LESSON 30分

ストーリー

田
田中VPoE
ランディングゾーンが設計できた。次はコンプライアンスの自動化だ。ポリシーを策定しても、手動でチェックしていたら追いつかない。自動化こそがガバナンスをスケールさせる鍵だ
あなた
手動監査だと、数百のアカウントと数千のリソースをチェックするのは不可能ですよね
あ
田
田中VPoE
そうだ。うちの環境だけでも数十アカウント、数千リソースが存在する。これを人間がチェックするのは現実的ではない。Policy as Code — ポリシーをコードで表現し、自動的にチェック・修復する仕組みを構築する

Policy as Code の考え方

従来型 vs Policy as Code

観点従来型（手動）Policy as Code
チェック方法手動チェックリスト自動スキャン
チェック頻度四半期/年次リアルタイム/日次
カバレッジサンプリング全リソース
レスポンス指摘→修正依頼→確認自動検出→自動修復
ドリフト検出困難自動検出
スケーラビリティ低い高い
エビデンス手動記録自動生成

コンプライアンスチェックの分類

フェーズチェックタイミングツール例
設計時IaCコードのレビュー時tfsec, checkov, cfn-nag
デプロイ時CI/CDパイプライン内OPA/Gatekeeper, Sentinel
稼働時リアルタイム/定期スキャンAWS Config, Security Hub
監査時定期監査レポート生成AWS Audit Manager

継続的コンプライアンスの実装

AWS Config Rules の活用

ルール名チェック内容対象修復
encrypted-volumesEBSボリュームの暗号化全EC2自動暗号化適用
s3-bucket-public-read-prohibitedS3パブリック読取禁止全S3自動ブロック
iam-root-access-key-checkルートアクセスキー禁止全アカウントアラート通知
required-tags必須タグの存在確認全リソース通知→停止
rds-multi-az-supportRDSマルチAZ確認本番DBアラート通知
vpc-flow-logs-enabledVPCフローログ有効化全VPC自動有効化

コンプライアンスダッシュボード

全社コンプライアンススコア: 87% [████████░░]

部門別スコア:
  Engineering     92% [█████████░]
  IoT Platform    88% [████████░░]
  Data Team       84% [████████░░]
  Marketing       79% [███████░░░] ← 要改善
  HR/Admin        73% [███████░░░] ← 要改善

ルール別準拠率:
  暗号化        98% [█████████░]
  タグ付け      82% [████████░░]
  ネットワーク  91% [█████████░]
  IAM          85% [████████░░]
  ログ取得     95% [█████████░]

未準拠リソース: 342件
  Critical: 12件（即時対応必要）
  High: 45件（72h以内に対応）
  Medium: 128件（次スプリントで対応）
  Low: 157件（計画的に対応）

セキュリティコンプライアンス

フレームワーク別の自動チェック

フレームワークチェック項目数自動化率ツール
CIS AWS Benchmark約50項目90%Security Hub
AWS Foundational Security約200項目95%Security Hub
PCI DSS約400項目60%Audit Manager
SOC 2約60項目70%Audit Manager
ISO 27001約100項目50%Audit Manager + 手動

セキュリティ自動修復パイプライン

異常検出 → 分析 → 修復判断 → 実行 → 記録

例: 公開S3バケットの検出と修復

1. Config Rule検出: s3-bucket-public-read-prohibited
2. EventBridge: イベントをキャプチャ
3. Lambda: 自動修復ロジック実行
   ├── パブリックアクセスをブロック
   ├── バケットポリシーを修正
   └── 所有者に通知
4. CloudWatch: 修復完了を記録
5. チケット: 自動で監査記録を作成

ドリフト検出と是正

構成ドリフトの種類

ドリフト種類説明影響
IaCドリフトIaCで管理されている設定がコンソールから変更されたIaCとの乖離
ポリシードリフトポリシーに準拠していたリソースが変更により違反状態にコンプライアンス違反
ベースラインドリフトセキュリティベースラインからの逸脱セキュリティリスク

ドリフト対応プロセス

ステップ内容自動化
1. 検出Config/CloudFormation Drift Detection自動
2. 分類重要度の判定（Critical/High/Medium/Low）自動
3. 通知担当者への通知自動
4. 是正IaCの更新 or 設定の修復一部自動、一部手動
5. 予防再発防止策の実装（SCPの追加等）手動

監査レポートの自動生成

レポート体系

レポート頻度対象内容
デイリーレポート日次CoE新規違反、修復状況、重要アラート
ウィークリーレポート週次部門長部門別スコア、トレンド、アクション
マンスリーレポート月次CTO/CISO全社コンプライアンス状況、リスク評価
クォータリーレポート四半期経営会議監査結果サマリー、改善計画の進捗

まとめ

ポイント内容
Policy as Codeポリシーをコードで表現し、自動チェック・修復
4フェーズチェック設計時→デプロイ時→稼働時→監査時の多層チェック
ドリフト管理構成のドリフトを自動検出し、是正する仕組み
自動レポートステークホルダーごとに適切なレポートを自動生成

チェックリスト

  • Policy as Codeの考え方を理解した
  • 継続的コンプライアンスの実装方法を理解した
  • ドリフト検出と是正のプロセスを理解した
  • 監査レポートの体系を理解した

次のステップへ

次は演習です。実際の組織シナリオを使って、クラウドガバナンスポリシーとランディングゾーンを設計しましょう。

推定読了時間: 30分