クラウド監査

はじめに：なぜ今、AWS監査が重要なのか クラウドサービスの普及に伴い、多くの企業がAWS（Amazon Web Services）を活用してビジネスを展開しています。2024年時点で、全世界のクラウドインフラ市場においてAWSは約31%のシェアを占めており、日本国内でも数多くの企業が本番環境をAWS上で稼働させています。 しかし、クラウド環境の急速な拡大は、セキュリティリスクの増大も意味します。実際、ガートナー社の調査によると、クラウドセキュリティインシデントの95%以上は、クラウドプロバイダー側ではなく、ユーザー企業側の設定ミスに起因するとされています。 このような背景から、AWS環境に対する適切な監査は、企業のセキュリティ体制を維持・向上させる上で不可欠なプロセスとなっています。本記事では、IT監査・セキュリティの実務担当者向けに、AWS監査における具体的な確認ポイントと実践的な手法を詳しく解説します。 AWS監査の基本概念と全体像 クラウド監査における責任共有モデルの理解 AWS環境を監査する際、まず押さえておくべきは「責任共有モデル（Shared Responsibility Model）」です。これは、AWSとユーザー企業がそれぞれ担当するセキュリティ責任範囲を明確にした概念です。 AWSが責任を持つ領域（クラウドのセキュリティ）： 物理的なデータセンターのセキュリティ ネットワークインフラストラクチャ ハイパーバイザーの管理 AWSサービス自体のセキュリティ ユーザー企業が責任を持つ領域（クラウド内のセキュリティ）： IAM（Identity and Access Management）の設定 データの暗号化 ネットワーク設定（セキュリティグループ、NACL等） OSやアプリケーションの設定・パッチ管理 ログ管理・監視設定 AWS監査では、この責任共有モデルに基づき、ユーザー企業側の責任範囲を中心に確認を行います。 監査のフレームワークと準拠基準 AWS環境の監査を実施する際は、以下のようなフレームワークや基準を参照することが一般的です： CIS AWS Foundations Benchmark：Center for Internet Securityが提供するAWS向けのセキュリティベストプラクティス集。具体的な設定項目と推奨値が定義されている AWS Well-Architected Framework：AWS自身が提供するベストプラクティス集。セキュリティを含む5つの柱で構成 NIST Cybersecurity Framework：米国国立標準技術研究所が策定したサイバーセキュリティフレームワーク ISO 27001/27017：情報セキュリティマネジメントシステムの国際規格 これらのフレームワークを参照しながら、自社の業種やリスク特性に応じた監査項目を設定することが重要です。 具体的な確認ポイント：8つの重要領域 1. IAM（Identity and Access Management）の設定確認 IAMは、AWS環境全体のアクセス制御を司る最も重要なサービスです。IAMの設定不備は、不正アクセスやデータ漏洩の直接的な原因となり得ます。 確認すべき主要項目： ルートアカウントの管理 - ルートアカウントにMFA（多要素認証）が有効化されているか - ルートアカウントのアクセスキーが存在しないか - ルートアカウントの使用履歴（直近90日以内に使用されていないことが望ましい） IAMユーザーの管理 - すべてのIAMユーザーにMFAが設定されているか - 使用されていないIAMユーザー（90日以上未使用）が存在しないか - パスワードポリシーが適切に設定されているか - 最小文字数：14文字以上推奨 - 大文字、小文字、数字、記号の組み合わせ要求 - パスワード履歴：24世代以上 - パスワード有効期限：90日以内 IAMポリシーの確認 ...