ある企業は SOC 2 Type II の年次監査を受けており、監査人へのエビデンス（証拠書類）提出に毎回数週間を要しています。CloudTrail ログ・AWS Config スナップショット・IAM レポートなど複数

Question

ある企業は SOC 2 Type II の年次監査を受けており、監査人へのエビデンス（証拠書類）提出に毎回数週間を要しています。CloudTrail ログ・AWS Config スナップショット・IAM レポートなど複数のサービスからエビデンスを自動収集・整理し、監査人がポータルから直接確認できる仕組みを構築したい場合、最も適切なアプローチはどれですか？

Accepted Answer

正解: AWS Audit Manager に SOC 2 フレームワークを設定し、エビデンスの自動収集・整理を行う。AWS Audit Manager は SOC 2・PCI DSS・ISO 27001 などの事前定義フレームワークを提供し、CloudTrail・Config・Security Hub などの複数ソースからエビデンスを自動収集・分類します。監査人は Audit Manager の評価ポータルから直接証拠を確認・ダウンロードでき、手動のエビデンス収集作業を大幅に削減できます。

選択肢AのCloudTrail ログを S3 に集約し、監査人用 IAM ユーザーを作成してバケットポリシーでアクセスを許可するアプローチは、エビデンスの自動整理機能がなく手動での対応が必要です。

選択肢CのAWS Security Hub で SOC 2 向けカスタム基準を作成してコンプライアンスレポートを定期的に S3 にエクスポートするアプローチは、監査人向けのエビデンス管理機能を持ちません。

選択肢DのAWS Config のコンフォーミティパックで SOC 2 ルールセットを適用し、非準拠リソースのレポートを監査人にメール送信するアプローチは、準拠確認には有効ですが、監査人向けのエビデンス管理ポータル機能を持ちません。

Answer

CloudTrail ログを S3 に集約し、監査人用 IAM ユーザーを作成してバケットポリシーでアクセスを許可する — CloudTrail ログを S3 に集約し、監査人用 IAM ユーザーを作成してバケットポリシーでアクセスを許可するアプローチは、エビデンスの自動整理機能がなく手動での対応が必要です。

Answer

AWS Security Hub で SOC 2 向けカスタム基準を作成し、コンプライアンスレポートを定期的に S3 にエクスポートする — AWS Security Hub で SOC 2 向けカスタム基準を作成してコンプライアンスレポートを定期的に S3 にエクスポートするアプローチは、監査人向けのエビデンス管理機能を持ちません。

Answer

AWS Config のコンフォーミティパックで SOC 2 ルールセットを適用し、非準拠リソースのレポートを監査人にメール送信する — AWS Config のコンフォーミティパックで SOC 2 ルールセットを適用し、非準拠リソースのレポートを監査人にメール送信するアプローチは、準拠確認には有効ですが、監査人向けのエビデンス管理ポータル機能を持ちません。

解説

解説