セキュリティ改善の取り組みは、内部的な強化だけでなく、外部監査・コンプライアンス要件への対応としても求められます。本記事ではAWS Audit ManagerとAWS Artifactを解説します。

SAA レベル：基礎概念

AWS Artifactの基本

AWSのコンプライアンス関連レポート（SOC 2、ISO 27001等の第三者監査報告書）やAWSとの契約文書（BAA等）を取得できるセルフサービスポータル
AWS自体がクラウド基盤としてどう認証・監査されているかを示す文書を入手する場所

SAA 試験のポイント

AWS ArtifactはAWS自身のコンプライアンス証明書を取得する場所であり、利用者自身のワークロードの監査を行うツールではありません。「AWSインフラの監査証拠が欲しい」→Artifact、という対応関係がSAAで問われます。

AWS Audit Managerの基本

自社のAWS環境の利用状況が、特定のコンプライアンスフレームワーク（PCI DSS、HIPAA等）にどれだけ準拠しているかを継続的に評価するサービス
証跡（Evidence）を自動的に収集し、監査レポートとして出力する

SAP レベル：高度な設計シナリオ

証跡収集の自動化

SAP 試験のポイント

従来の監査対応では、監査人からの依頼のたびに手動でスクリーンショットや設定情報を収集していました。Audit Managerは、Config、CloudTrail、Security Hub等から自動的に証跡を収集し、あらかじめ定義されたフレームワークの管理項目にマッピングします。SAPレベルでは、この自動化により監査対応の工数を継続的に削減し、監査サイクル自体を高頻度化できるというメリットが問われます。

監査フレームワークへのマッピング

SAP 試験のポイント

Audit Managerには、PCI DSS、HIPAA、GDPR、CIS AWS Foundations Benchmarkなど、複数の標準フレームワークがあらかじめテンプレートとして用意されています。SAPレベルでは、複数の規制要件に同時に対応する必要がある組織（例: 金融×医療の複合サービス）において、共通する統制項目を一元的に管理しつつ、フレームワークごとの差分要件を個別に評価する設計が問われることがあります。

設計上の落とし穴

「Audit Managerを導入すれば監査対応が完全に自動化される」という理解は誤りです。Audit Managerは証跡の収集と整理を自動化しますが、最終的な監査人による評価・判断や、技術的な証跡だけでは説明しきれない運用プロセスの証明（人的レビューの記録等）は、引き続き人手による対応が必要です。SAPでは、自動化の範囲と限界を正しく理解しているかが問われます。

継続的コンプライアンスモニタリングへの発展

Audit ManagerとConfig Conformance Pack（1-2で解説）を組み合わせることで、「監査時だけ準拠状況を確認する」のではなく、日常的に継続してコンプライアンス状態を監視し、逸脱があれば即座に検知・是正する体制へ発展させることができる
これは、単発の監査対応から、継続的改善のサイクル（このドメイン3全体のテーマ）へとコンプライアンス対応を統合する考え方である

まとめ

SAA: AWS ArtifactがAWS自体のコンプライアンス証明書取得の場であり、Audit Managerが自社環境の準拠評価ツールであるという違いを理解する。
SAP: Audit Managerによる証跡収集の自動化、複数フレームワークへの効率的なマッピング、自動化の限界を踏まえた設計ができる。

ここまでで 3-2 セキュリティ改善戦略 の全4記事が完了しました。次は 3-3 信頼性改善戦略 に進みます。