ストーリー

主要な規制・基準の整理

グローバル規制マップ

クラウドプロバイダーの準拠状況

主要認証の取得状況

クラウドプロバイダーが認証を取得していても、その上で構築するシステムのコンプライアンスは顧客の責任。プロバイダーの認証はあくまで「基盤」の証明だ。

コンプライアンス管理フレームワーク

Policy as Code

コンプライアンス自動チェック

Policy as Codeの適用フロー:

IaC変更（Pull Request）
    │
    ├── Terraform Plan
    │       │
    │       ├── Sentinel Policy Check ──→ 違反があればブロック
    │       │
    │       └── Infracost Check ──→ コスト影響の表示
    │
    ├── OPA/Conftest Check ──→ セキュリティポリシーの検証
    │
    └── マージ → デプロイ

ランタイムチェック（継続的）:
    │
    ├── AWS Config ──→ 設定変更の検知・自動修復
    ├── GCP SCC  ──→ セキュリティ状態の継続的評価
    └── Azure Policy ──→ コンプライアンス状態の監視

データ主権と越境データ移転

データ所在地の管理

越境データ移転の判断フロー

データの越境移転が必要か？
    │
    ├── No → 国内リージョンで完結
    │
    └── Yes → 移転先の適切性を確認
              │
              ├── 十分性認定国？ → 移転可能
              │
              ├── SCC（標準契約条項）あり？ → 条件付き移転可能
              │
              └── それ以外 → 個別審査・同意取得が必要

監査対応

マルチクラウド監査の準備

まとめ

チェックリスト

• 主要な規制・基準の要件を理解した
• クラウドプロバイダーの認証と自社責任の違いを理解した
• Policy as Codeの概念と実装方法を理解した
• データ主権と越境データ移転の管理方法を理解した

次のステップへ

次は「演習：統合セキュリティポリシーを策定しよう」で、学んだフレームワークを使って実際のセキュリティポリシーを設計します。

推定読了時間: 30分