【新機能】AWS Artifactリリースされました！監査レポートをダウンロードしよう #reinvent

はじめに

AWS Artifactリリースされました！え？キーノートで聞いていない？そうなんです、今回のre:Inventでは、キーノートで全く触れられていない素晴らしい機能やサービスが多数あるんですｗ。そのなかのひとつ、AWS Artifactをご紹介したいと思います。

AWS Artifactとは

AWS Artifactは、無料でセルフサービス型の、AWSコンプライアンスレポートのダウンロードサービスです。ISO、PCI、SOCなどの第三者による監査レポートをダウンロードできます。これにより、AWSがいかに安全で安心して使って頂けるか、NDA情報として利用者に共有します。何日も掛かりません。IAM権限さえ与えれば数分でダウンロードできます。

ダウンロードできるレポートの種類

金融

Global Financial Services Regulatory Principles

このドキュメントは、クラウドにおけるガバナンス、リスク、コンプライアンスの管理方法についての洞察を必要とする金融業界のAWS顧客向けに用意されています。

ISO

ISO 27001:2013 - セキュリティ管理

独立した第三者審査員によって発行されたこの認証は、AWSがISO 27001のベストプラクティスガイダンスに従い、セキュリティ管理のベストプラクティスと包括的なセキュリティ管理に関する国際的に認められているISO 27001に準拠していることを検証します。

ISO 27017:2015 - クラウドのセキュリティ管理

独立した第三者審査員によって発行されたこの認証は、AWSがISO 27002ガイダンスおよびISO 27001標準を補うクラウド固有の情報セキュリティ管理のISO 27017実装ガイダンスに準拠していることを検証します。

ISO 27018:2014 - 個人識別情報の保護

独立した第三者審査員が発行したこの認証は、AWSが、ISO 27002ガイダンスとISO 27001規格を補完するパブリッククラウド個人識別情報（PII）保護に適用されるコントロールのISO 27018実装ガイダンスに準拠していることを検証します。

ISO 9001:2015 - 品質管理

独立した第三者審査員によって発行されたこの認証は、AWSがAWSサービスの開発、設計、提供の効果的な品質管理と継続的改善のためにISO 9001規格に準拠していることを検証します。 AWSクラウドで品質管理されたITシステムを開発、移行、運用する顧客を直接サポートします。

PCI

PCI DSS Attestation of Compliance (AOC) and Responsibility Summary

AWSのお客様は、カード会員データを保管、送信、または処理できる独自のカードデータ環境（CDE）を作成することができます。

医薬

Quality Management System Overview

このドキュメントは、サプライヤの評価を行うためにAWS品質管理システムについての洞察を必要とするGxPのお客様向けに用意されています。このドキュメントが適用されるサービスとAWS地域については、AWS ISO 9001のドキュメントを参照してください。

SOC

Service Organization Controls (SOC) 1 Report

このドキュメントでは、財務報告（ICOFR）に対する内部統制に影響を与えるかもしれないAWSコントロールの有効性を評価します。監査は、SSAE 16およびISAE 3402の基準に従って行われます。多くのAWS顧客は、このレポートをSarbanes-Oxleyの取り組みの不可欠な部分として使用しています。

Service Organization Controls (SOC) 2 Report

このドキュメントは、米国公認会計士協会（AICPA）TSPセクション100、セキュリティサービス、可用性、処理の整合性、機密性、およびプライバシーのためのトラストサービスの原則と基準におけるセキュリティと可用性の基準を満たすAWSコントロールを評価します。

Service Organization Controls (SOC) 3 Report

SOC 3は、AWS SOC 2レポートの概要です。 AWSは、SOC 2監査報告書においてAICPAの信頼原則を満たしており、外部監査人のコントロールの運用についての意見を含んでいることを概説している（米国公認会計士協会TSPセクション100、Trust Servicesセキュリティ、可用性、処理の完全性、機密性、およびプライバシーに関する原則と基準）。このレポートで扱うサービスとデータセンターの場所については、AWS SOC 2レポートを参照してください。

レポートをダンロードする

IAMに権限さえ付与されていれば直ぐにダウンロードできますので、早速やってみたいと思います。

IAMユーザーにポリシーを付与する

まずはダウンロードするIAMユーザに以下のようなポリシーを作成して付与します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "artifact:Get"
            ],
            "Resource": [
                "arn:aws:artifact:::report-package/Certifications and Attestations/SOC/*",
                "arn:aws:artifact:::report-package/Certifications and Attestations/PCI/*",
                "arn:aws:artifact:::report-package/Certifications and Attestations/ISO/*"
            ]
        }
    ]
}

次に付与されたIAMユーザーを使って以下のサイトを開きます。

AWS Artifact

あとはダウンロードするだけです！！

Adobe Acrobat Readerで開くと最初にNDAが書いてあります。そして、PDFメニューから添付を確認して頂きますと、監査レポート部分を確認できます。

まとめ

あっけないほど簡単に重要な書類を取得することができました。なお、取得した文章には電子透かしが入っており、むやみにメール送信したり、不特定多数に公開することはできませんので気をつけてください。