c3.4 コンプライアンスレポートを作成する

コンプライアンスは責任共有

AWS は、AWS インフラが多くの規制を満たすことを示す監査レポートと認証を（AWS Artifact を通じて）提供します。AWS 上に構築したワークロードが同じ規制を満たすことを示すのはお客様の責任です。監査人は、責任共有モデルにおけるお客様側をカバーするギャップアセスメントを求めます。

AWS Config のコンフォーマンスパックでリソースを評価する

AWS リソースのコンプライアンス管理の推奨手段は、AWS Config のコンフォーマンスパックです。一般的なフレームワーク（PCI DSS、HIPAA、NIST、FedRAMP など）向けの事前構築テンプレートで、検知的統制（Config ルール）をアカウントとリージョンにまたがって展開し、コンプライアンスダッシュボード、リソース単位のドリルダウン、任意の是正を提供します。カスタムパックも作成できます。監査人向けの証跡は、Config の advanced queries、リソース構成履歴 API、Athena でエクスポートできます。

サービスの更新: AWS Audit Manager はメンテナンスモードに移行しました（2026 年 3 月発表）。2026 年 4 月 30 日以降、新規のアカウント・リージョン・組織で有効化できなくなります。既存のお客様は通常どおり使い続けられますが、AWS は新機能や新フレームワークを追加せず、新規のコンプライアンス管理は AWS Config に誘導しています。Audit Manager の提供状況の変更を参照してください。

補完的な選択肢

• AWS Security Hub CSPM: セキュリティ標準にマッピングされたフレームワーク（NIST 800-53、PCI DSS など）向けに、コンプライアンススコアと重大度付きのコントロール別ステータスを提供し、アカウントとリージョンをまたいで構成できます。
• 既存の Audit Manager のお客様は、証跡の収集と PDF/CSV の監査レポート生成のために引き続き使用できます。
• Vanta や Drata などのパートナーツールは、AWS Config と併用して監査プロセス全体をカバーし、Config ルールでは評価できない非技術的な統制（文書化されたポリシーや手順）も含みます。

PCI-DSS に特化した内容

PCI-DSS の対象範囲にある場合（決済カードデータを取り扱う場合）は、専用の PCI Security Maturity Model を使ってください。PCI 環境の分離、決済用暗号、そしてこの一般的な Cloud モデルを超える PCI-DSS の統制一式をカバーします。