c1.3 クラウドのセキュリティ体制を評価する

セキュリティ体制の評価を自動化する

CIS AWS Foundations Benchmark やその他のベストプラクティスを読み、アカウントを手作業で確認する方法はスケールしません。Cloud Security Posture Management (CSPM) ツールで評価を自動化し、設定ミスが年 1 回のレビュー時ではなく継続的に表面化するようにします。

AWS Security Hub CSPM

名称に関する注記: これらのセキュリティ標準チェックを実行するサービスは、2025 年後半に AWS Security Hub CSPM(Cloud Security Posture Management)へ名称が変更されました。以前は単に「AWS Security Hub」と呼ばれていました。現在「AWS Security Hub」という名称は、より広範なセキュリティ運用の提供を指すため、本コントロールは具体的に Security Hub CSPM を指します。

Security Hub CSPM をそのセキュリティ標準(例:AWS 基礎的セキュリティのベストプラクティス、CIS AWS Foundations Benchmark)とともに有効化すると、ベストプラクティスとのギャップを特定し、修復のガイダンスを提供します。数クリックで有効化でき、中央設定を使えば、委任管理者アカウントからすべてのアカウントとリージョンで一貫して有効化・管理できます。

重要なものから対応する

これは検出的コントロールです(NIST CSF の Identify 機能に対応します)。検出は誰かが対応して初めて価値を生むため、セキュリティ担当の担当者またはチームを割り当て、まず重大 (Critical) および高 (High) 深刻度の検出結果をトリアージして修復し、その後に下位のものへ進みます。security score を KPI として報告し、傾向が時間とともに改善しているか確認します。

代替と補完

継続的ではなく特定時点の評価には、Self-Service Security Assessment tool が Prowler や ScoutSuite などのオープンソーススキャナーをまとめて提供します。Cloud Custodian は検出結果を Security Hub CSPM にネイティブに送信できます。サードパーティの CSPM(Prowler、Palo Alto Prisma Cloud、Trend Micro、Check Point CloudGuard、Wiz など)はマルチクラウド環境で一般的で、検出結果を Security Hub CSPM に集約することもできます。

AWS Trusted Advisor で補完する

AWS Trusted Advisor は、設定ミスや重大なセキュリティアラートの補完的なビューを追加します。基本的なセキュリティチェックのセットはすべてのユーザーが利用でき、Business または Enterprise サポートのお客様はチェックの完全なセットを利用できます。