コンプライアンスとは
コンプライアンス（Compliance）とは、一般的には「法令遵守」と訳されますが、ビジネスやITの世界、特にクラウドコンピューティングにおけるコンプライアンスは、単に法律を守るだけでなく、業界の規制、社内ポリシー、国際的なセキュリティ基準、プライバシー保護のガイドラインなどを遵守し、適切にシステムを運用・管理している状態を指します。企業が顧客の個人情報やクレジットカード情報、医療データなどの機密性の高い情報を扱う場合、データ漏洩や不正アクセスを防ぐための厳格な基準（例えば、PCIDSS、HIPAA、GDPR、ISO 27001など）に従うことが法的に、あるいはビジネスの取引条件として求められます。AWSを利用する場合、AWS側がインフラストラクチャレベルのコンプライアンスを維持する一方で、ユーザー側もAWS上で構築するシステムやデータ管理においてコンプライアンスを満たす責任があります。これを「責任共有モデル」と呼びます。クラウド環境におけるコンプライアンスの達成は、企業の信頼性を保ち、事業継続性を確保するために不可欠な要素です。
具体例
コンプライアンス要件を満たす必要がある具体的なシーンを考えてみましょう。
- クレジットカード情報を扱うECサイト： クレジットカード業界のセキュリティ基準である「PCI DSS」に準拠する必要があります。データの暗号化、アクセス制御、定期的なセキュリティテストなどが求められ、これらを満たしていないとクレジットカード決済を導入できません。
- 医療機関の電子カルテシステム： 米国の医療保険の相互運用性と説明責任に関する法律である「HIPAA」などの要件を満たす必要があります。患者の個人情報（PHI）を強力に保護し、アクセス履歴を厳密に管理することが義務付けられます。
- ヨーロッパのユーザー向けサービス： 欧州連合（EU）の一般データ保護規則「GDPR」に準拠し、ユーザーのデータプライバシーの権利を尊重し、データ侵害時には速やかに報告する体制を整える必要があります。
これらの基準を満たすため、企業はAWSの様々なセキュリティサービスを組み合わせて、安全な環境を構築・証明しなければなりません。
もう少し詳しく
AWSは、世界中の様々な第三者機関から監査を受け、数多くのグローバルおよび地域特有のコンプライアンス認証プログラム（ISO、SOC、PCI DSS、HIPAAなど）に準拠しています。つまり、AWSが提供するデータセンター、ネットワーク、ハードウェアといった物理的・基盤的なインフラストラクチャは、すでに高度なセキュリティ基準を満たしているということです。しかし、これは「AWSを使えば自動的に自社のシステムもコンプライアンスに準拠する」という意味ではありません。ここで重要になるのが「責任共有モデル」です。
AWSは「クラウド『の』セキュリティ（基盤部分）」に責任を持ちますが、ユーザーは「クラウド『における』セキュリティ（設定やデータ）」に責任を持ちます。例えば、ユーザーはEC2インスタンスのOSのパッチ適用、S3バケットへの適切なアクセス権限の設定、保存データの暗号化などを自らの責任で実施し、要件を満たす必要があります。AWSでは、ユーザーがコンプライアンス要件を満たすための支援ツールを多数提供しています。代表的なものが「AWS Artifact」です。AWS Artifactを利用すると、AWSのISO認証書やSOCレポートなどのセキュリティおよびコンプライアンスに関する監査レポートを無料でダウンロードし、規制当局や監査人に対する証明として利用することができます。
さらに、「AWS Config」を利用すれば、AWSリソースの設定履歴を記録し、特定の設定が社内ポリシーやコンプライアンス基準（例：すべてのS3バケットはパブリックアクセスをブロックしているか）に準拠しているかを継続的に評価・監視することが可能になります。
試験でのポイント
AWS認定クラウドプラクティショナー（CLF-C02）試験において、コンプライアンスに関する問題は「責任共有モデル」と関連付けて出題されることが非常に多いです。
- 責任共有モデルの理解： どの部分のコンプライアンスがAWSの責任であり、どの部分がユーザーの責任であるかを正確に切り分けられるようにしてください。「インフラの物理的セキュリティ」はAWSの責任、「データの暗号化」「アクセス権限の設定」はユーザーの責任です。
- AWS Artifactの役割： 「AWSのコンプライアンスレポート（SOCレポートやPCI DSS認証書など）を取得したい場合、どのサービスを使用するか？」という問題の答えは「AWS Artifact」です。オンデマンドで監査レポートにアクセスできるポータルであることを覚えておきましょう。
- AWS Configによる継続的評価： リソースの設定がコンプライアンス要件に合致しているかを自動的かつ継続的に評価・監査するサービスとして「AWS Config」の役割を理解しておくことが重要です。
関連する用語
コンプライアンスの達成には、AWSの基盤となる責任共有モデルの深い理解が不可欠です。また、監査レポートの取得にはAWS Artifactを使用し、日々のリソース設定の準拠状況のチェックにはAWS Configを活用します。さらに、データの機密性を保ちコンプライアンスを満たすための手段として、AWS KMS（Key Management Service）を用いた暗号化も関連する重要なトピックです。