AWS Audit Manager 入門 - コンプライアンス監査の自動化
企業のクラウド利用において、セキュリティ基準や法的規制へのコンプライアンス（遵守）証明は大きな負担となります。 AWS Audit Managerは、AWSの使用状況を継続的に監査し、リスクとコンプライアンスの評価を簡素化するサービスです。
AWS Audit Manager とは
AWS Audit Managerは、証拠データの収集を自動化し、コンプライアンス監査や内部統制の評価を支援するサービスです。 手動で行っていたスクリーンショットの取得やログの収集といった煩雑な作業を自動化し、監査準備にかかる工数を大幅に削減します。
主な特徴
- 証拠収集の自動化: AWSリソースの設定スナップショットやCloudTrailログなどを自動的に収集・整理します。
- 標準フレームワークの提供: PCI DSS, GDPR, HIPAA, SOC 2 などの主要なコンプライアンス基準に対応した事前定義フレームワークを提供します。
- 監査レポートの作成: 収集した証拠を整理し、監査人に提出可能な形式のレポートAssessment Reportを作成できます。
仕組みと主要概念
1. フレームワーク (Framework)
監査の基準となる構造です。 「標準フレームワーク（Standard Framework）」はAWSが提供する既製品で、PCI DSSやSOC 2などに準拠したルールセットが含まれています。 自社独自のルールを定めた「カスタムフレームワーク」も作成可能です。
2. コントロール (Control)
具体的なチェック項目です。「MFAが有効になっているか」「S3バケットが公開されていないか」などの要件を定義します。 Audit Managerは、AWS ConfigルールやSecurity Hubのチェック結果をこれらのコントロールにマッピングします。
3. アセスメント (Assessment)
特定のフレームワークに基づいて、実際のAWS環境（アカウントやサービス）を対象に実行される評価プロセスです。 アセスメントを作成すると、自動的な証拠収集が開始されます。
4. 証拠 (Evidence)
コントロールの遵守状況を証明する記録です。
- 自動証拠: AWS ConfigやCloudTrailから自動取得されたデータ
- 手動証拠: ポリシー文書や業務フロー図など、ユーザーが手動でアップロードするファイル
導入のメリット
監査コストの削減
従来、数週間かかっていた証拠収集作業が、継続的かつ自動的に行われるため、監査直前の「駆け込み作業」が不要になります。
データの信頼性向上
人が手動で取得したデータではなく、システムログから直接生成された証拠であるため、データの改ざんリスクがなく、監査人からの信頼性が高まります。
継続的なコンプライアンス維持
「監査の時だけ準拠する」のではなく、常時証拠収集が行われるため、セキュリティ状態の逸脱を早期に発見し、修正することができます。
料金体系
AWS Audit Managerの料金は、リソースアセスメント の数に基づいて課金されます。 収集された証拠の量に応じて料金が発生するため、アセスメントの範囲（対象アカウントやリージョン）を適切に設定することが重要です。
まとめ
AWS Audit Managerは、コンプライアンス監査を「イベント」から「プロセス」へと変革するサービスです。 規制産業のお客様はもちろん、社内セキュリティ基準の遵守状況を可視化したい企業にとっても、運用負荷を下げる強力なツールとなります。