責任共有モデルとコンプライアンス
AWSとお客様はセキュリティの責任を分担します。「AWSはクラウド本体のセキュリティ」を、「顧客はクラウド内のセキュリティ」を担う、という考え方が責任共有モデルの核心です。
概要
責任共有モデル(Shared Responsibility Model)は、セキュリティ上の責任をAWSと顧客で分担する考え方です。AWSは物理インフラ・ハイパーバイザー・グローバルネットワークなど「クラウドそのもの(of the cloud)」のセキュリティを担い、顧客はアプリケーション・データ・IAM設定など「クラウド内(in the cloud)」のセキュリティを担います。
| 責任者 | 担当範囲の例 |
|---|---|
| AWS の責任 | 物理データセンターのセキュリティ、ハードウェア・ネットワーク機器の管理、ハイパーバイザー、グローバルインフラの維持 |
| 顧客の責任 | OSのパッチ適用(EC2の場合)、アプリケーションの設定、IAMユーザー・ポリシーの管理、データの暗号化、セキュリティグループの設定 |
CP試験で押さえるポイント
- 「物理セキュリティは常にAWSの責任」です。顧客がデータセンターに立ち入ることはできません。
- EC2 インスタンスのOSパッチ適用は顧客の責任です。一方、RDSのOSパッチはAWSの責任です。
- IAMユーザーの作成・権限設定は常に顧客の責任です。
- データ暗号化はオプションとして提供されますが、暗号化を有効にするかどうかの判断は顧客の責任です。
- AWS Artifact はコンプライアンスレポートを取得できる無料のセルフサービスポータルです。
サービス種別による責任範囲の変化
利用するサービスの種類(IaaS/PaaS/SaaS)によって、顧客が管理すべき範囲が変わります。マネージドサービスになるほど AWS の責任範囲が広がり、顧客の管理負荷は軽減されます。
| サービス | 種別 | OSパッチ | アプリ管理 | データ管理 |
|---|---|---|---|---|
| Amazon EC2 | IaaS | 顧客 | 顧客 | 顧客 |
| Amazon RDS | マネージドPaaS | AWS | 顧客 | 顧客 |
| Amazon S3 | マネージドストレージ | AWS | AWS | 顧客 |
| AWS Lambda | FaaS(サーバーレス) | AWS | コード管理は顧客 | 顧客 |
CP頻出: 責任分担の具体例
| セキュリティ項目 | 責任者 | 補足 |
|---|---|---|
| 物理的なサーバーの管理 | AWS | 顧客はデータセンターにアクセスできません |
| EC2のOSパッチ適用 | 顧客 | 自分で起動したOSの管理は顧客が担います |
| RDSのデータベースエンジンパッチ | AWS | マネージドサービスのため、AWSがパッチを管理します |
| IAMユーザー・ポリシーの設定 | 顧客 | 誰に何の権限を与えるかは顧客が決定します |
| S3バケットの暗号化設定 | 顧客 | 暗号化機能はAWSが提供しますが、有効化は顧客が行います |
| ネットワーク機器の障害対応 | AWS | 物理ネットワークインフラはAWSが管理します |
AWS Artifact とコンプライアンスプログラム
AWS Artifact は、AWSのコンプライアンスレポートや契約書をオンデマンドで取得できる無料のセルフサービスポータルです。監査対応や規制要件の確認に活用できます。
- Artifact Reports：第三者機関が作成したAWSのセキュリティ・コンプライアンスレポートをダウンロードできます。
- Artifact Agreements：Business Associate Agreement(BAA)などの契約書を管理できます。
AWSが準拠している主なコンプライアンスプログラムの例です(名前レベルで把握してください)。
| プログラム名 | 概要 |
|---|---|
| ISO 27001 | 情報セキュリティマネジメントの国際規格 |
| SOC 1 / SOC 2 / SOC 3 | 内部統制・セキュリティに関する監査レポート |
| PCI DSS | クレジットカード業界のセキュリティ基準 |
| HIPAA | 米国の医療情報保護に関する規制 |
| GDPR | EU の一般データ保護規則 |