Build security in, phase by phase

AWS cloud security controls organized by security domain across four maturity phases.

ⓘ Controls are cumulative: each phase builds on the previous one. You never start over.

AWS CAF	クイックウィン最初に有効化すべき、高い効果で低労力のセキュリティ管理策。	基礎すべてのワークロードが確立すべき中核的なセキュリティ基盤。	効率化環境全体でセキュリティをスケールし自動化する。	最適化高度で継続的に最適化されたセキュリティ運用。
AWS CAF 1 Security governance 2 クイックウィン, 3 基礎, 3 効率化, 1 最適化	c1.1 アカウントのセキュリティ連絡先を割り当てる c1.2 リージョンを選び、それ以外をブロックする	c2.1 セキュリティおよび規制要件の特定 c2.2 クラウドセキュリティ研修計画の策定 c2.3 AI セキュリティガバナンスとモデルインベントリの確立	c3.1 セキュアなアーキテクチャを設計する c3.2 Infrastructure as Code を使う c3.3 タグ付け戦略を定義する	c4.1 セキュリティの作業と責任を分担する
AWS CAF 2 Security assurance 1 クイックウィン, 1 基礎, 1 効率化, 1 最適化	c1.3 クラウドのセキュリティ体制を評価する	c2.4 資産の棚卸しと構成変更の監視	c3.4 コンプライアンスレポートを作成する	c4.2 監査の証跡収集を自動化する
AWS CAF 3 Identity and access management 4 クイックウィン, 3 基礎, 2 効率化, 3 最適化	c1.4 多要素認証を必須にする c1.5 root アカウントを保護する c1.6 ID を一元化し、アクセスをフェデレーションする c1.7 意図しないアクセスと未使用アクセスを整理する	c2.5 SCP と RCP でガードレールを設定する c2.6 アクセスキーの代わりに一時的な認証情報を使う c2.7 EC2 インスタンスで IMDSv2 を強制する	c3.5 IAM を最小権限に向けて見直す c3.6 顧客 ID を保護する	c4.3 IAM データ境界を強制する c4.4 IAM ポリシー生成パイプラインを構築する c4.5 一時的な昇格アクセスを付与する
AWS CAF 4 Threat detection 3 クイックウィン, 1 基礎, 2 効率化, 2 最適化	c1.8 アクティブな脅威を検出する c1.9 アカウントアクティビティを監査する c1.10 請求アラームとコスト異常アラームを設定する	c2.8 GuardDuty の検出結果をトリアージし、保護プランを有効化する	c3.7 カスタム脅威検知を追加する c3.8 AI ランタイムへの脅威を検知する	c4.6 脅威インテリジェンスを構築する c4.7 ネットワークフローを分析する
AWS CAF 5 Vulnerability management 0 クイックウィン, 2 基礎, 3 効率化, 1 最適化		c2.9 インフラストラクチャの脆弱性を管理する c2.10 アプリケーションの脆弱性を管理する	c3.9 セキュリティチャンピオンプログラムを運営する c3.10 DevSecOps パイプラインを構築する c3.11 エージェント型ペネトレーションテストを採用する	c4.8 脆弱性管理チームを構築する
AWS CAF 6 Infrastructure protection 1 クイックウィン, 5 基礎, 2 効率化, 2 最適化	c1.11 リスクのある管理ポートの開放を閉じる	c2.11 最小権限のセキュリティグループでネットワークアクセスを制限する c2.12 OS を自分で管理する箇所にアンチマルウェア／EDR を導入する c2.13 SSH/RDP ポートを開けずに EC2 を管理する c2.15 VPC でネットワークをセグメント化する c2.16 マルチアカウント構成を採用する	c3.12 ゴールデンイメージのパイプラインを構築する c3.13 アウトバウンドトラフィックを制御する	c4.9 ゼロトラストアクセスを強制する c4.10 抽象化された（サーバーレス）サービスを優先する
AWS CAF 7 Data protection 2 クイックウィン, 4 基礎, 1 効率化, 0 最適化	c1.12 ストレージへのパブリックアクセスをブロックする c1.13 データセキュリティポスチャを分析する	c2.14 生成 AI ワークロードのデータを保護する c2.17 保存データを暗号化する c2.18 データをバックアップし、改ざん不能にする c2.19 機微データを検出する	c3.14 転送中のデータを暗号化する
AWS CAF 8 Application security 1 クイックウィン, 2 基礎, 4 効率化, 1 最適化	c1.15 Web アプリケーションを保護する	c2.20 開発の早い段階でセキュリティチームを関与させる c2.21 シークレットをコードの外に保つ	c3.15 脅威モデリングを実施する c3.16 AWS WAF のカスタムルールを追加する c3.17 デリバリーにエージェント型セキュリティレビューを追加する c3.18 DDoS 攻撃を緩和する	c4.11 レッドチームを編成する
AWS CAF 9 Incident response 1 クイックウィン, 1 基礎, 4 効率化, 4 最適化	c1.14 重大なセキュリティ検出結果に対応する	c2.22 インシデント対応プレイブックを定義する	c3.19 机上演習（テーブルトップ）を実施する c3.20 重要なプレイブックを自動化する c3.21 セキュリティインシデントを調査する c3.22 マネージドインシデント対応を手配する	c4.12 ブルーチームを編成する c4.13 高度なセキュリティ自動化を構築する c4.14 セキュリティオーケストレーションとチケット管理を追加する c4.15 構成逸脱の是正を自動化する
AWS CAF 10 Resiliency 1 クイックウィン, 1 基礎, 1 効率化, 2 最適化	c1.16 ワークロードのレジリエンスを評価する	c2.23 マルチ AZ 冗長性を前提に設計する	c3.23 災害復旧を計画する	c4.16 マルチリージョンの災害復旧を自動化する c4.17 カオスエンジニアリングを実践する
Well-Architected 1 Security foundations 2 クイックウィン, 3 基礎, 2 効率化, 2 最適化	c1.1 アカウントのセキュリティ連絡先を割り当てる c1.5 root アカウントを保護する	c2.1 セキュリティおよび規制要件の特定 c2.5 SCP と RCP でガードレールを設定する c2.16 マルチアカウント構成を採用する	c3.2 Infrastructure as Code を使う c3.15 脅威モデリングを実施する	c4.6 脅威インテリジェンスを構築する c4.15 構成逸脱の是正を自動化する
Well-Architected 2 Identity and access management 5 クイックウィン, 3 基礎, 2 効率化, 2 最適化	c1.4 多要素認証を必須にする c1.5 root アカウントを保護する c1.6 ID を一元化し、アクセスをフェデレーションする c1.7 意図しないアクセスと未使用アクセスを整理する c1.12 ストレージへのパブリックアクセスをブロックする	c2.5 SCP と RCP でガードレールを設定する c2.6 アクセスキーの代わりに一時的な認証情報を使う c2.21 シークレットをコードの外に保つ	c3.5 IAM を最小権限に向けて見直す c3.6 顧客 ID を保護する	c4.3 IAM データ境界を強制する c4.5 一時的な昇格アクセスを付与する
Well-Architected 3 Detection 4 クイックウィン, 0 基礎, 3 効率化, 2 最適化	c1.3 クラウドのセキュリティ体制を評価する c1.8 アクティブな脅威を検出する c1.9 アカウントアクティビティを監査する c1.14 重大なセキュリティ検出結果に対応する		c3.7 カスタム脅威検知を追加する c3.20 重要なプレイブックを自動化する c3.21 セキュリティインシデントを調査する	c4.7 ネットワークフローを分析する c4.15 構成逸脱の是正を自動化する
Well-Architected 4 Infrastructure protection 2 クイックウィン, 6 基礎, 4 効率化, 1 最適化	c1.11 リスクのある管理ポートの開放を閉じる c1.15 Web アプリケーションを保護する	c2.7 EC2 インスタンスで IMDSv2 を強制する c2.9 インフラストラクチャの脆弱性を管理する c2.11 最小権限のセキュリティグループでネットワークアクセスを制限する c2.12 OS を自分で管理する箇所にアンチマルウェア／EDR を導入する c2.13 SSH/RDP ポートを開けずに EC2 を管理する c2.15 VPC でネットワークをセグメント化する	c3.12 ゴールデンイメージのパイプラインを構築する c3.13 アウトバウンドトラフィックを制御する c3.16 AWS WAF のカスタムルールを追加する c3.18 DDoS 攻撃を緩和する	c4.15 構成逸脱の是正を自動化する
Well-Architected 5 Data protection 2 クイックウィン, 3 基礎, 1 効率化, 2 最適化	c1.12 ストレージへのパブリックアクセスをブロックする c1.13 データセキュリティポスチャを分析する	c2.17 保存データを暗号化する c2.18 データをバックアップし、改ざん不能にする c2.19 機微データを検出する	c3.14 転送中のデータを暗号化する	c4.3 IAM データ境界を強制する c4.9 ゼロトラストアクセスを強制する
Well-Architected 6 Incident response 1 クイックウィン, 1 基礎, 4 効率化, 4 最適化	c1.1 アカウントのセキュリティ連絡先を割り当てる	c2.22 インシデント対応プレイブックを定義する	c3.19 机上演習（テーブルトップ）を実施する c3.20 重要なプレイブックを自動化する c3.21 セキュリティインシデントを調査する c3.22 マネージドインシデント対応を手配する	c4.5 一時的な昇格アクセスを付与する c4.11 レッドチームを編成する c4.12 ブルーチームを編成する c4.14 セキュリティオーケストレーションとチケット管理を追加する
Well-Architected 7 Application security 0 クイックウィン, 4 基礎, 5 効率化, 2 最適化		c2.2 クラウドセキュリティ研修計画の策定 c2.9 インフラストラクチャの脆弱性を管理する c2.10 アプリケーションの脆弱性を管理する c2.20 開発の早い段階でセキュリティチームを関与させる	c3.2 Infrastructure as Code を使う c3.9 セキュリティチャンピオンプログラムを運営する c3.10 DevSecOps パイプラインを構築する c3.11 エージェント型ペネトレーションテストを採用する c3.17 デリバリーにエージェント型セキュリティレビューを追加する	c4.1 セキュリティの作業と責任を分担する c4.4 IAM ポリシー生成パイプラインを構築する
NIST CSF 1 GV — Govern 2 クイックウィン, 2 基礎, 2 効率化, 1 最適化	c1.1 アカウントのセキュリティ連絡先を割り当てる c1.13 データセキュリティポスチャを分析する	c2.1 セキュリティおよび規制要件の特定 c2.3 AI セキュリティガバナンスとモデルインベントリの確立	c3.4 コンプライアンスレポートを作成する c3.9 セキュリティチャンピオンプログラムを運営する	c4.1 セキュリティの作業と責任を分担する
NIST CSF 2 ID — Identify 1 クイックウィン, 2 基礎, 4 効率化, 4 最適化	c1.8 アクティブな脅威を検出する	c2.9 インフラストラクチャの脆弱性を管理する c2.19 機微データを検出する	c3.1 セキュアなアーキテクチャを設計する c3.3 タグ付け戦略を定義する c3.15 脅威モデリングを実施する c3.19 机上演習（テーブルトップ）を実施する	c4.6 脅威インテリジェンスを構築する c4.11 レッドチームを編成する c4.12 ブルーチームを編成する c4.17 カオスエンジニアリングを実践する
NIST CSF 3 PR — Protect 9 クイックウィン, 14 基礎, 7 効率化, 3 最適化	c1.4 多要素認証を必須にする c1.5 root アカウントを保護する c1.6 ID を一元化し、アクセスをフェデレーションする c1.7 意図しないアクセスと未使用アクセスを整理する c1.11 リスクのある管理ポートの開放を閉じる c1.12 ストレージへのパブリックアクセスをブロックする c1.13 データセキュリティポスチャを分析する c1.15 Web アプリケーションを保護する c1.16 ワークロードのレジリエンスを評価する	c2.2 クラウドセキュリティ研修計画の策定 c2.4 資産の棚卸しと構成変更の監視 c2.5 SCP と RCP でガードレールを設定する c2.6 アクセスキーの代わりに一時的な認証情報を使う c2.7 EC2 インスタンスで IMDSv2 を強制する c2.10 アプリケーションの脆弱性を管理する c2.11 最小権限のセキュリティグループでネットワークアクセスを制限する c2.13 SSH/RDP ポートを開けずに EC2 を管理する c2.15 VPC でネットワークをセグメント化する c2.17 保存データを暗号化する c2.18 データをバックアップし、改ざん不能にする c2.20 開発の早い段階でセキュリティチームを関与させる c2.21 シークレットをコードの外に保つ c2.23 マルチ AZ 冗長性を前提に設計する	c3.5 IAM を最小権限に向けて見直す c3.6 顧客 ID を保護する c3.10 DevSecOps パイプラインを構築する c3.12 ゴールデンイメージのパイプラインを構築する c3.13 アウトバウンドトラフィックを制御する c3.14 転送中のデータを暗号化する c3.18 DDoS 攻撃を緩和する	c4.3 IAM データ境界を強制する c4.5 一時的な昇格アクセスを付与する c4.9 ゼロトラストアクセスを強制する
NIST CSF 4 DE — Detect 4 クイックウィン, 1 基礎, 3 効率化, 1 最適化	c1.3 クラウドのセキュリティ体制を評価する c1.8 アクティブな脅威を検出する c1.9 アカウントアクティビティを監査する c1.14 重大なセキュリティ検出結果に対応する	c2.8 GuardDuty の検出結果をトリアージし、保護プランを有効化する	c3.7 カスタム脅威検知を追加する c3.8 AI ランタイムへの脅威を検知する c3.21 セキュリティインシデントを調査する	c4.7 ネットワークフローを分析する
NIST CSF 5 RS — Respond 1 クイックウィン, 1 基礎, 3 効率化, 3 最適化	c1.1 アカウントのセキュリティ連絡先を割り当てる	c2.22 インシデント対応プレイブックを定義する	c3.20 重要なプレイブックを自動化する c3.21 セキュリティインシデントを調査する c3.22 マネージドインシデント対応を手配する	c4.13 高度なセキュリティ自動化を構築する c4.14 セキュリティオーケストレーションとチケット管理を追加する c4.15 構成逸脱の是正を自動化する
NIST CSF 6 RC — Recover 0 クイックウィン, 1 基礎, 1 効率化, 1 最適化		c2.18 データをバックアップし、改ざん不能にする	c3.23 災害復旧を計画する	c4.16 マルチリージョンの災害復旧を自動化する