任は、お客様が選択する AWS クラウドサービスによって決まります。これにより、お客様がセキュリティの責任の一部として実行する必要がある設定作業の量が決まります。例えば、Amazon Elastic Compute Cloud (Amazon EC2) などのサービスは Infrastructure as a Service (IaaS) に分類されるため、お客様は必要なセキュリティ設定と管理タスクをすべて実行する必要があります。Amazon EC2 インスタンスをデプロイするお客様は、ゲストオペレーティングシステムの管理 (更新やセキュリティパッチの適用を含む)、お客様が各インスタンスにインストールするアプリケーションソフトウェアやユーティリティの管理、AWS が提供する各インスタンスのファイアウォール (セキュリティグループ) の設定について責任を負います。Amazon S3 や Amazon DynamoDB などの抽象化されたサービスについては、インフラストラクチャレイヤー、オペレーティングシステム、プラットフォームの運用を AWS が行い、お客様はエンドポイントにアクセスしてデータを保存、取得します。お客様は、データの管理 (暗号化オプションを含む)、アセットの分類、および IAM ツールを使用した適切なアクセス許可の適用について責任を負います。

図 1: AWS の責任共有モデル。

このお客様/AWS の責任分担モデルは、IT 統制にも拡大されます。IT 環境を運用する責任がお客様と AWS との間で分担されるのと同様に、IT 統制の管理、運用、検証も分担されます。AWS は、これまでお客様が管理していた AWS 環境にデプロイされた物理インフラストラクチャに関連する統制を管理することで、お客様の運用管理の負担を軽減します。お客様によって AWS のデプロイ方法は異なるため、特定の IT 統制の管理を AWS に移行することで、(新たな)統制環境の分散化を図るというメリットが得られます。その後、お客様は利用可能な AWS の統制とコンプライアンス文書を使用し、必要に応じて統制の評価および検証手順を実行することができます。以下は、AWS と AWS のお客様、またはその両方によって管理される統制の例です。

継承された統制 – お客様が AWS から完全に継承する統制。

共有された統制 – インフラストラクチャレイヤーとお客様のレイヤーの両方に適用される統制。ただしコンテキストまたは観点は異なります。共有統制では、AWS はインフラストラクチャの要件を提供し、お客様は AWS サービスの使用中に独自の統制の実装を提供する必要があります。以下に例を示します。

お客様固有 – AWS サービス内にデプロイしているアプリケーションに基づいて、お客様が単独で責任を負う統制。以下に例を示します。