コンプライアンス自動化 Config・Security Hub・Audit Managerで継続的に証跡を残す

「四半期ごとの監査で証跡の収集に何週間もかかっている」「基準に違反した設定を人手で探している」。SCS-C02では、こうした運用を自動化する構成が問われます。似た3つのサービスを評価するのか、集約するのか、証跡をまとめるのかという役割の違いで整理しましょう。

覚え方は「記録する・評価する・報告する」の3つの観点

まずAWS Configが設定を記録し、ルールで評価します。次にSecurity Hubが複数サービスの検出結果を標準形式で集約し、CIS やPCI DSSといったセキュリティ基準に対するスコアを出します。最後にAudit Managerが、統制ごとに必要な証拠を自動収集して監査レポートの形に整えます。この3段構えを覚えておけば、選択肢の役割の違いが見分けられます。

AWS Config

リソースの設定変更を時系列で記録し、マネージドルールやカスタムルール（Lambda、Guard）で準拠性を継続評価します。使いどころは「暗号化されていないEBSボリュームが作られたら検知して、修復アクションでスナップショットからの再作成手順を起動する」といった、検知から是正までを閉じたい場合。Configアグリゲータを使えば、複数アカウントとリージョンの評価結果を1か所に集約できます。

AWS Security Hub

GuardDuty、Inspector、Macie、Configなどの検出結果をAWS Security Finding Format（ASFF）に正規化して集約し、AWS基礎セキュリティのベストプラクティスやCIS Benchmarksへの準拠スコアを表示します。使いどころは「セキュリティの状況を全アカウント横断で1画面にまとめたい」「重大な検出結果が出たらEventBridge経由で即座に自動対応したい」という要件。Organizations と連携すると、新規アカウントで自動的に有効化できます。

AWS Audit Manager

フレームワーク（PCI DSS、HIPAA、GDPR、ISO 27001など）ごとに定義された統制に対し、CloudTrailやConfig、Security Hubから証拠を自動収集して評価レポートを生成します。使いどころは「外部監査人へ提出する証跡の収集工数を削減したい」と明記されている場合です。検知や修復を行うサービスではない点が重要です。

チェックリスト

• Config・Security Hub・Audit Managerの役割を1文ずつで説明し分けられる
• Configアグリゲータで組織横断の準拠状況を集約する構成を説明できる
• Security HubのASFFとEventBridge連携による自動対応を設計できる
• Conformance Packで複数ルールをまとめて配布できることを知っている
• 委任管理者アカウントを使った組織全体での有効化の流れを理解している

まとめ

コンプライアンス自動化は「記録・評価・集約・報告」という流れで役割が分担されています。どのサービスがどの工程を担うのかを整理しておけば、紛らわしい選択肢でも確実に選び分けられます。 理解度の確認にはクイズが便利です。試験範囲や申し込みの最新情報はAWS認定 公式ページもあわせて確認してください。