コンプライアンス要件の確認主体を整理する

セキュリティ、ガバナンス、コンプライアンスの役割をサービスごとに分けて整理する。

AWSの認証を利用すれば、自社のすべての規制対応が完了すると判断する

AWSの認証やレポートはAWS側の統制を示す資料であり、利用者の設計・運用まで自動的に適合させるものではない。

利用するリージョンやサービスに関係なく、同じ規制要件だけを適用する

適用要件は業界、地域、契約。

対象データ、地域、業界規制を確認し、自社の統制とAWSの資料を対応付ける

利用者は自社に適用される要件を特定し、AWSの責任範囲と自社の設計・運用を評価する。

AWS Artifactのレポートを提出すれば、自社の監査証拠を追加せずに済む

AWS Artifactの資料はAWS側の証拠であり、利用者自身の統制や運用の証拠が不要になるわけではない。

コンプライアンス

法令・業界標準・契約などの要求事項に沿って統制を確認する活動。

AWS Artifact

AWS側のレポートや契約を確認するポータル。