アマゾン ウェブ サービスのクラウドコンプライアンスにより、クラウドでセキュリティとデータ保護を維持するために AWS に導入されている堅牢な管理について、お客様にご理解いただけます。AWS のクラウドインフラストラクチャにシステムを構築すると、コンプライアンスの責任が分担されます。ガバナンスに重点を置き、監査に適したサービス機能を該当するコンプライアンス規格または監査規格と結び付けることで、AWS コンプライアンスの実現を支援するドキュメントは、従来のプログラムに基づいて構築されており、AWS セキュリティ統制環境で確立し、運用するためのお客様の取り組みに焦点を合わせています。
テクノロジーガバナンス近代化ワークショップ -登録
AWS は、断然、ヘルスケアクラウド分野で最も信頼できる名前であり、AWS が提供する信頼性、セキュリティ、スピード、スケーラビリティは他に匹敵するものがありません。
Chas Ballew 氏 Aptible 社 CEO
体系的、また、独立的な検査の後に、AWS の品質システムが効果的に実装されていることが評価されました。その結果として、AWS は ISO 9001:2008 認証を取得しています。
AWS の ISO 9001:2008 認証取得は、AWS クラウド環境において品質が統制された IT システムを開発、移植、あるいは運用する必要のあるお客様を直接ご支援する内容となっています。この認証についての追加情報はこちらをご参照ください。
- AWS リスクとコンプライアンスのホワイトペーパー（日本語）。このホワイトペーパーの情報は、AWS のお客様が IT 環境をサポートする既存の統制フレームワークに AWS を統合する際に役立ちます。
- AWS の使用に際してのセキュリティ監査チェックリストのホワイトペーパー。このホワイトペーパーでは、組織による AWS 使用のセキュリティ評価の策定および実行に役立つチェックリストを提供します。この評価は、業界や規制の基準によって要求されることがあります。
AWS は、Payment Card Industry（PCI）データセキュリティ基準（Data Security Standard/DSS）にレベル 1 に準拠しています。お客様は、クラウド上でクレジットカード情報を保管、処理、送信する私たちの PCI 準拠のテクノロジーインフラストラクチャ上で、アプリケーションを実行することができます。2013 年 2 月、PCI Security Standards Council から PCI DSS Cloud Computing Guidelines がリリースされました。このガイドラインでは、カード保有者のデータ環境を管理しているお客様向けに、クラウドでの PCI DSS 管理作業の留意事項を記載しています。
AWS では、お客様向けに PCI DSS Cloud Computing Guidelines を AWS PCI Compliance Package に組み込んでいます。AWS PCI Compliance Package には、AWS PCI Attestation of Compliance (AoC) と AWS PCI Responsibility Summary が含まれています。前者では、AWS が PCI DSS Version 3.0 においてレベル 1 サービスプロバイダに適用される標準を満たしていることが検証されています。後者では、AWS とお客様の間でクラウドでのコンプライアンスに関する責任をどのように分担するかが説明されています。AWS PCI DSS Level 1 認定には、米国東部（バージニア北部）、米国西部（オレゴン）、米国西部（北カリフォルニア）、AWS GovCloud（米国、オレゴン）、欧州（アイルランド）、アジアパシフィック（シンガポール）、アジアパシフィック（東京）、アジアパシフィック（シドニー）、南米（サンパウロ）の、対象サービスをサポートする AWS データセンターが含まれています。
AWS PCI DSS コンプライアンスの詳細について、PCI DSS レベル 1 よくある質問を見る »
アマゾン ウェブ サービスでは、Service Organization Controls 1 (SOC 1)、Type II レポートを発行しています。このレポートの監査は、AICPA: AT 801（旧称 SSAE 16）および国際保証業務基準書第 3402 号（ISAE 3402）に従って実施されています。
この監査は、監査基準書第 70 号（SAS 70）Type II レポートに代わって行われているものです。この 2 つの基準に基づくレポートは、米国および国際的な監査機関の監査における幅広い要件を満たすことができます。
SOC 1 レポートの監査は、AWS の統制目標が適切に設計されていること、およびカスタマーデータを保護するために定義された個々の統制が有効に機能していることを証明するものです。AWS SOC 1 レポートには、米国東部（バージニア北部）、米国西部（オレゴン）、米国西部（北カリフォルニア）、AWS GovCloud（米国、オレゴン）、欧州（ダブリン）、欧州（フランクフルト）、アジアパシフィック（シンガポール）、アジアパシフィック（シドニー）、アジアパシフィック（東京）、南米（サンパウロ）の、対象サービスをサポートする AWS データセンターが含まれています。
AWS では SOC 1 レポートの他に、Service Organization Controls 2 (SOC 2)、Type II レポートも発行しています。SOC 2 レポートは、管理の評価の点では SOC 1 と似ていますが、違いは、米国公認会計士協会 (AICPA) の信用提供の原則で定められている基準まで含めて管理の評価を行う認証報告書である点です。この原則では、AWS などのサービス組織に適用されるセキュリティ、可用性、処理の完全性、機密性、およびプライバシーに関連する実践的な統制が定義されています。
AWS SOC 2 レポートは、統制に関する設計と運用の有効性が、AICPA ので信用提供の原則の基準で定められているセキュリティ原則の基準を満たすことを評価しています。このレポートは、明確な業界標準規格を基準とすることで AWS のセキュリティと可用性にさらなる透明性をもたらし、お客様のデータの保護に対する AWS の取り組みを実証するものとなっています。AWS SOC 2 レポートには、米国東部（バージニア北部）、米国西部（オレゴン）、米国西部（北カリフォルニア）、AWS GovCloud（米国、オレゴン）、欧州（ダブリン）、欧州（フランクフルト）、アジアパシフィック（シンガポール）、アジアパシフィック（シドニー）、アジアパシフィック（東京）、南米（サンパウロ）の、対象サービスをサポートする AWS データセンターが含まれます。
AWS では Service Organization Controls 3 (SOC 3) レポートを発行しています。SOC 3 レポートは、AWS SOC 2 レポートの公開可能な要約です。
レポートには、（SOC 2 レポートに含まれる AICPA の信用提供の原則 に基づく）管理の操作の外部監査人の意見、管理の有効性に関する AWS マネジメントからの表明、AWS のインフラストラクチャとサービスの概要が含まれています。AWS SOC 3 レポートには、米国東部（バージニア北部）、米国西部（オレゴン）、米国西部（北カリフォルニア）、AWS GovCloud（米国、オレゴン）、欧州（ダブリン）、欧州（フランクフルト）、アジアパシフィック（シンガポール）、アジアパシフィック（シドニー）、アジアパシフィック（東京）、南米（サンパウロ）の、対象サービスをサポートする AWS データセンターが含まれます。このレポートは、SOC 2 レポートをリクエストする手間を省き、AWS が外部監査法人の保証を得ていることの実証として、お客様に非常に有益な情報となっています。
連邦情報処理規格 (FIPS) 出版物 140-2 は、機密情報を保護する暗号モジュールのセキュリティ要件を規定する米国政府のセキュリティ基準です。FIPS 140-2 への準拠を必要とするお客様をサポートするために、AWS GovCloud（米国）内の SSL 終端は、FIPS 140-2 検証済みハードウェアを使用して運用されています。
Cloud Security Alliance (CSA) は 2011 年に、クラウドプロバイダ各社にセキュリティ業務の透明性を奨励する活動として、STAR を開始しました。CSA Security, Trust & Assurance Registry (STAR) は、公開されている無償のレジストリであり、さまざまなクラウドコンピューティング製品によって用意されているセキュリティ管理作業を文書化することで、ユーザーが現在使用しているか契約を検討しているクラウドプロバイダのセキュリティを評価できるようにします。AWS は CSA STAR に登録しており、Cloud Security Alliance (CSA) のコンセンサス評価の質問事項 (CAIQ) に回答済みです。CSA が発行するこの調査票は、どのようなセキュリティ統制が AWS の IaaS（Infrastructure as a Service）サービス内に存在するかを文書化する手段の 1 つとなっています。CAIQ は、クラウドの利用者やクラウド監査担当者の視点からクラウドプロバイダに尋ねる、140 項目を超える質問で構成されています。質問内容と AWS の回答については、「AWS リスクとコンプライアンス」ホワイトペーパーの付録 A を参照してください。
AWS は、Federal Risk and Authorization Management Program (FedRAMP) に Moderate 影響レベルで準拠することにより、2 つの Agency Authority to Operate (ATO) を取得しました。FedRAMP は政府間プログラムであり、クラウドの製品およびサービスについてセキュリティの評価、認可、および継続的モニタリングを Moderate までのレベルで行うための、標準化されたアプローチです。
全米の政府機関は、FedRAMP リポジトリに格納されている AWS Agency ATO パッケージを活用して、自身のアプリケーションとワークロードについて AWS の評価、AWS の使用認可の提供、およびワークロードの AWS 環境への移行を行うことができます。
「FedRAMP 準拠のための AWS アーキテクチャとセキュリティの推奨事項」ホワイトペーパー »
AWS FedRAMP コンプライアンスの詳細について、FedRAMP ハブページを見る »
AWS では、米国政府機関のシステムを連邦情報セキュリティマネージメント法 (FISMA) に準拠した状態で運用することができます。AWS のインフラストラクチャは、該当システム所有者の承認プロセスの一環として、独立監査人によって多様な政府機関システムに対して評価されています。多数の連邦民間団体と国防省 (DoD) が、NIST 800-37 および DoD Information Assurance Certification and Accreditation Process (DIACAP) に定義されているリスク管理フレームワーク (RMF) プロセスに従い、AWS でホスティングされているシステムのセキュリティ認可を達成しています。
AWS のセキュアなインフラストラクチャによって、米国政府機関はクラウドコンピューティングのユースケースを拡張し、連邦規格の厳格なセキュリティ要件に準拠しながら、機密性の高い政府データとアプリケーションをクラウドにデプロイしています。AWS DIACAP や FISMA コンプライアンスに関連する詳細情報をリクエストする方法については、AWS の営業および事業開発までお問い合わせください。
AWS は、International Organization for Standardization（ISO）27001:2013 標準に基づく ISO 27001:2013 の認証を取得しています。ISO 27001:2013 は世界中で広範囲に採用されているセキュリティに関する標準規格であり、情報セキュリティ管理システムの要件の枠組を示すものです。これにより、定期的なリスク評価に基づき、会社およびその顧客の情報を体系的に管理する手法を提供します。認証を取得するためには、会社とカスタマー情報の機密性、完全性、および可用性に影響を与える情報セキュリティリスクを管理するシステム的かつ継続的な手法が会社にあることを示す必要があります。
AWS では、認証を維持するための公式プログラムを確立しています。この認証は、セキュリティ管理や実践に対し透明性をもたらし、AWS の取り組みを強化するものです。AWS ISO 27001:2013 認定には対象サービスをサポートする次の AWS データセンターが含まれます: 米国東部（バージニア北部）、米国西部（オレゴン）、米国西部（北カリフォルニア）、AWS GovCloud（米国、オレゴン）、欧州（アイルランド）、アジアパシフィック（シンガポール）、アジアパシフィック（東京）、アジアパシフィック（シドニー）、南米（サンパウロ）。
AWS ISO 27001:2013 コンプライアンスの詳細について、ISO 27001:2013 よくある質問を見る »
米国映画協会 (MPAA) は、保護対象のメディアとコンテンツを安全に保存、処理、配信できるように一連のベストプラクティスを確立しました。メディア企業ではこのベストプラクティスを、コンテンツとインフラストラクチャに関するリスクとセキュリティを評価する手段として使用しています。AWS は MPAA のベストプラクティスに準拠していることが実証されており、AWS インフラストラクチャはすべての適用可能な MPAA インフラストラクチャ統制に準拠しています。MPAA ベストプラクティスに対する AWS の準拠状況については、「AWS リスクとコンプライアンス」ホワイトペーパーの付録 B の対応表を参照してください。
1998 年、米国議会は、リハビリテーション法を修正し、電子情報技術を障害者に利用しやすくすることを連邦政府機関に義務付けました。技術を利用できないなら、個人が情報をすばやく簡単に入手および使用する能力が妨げられます。第 508 条は、情報技術の障壁をなくし、障害者が新しい機会を利用できるようにし、この目標を達成するための技術の開発を促進するために規定されました。
この法律は、すべての連邦政府機関が電子情報技術を開発、調達、保守、または使用するときに適用されます。第 508 条 (29 U.S.C. ' 794d) では、障害を持たない人に提供されるアクセスと同等の公開アクセスを障害を持つ職員と一般市民にも提供することを連邦政府機関に義務付けています。
アマゾン ウェブ サービスでは、リクエストに応じて、Voluntary Product Accessibility Template (VPAT) を提供します。
AWS では、米国における医療保険の相互運用性と説明責任に関する法令 (HIPAA) の対象となる事業体とその取引先が、安全な AWS 環境を活用して、保護された医療情報を処理、管理、保存できるようにしています。また、AWS では、2013 年 7 月より、そのようなお客様と事業提携契約 (BAA) を締結できるようになりました。
AWS では、医療情報の処理や保存に AWS の活用をお考えのお客様向けに、HIPAA 関連のホワイトペーパーや HIPAA よくある質問もご用意しています。「AWS を使用した HIPAA 準拠の医療データアプリケーションの作成」ホワイトペーパーでは、事業者が AWS を使用して HIPAA や HITECH への準拠を促進するシステムを処理する方法について説明しています。AWS HIPAA コンプライアンスプログラムの詳細については、AWS の営業および事業開発までお問い合わせください。
米国防総省 (DoD) クラウドセキュリティモデル (CSM) では、クラウドサービスプロバイダ (CSP) が DoD Provisional Authorization を得るための、形式化された評価および認証プロセスが提供されます。その後、DoD ユーザーがこの DoD Provisional Authorization を利用できます。Provisional Authorization では、CSM の下で、DoD 標準に AWS が準拠していることを証明する再利用可能な認証が提供されます。これにより、AWS でのシステムのオペレーションを DoD ミッションオーナーが評価して認証するのに必要な時間が節約されます。
レベル 1～6 で定義されるセキュリティ統制ベースラインの完全な定義を含め、CSM に関するその他の情報については、こちらを参照してください。
AWS GovCloud Earns DoD CSM Level 3-5 Provisional Authorization »
AWS DoD コンプライアンスの詳細について、DoD CSM よくある質問を見る »
ISO 9001:2008 は製品とサービスの品質を管理するための世界規格です。9001:2008 規格では、国際標準化機構（ISO）の品質マネジメント及び品質保証技術委員会が定義した 8 つの原則に基づいて、品質マネジメントシステムを概説しています。この 8 つの原則は以下のとおりです。
- 顧客重視
- リーダーシップ
- 人々の参画
- プロセスアプローチ
- マネジメントへのシステムアプローチ
- 継続的改善
- 意思決定への事実に基づくアプローチ
- 供給者との互恵関係
この規格の認証を取得し続けることの意義は、AWS の製品とサービスが ISO 9001:2008 の品質要件を満たし続けることにより、組織の構造、責任、手順、プロセス、リソースを確立、維持、および改善することです。
AWS ISO 9001:2008 コンプライアンスの詳細について、ISO 9001:2008 よくある質問を見る »
AWS では、法的処置によりデータがクラウドに入れられると、情報が必要となる場所と時間に関係なく、情報へのタイムリーで安全なアクセスを最も優先します。このようなニーズを満たすため、AWS クラウドインフラストラクチャは、刑事司法情報を保存できる、最も柔軟で安全なクラウドコンピューティング環境の 1 つとなるように設計されてきました。AWS のアーキテクチャは、非常に高い信頼性を持ち、スケーラブルなプラットフォームです。このプラットフォームにより、Criminal Justice Information Services (CJIS) のセキュリティポリシーに従って CJIS のワークロードを処理できるよう、広範なセキュリティを実現すると共に法規制の要件を満たしながら、アプリケーションとデータを安全にすばやくデプロイすることができます。
責任分担モデルの理念を尊重し、AWS では、CJIS ポリシー対象範囲に合わせたセキュリティ計画テンプレートで Criminal Justice Information Services (CJIS) ワークブックを作成しました。このワークブックは、CJIS セキュリティ要件への準拠を文書化する AWS のパートナーをサポートすることを目的としています。さらに、テンプレートでは、AWS のパートナーとお客様の機関が審査と承認を受けるために CJIS セキュリティ要件の実装を文書化するための体系的な方法を提供します。このワークブックには、CJIS、AWS、および AWS の各種サービスの概要、AWS/お客様の CJIS 要件の適用可能性が記載されています。
このドキュメントは、AWS 秘密保持契約 (NDA) の下で公開できます。詳細について AWS の担当者に問い合わせるか、AWS の営業および事業開発に連絡して詳細情報のリクエストを送信してください。
家庭教育の権利とプライバシーに関する法 (FERPA) (20 U.S.C. § 1232g; 34 CFR Part 99) は、学生の教育記録のプライバシーを保護する連邦法です。この法律は、米国教育省の該当するプログラムのもとで資金を受けているすべての教育機関に適用されます。FERPA では、保護者に自分の子どもの教育記録に関して一定の権限を与えています。この権限は、学生が 18 歳に達したとき、または高等学校レベルを上回る教育機関に入学したときに学生本人に譲渡されます。権限が譲渡された学生のことを "対象となる学生 (eligible student)" といいます。
AWS では、FERPA の対象となる事業体とその取引先が安全な AWS 環境を活用して、保護教育情報を処理、管理、保存できるようにしています。
AWS では、教育データの処理や保存に AWS の活用をお考えのお客様向けに、FERPA 関連のホワイトペーパーもご用意しています。「FERPA Compliance on AWS」ホワイトペーパーでは、AWS を使用して FERPA コンプライアンスを促進するシステムを処理する方法について説明しています。AWS FERPA コンプライアンスプログラムの詳細については、AWS の営業および事業開発までお問い合わせください。
CESG UK クラウドセキュリティ原則ホワイトペーパーを読む »
以下のサービスが G-Cloud Digital Marketplace で提供されています。
IT-Grundschutz Compliance on Amazon Web Services は、新しいお客様向けの認証ワークブックで、独立認証機関である TÜV TRUST IT によって作成および発行されました。AWS のみに適用されるその他の認定証とは異なり、このワークブックでは、お客様が認証の取得を実現しやすくすることを目的としており、お客様が AWS を利用して IT-Grundschutz の認証を取得できるようにドキュメントフレームワークを提供します。
ドイツ情報セキュリティ庁 ("BSI") は、効果的な情報セキュリティ手順を構築するための方法を組織に提供するプログラムを開発しました。この IT Baseline Protection (IT-Grundschutz) 手法には 4 つの規格文書が用意されており、情報セキュリティ管理システムを構築するための組織向けのガイダンス、IT-Grundschutz の実装と評価の方法、IT-Grundschutz 要件に対してリスク分析を実行する方法、ビジネス継続性管理プログラムの開発について記載されています。
この認証ワークブックには、BSI 規格 100-1 と 100-2 の要件の実装に関する情報と、アウトソーシングされたコンポーネントの IT-Grundschutz 認証に関する要件が記載されています。これにより、既存の AWS ISO 27001 認証に基づいて計画された認証を実装できます。
アマゾン ウェブ サービスは、独立した評価を完了し、AWS シドニーリージョンの非機密扱い (DLM) の処理、保管、伝送に関してすべての該当する ISM 統制が適切に実施されていることが確認されました。
Multi-Tier Cloud Security (MTCS) は、シンガポールで運用されているセキュリティ管理規格 (SPRING SS 584:2013) で、ISO 27001/02 情報セキュリティマネジメントシステム (ISMS) 規格に基づいています。この認証審査では次を行う必要があります。
• 社内の脅威と脆弱性による影響を考慮に入れて、情報セキュリティリスクを体系的に評価する。
• 総合的な情報セキュリティ管理や他の形式によるリスク管理を設計、実装し、企業とアーキテクチャーに対するセキュリティリスクに対処する。
• 包括的な管理プロセスを採用し、情報セキュリティ管理が情報セキュリティのニーズを継続的に満たすようにする。
AWS GovCloud（米国）リージョンでは、米国の武器国際取引に関する規則 (ITAR) コンプライアンスに対応しています。包括的な ITAR コンプライアンスプログラム管理の一環として、ITAR 輸出規制の対象となる企業は、保護されたデータへのアクセスを米国人に制限し、およびそのデータの物理的なロケーションを米国の土地に制限することによって、意図しない輸出を制御する必要があります。AWS GovCloud（米国）は、物理的に米国に位置し、そこでは AWS のスタッフによるアクセスを米国人に制限しているという環境を提供しているため、適格企業は、ITAR の規制対象となる、保護された文書およびデータを送信、処理、格納することができます。AWS GovCloud（米国）環境は、この要件において、顧客の輸出コンプライアンスプログラムをサポートする適切な統制がなされているかどうかを検証するために、独立したサードパーティによる監査を受けています。
お客様は、AWS 環境の設計上、また運用上の有効性が証明されている第三者の監査人が作成したレポートおよび認定書をリクエストすることができます。レポートと認定書のリクエストは、AWS 営業担当者を通じて行ってください。お客様の AWS 顧客担当者が誰であるかをご存じないか、あるいは新たに日本の担当者と連絡を取りたい場合には、日本の担当窓口まで問い合わせください。
また、AWS コンプライアンスの詳細については、AWS リスクとコンプライアンスのホワイトペーパー（日本語）を参照してください。このホワイトペーパーの情報は、お客様の IT 環境を支える既存の統制フレームワークに AWS を統合する際に役立つものとなっています。
AWS プラットフォームが備える柔軟性と管理機能により、お客様は以下のような業界特有の標準を満たすソリューションをデプロイできます。
- CSA: Cloud Security Alliance（CSA）は 2011 年に、クラウドプロバイダー各社にセキュリティ業務の透明性を奨励する活動として、STAR を開始しました。この CSA Security, Trust & Assurance Registry（STAR）は、無償公開のレジストリとして、さまざまなクラウドコンピューティング製品で提供されるセキュリティ管理を文書化しており、ユーザーは現在利用中のクラウドプロバイダー、または契約検討中のクラウドプロバイダーのセキュリティを容易に評価できます。AWS は CSA STAR に登録しており、Cloud Security Alliance（CSA）の Consensus Assessments Initiative Questionnaire（CAIQ、コンセンサス評価の質問事項）に回答済みです。CSA が発行するこの調査票は、どのようなセキュリティ統制が AWS の IaaS（Infrastructure as a Service）サービス内に存在するかを文書化する手段の 1 つとなっています。CAIQ は、クラウドの利用者やクラウド監査担当者の視点からクラウドプロバイダに尋ねる、140 項目を超える質問で構成されています。質問内容と AWS の回答については、「AWS リスクとコンプライアンス」ホワイトペーパー（日本語）の付録 A を参照してください。
- MPAA: 米国映画協会（MPAA）は、保護対象のメディアやコンテンツを安全に記憶、処理、および配信できるように一連のベストプラクティスを策定しました。メディア企業ではこのベストプラクティスを、コンテンツとインフラストラクチャに関するリスクとセキュリティを評価する手段として使用しています。AWS は MPAA のベストプラクティスに準拠していることが実証されており、AWS インフラストラクチャはすべての適用可能な MPAA インフラストラクチャ統制に準拠しています。MPAA ベストプラクティスに対する AWS の準拠状況については、「AWS リスクとコンプライアンス」ホワイトペーパー（日本語）の付録 B の対応表を参照してください。
お客様は第三者監査人が作成したレポートおよび認定書をリクエストすることができます。これらでは、AWS 環境の設計や運用上の有効性が証明されています。レポートと認定書のリクエストは、AWS 営業担当を通じて行ってください。お客様の AWS 営業担当者が誰であるかをご存じないか、あるいは新たに日本の担当者と連絡を取りたい場合には、AWS 日本の担当チームまでお問い合わせください。
