Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第12部 12-3

AWSのセキュリティ設計とは｜IAM・ログ・検知・データ保護の基本

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • AWSで自社のサービスを運用しているとき
  • 開発会社が作ったAWSの環境を引き継ぎ、まず何を確かめればよいか知りたいとき
  • AWS Certified Security – Specialty（SCS-C03）の6つの分野を、実務の順番でつかみたいとき

読み終えたあと、社内でこう言えます

「AWSのルートユーザーを封印し、操作記録と脅威の検知を有効にしました」

結論：AWSのセキュリティ設計とは、AWSが守る範囲の上で、自社の担当分を設計することです。設備やサーバーの土台はAWSが守りますが、誰に何を許すか、データをどう守るかは利用者の責任です。中心はIAM（権限）、ログと検知、データ保護の3つです。まずルートユーザーを封印し、操作の記録と脅威の検知を有効にするところから始めます。

AWSで利用者が設計する4つの領域：IAM・ログ・検知・データ保護

AWSの責任共有モデルとは？どこまでが自社の担当か

AWSは、守る役割を「クラウドのセキュリティ」と「クラウドの中のセキュリティ」に分けています。前者はAWSの担当で、後者が利用者の担当です。これを責任共有モデルと呼びます。

担当守るもの
AWS（クラウドのセキュリティ）データセンターの建物と設備、機器、ネットワーク、仮想化の土台
利用者（クラウドの中のセキュリティ）IAMの権限、データと暗号化の選択、OSとアプリの更新、通信の許可設定

担当の広さは、使うサービスで変わります。仮想サーバーのAmazon EC2では、OSの更新も利用者の仕事です。ファイルを置くAmazon S3のようなサービスでは、OSはAWSが管理し、利用者はデータと権限を管理します。クラウド全般の考え方は8-4 クラウドサービスを選ぶときの確認項目でも扱っています。

Well-Architectedのセキュリティの柱：7つの設計原則

AWSは設計の良い型を「Well-Architected Framework」としてまとめています。そのセキュリティの柱には、7つの設計原則があります。

  1. 強いID基盤を作る：最小権限にし、長期間使える認証情報に頼らない。
  2. 追跡できるようにする：操作と変更を記録し、見張る。
  3. すべての層で守る：ネットワーク、サーバー、アプリ、データのそれぞれで対策する。
  4. 守りを自動化する：設定や確認を、手作業ではなく仕組みで回す。
  5. 保存中と通信中のデータを守る：分類したうえで暗号化やアクセス制御を使う。
  6. 人をデータから離す：本番のデータを人が直接さわる場面を減らす。
  7. 事故に備える：対応の手順を決め、訓練する。

ベストプラクティスは、土台・IAM・検知・インフラ保護・データ保護・インシデント対応・アプリのセキュリティの7分野に分かれています。SCS-C03の6つの出題分野とも、ほぼ重なります。

SCS-C03の分野（配点）この記事の節
1 検知（16%）／2 インシデント対応（14%）ログと検知
3 インフラのセキュリティ（18%）データ保護と通信の制限
4 IDとアクセス管理（20%）IAM
5 データ保護（18%）データ保護と通信の制限
6 セキュリティの基盤とガバナンス（14%）アカウントの分け方、最初に確かめる順番

IAMで最初にやることは？ルートユーザーと最小権限

IAM（Identity and Access Management）は、誰が、どのAWSの資源に、何をしてよいかを決める仕組みです。権限を与えすぎていると、認証情報が1つ漏れただけで被害が大きくなります。AWSのIAMのベストプラクティスから、中小企業でまず押さえる項目を選ぶと次のとおりです。

項目やること
ルートユーザー多要素認証を設定し、アクセスキーは作らない。日常の作業には使わない
人のログインIAM Identity Centerなどで、一時的な認証情報でログインさせる
プログラムの権限アクセスキーを埋め込まず、IAMロールの一時的な認証情報を使う
最小権限管理者権限を配らず、仕事に必要な操作だけを許す
棚卸し使っていないユーザー・ロール・キーを定期的に消す
外部公開の確認IAM Access Analyzerで、外部や他アカウントに開いている資源を確かめる

ルートユーザーは、そのAWSアカウントのすべてを操作できる特別なユーザーです。AWSの説明では、すべての種類のアカウントでルートユーザーの多要素認証が必須になりました。未設定なら、最初のログインから35日以内の登録が求められます。

本番と開発でAWSアカウントを分け、AWS Organizationsでまとめて管理するのも基本の型です。1つのアカウントで事故が起きても、ほかに広がりにくくなります。考え方は12-2 ゼロトラストの「必要な分だけ許す」と同じです。

ログと検知：CloudTrailとGuardDutyで何が分かる？

事故に気づき、原因を調べるには記録が欠かせません。AWSの主な仕組みを、役割で分けると次のとおりです。

サービス役割
AWS CloudTrail誰がいつどの操作をしたかの記録。過去90日分の管理操作は最初から見られる
Amazon GuardDuty操作の記録や通信、DNSの記録から、怪しい動きを自動で見つける
AWS Security Hub CSPM設定がベストプラクティスに沿っているかを点検し、指摘をまとめる
AWS Config資源の設定の変化を記録し、ルールに合わない設定を見つける

CloudTrailの「イベント履歴」は90日で消えます。それより長く残すには、証跡（trail）などを作って保存先を決める必要があります。取引先から求められるログの保存期間はログ保存期間の設問の答え方を参考にしてください。

GuardDutyとSecurity Hub CSPMには、初めて有効にしたときに30日間の無料期間があります。その間に、自社の環境でどれだけの指摘と費用が出るかを確かめられます。見つかった後の調べ方は9-3 原因の切り分けと復旧で扱います。

データ保護と通信の制限：S3の公開と暗号化

AWSで特に気をつけたい設定の一つが、S3の公開設定です。2023年4月から、新しく作るS3バケットは「パブリックアクセスのブロック」が最初から有効になりました。ただし、それより前に作ったバケットや、あとで設定を変えたバケットは別です。

  1. 公開の確認：アカウント全体でS3のパブリックアクセスのブロックを有効にし、例外を一覧にする。
  2. 暗号化と鍵：保存するデータを暗号化し、大事なデータはAWS KMSの鍵と、その鍵を使える人を管理する（3-5 鍵管理と暗号化）。
  3. 秘密の情報：データベースのパスワードなどはソースコードに書かず、AWS Secrets Managerなどに置いて定期的に変える。
  4. 通信の許可：セキュリティグループで、管理用のポートを世界中に開けない。
  5. EC2の設定：インスタンスメタデータは、トークンが必要なIMDSv2だけを受け付ける設定にする。
  6. バックアップ：AWS Backupなどで別の場所に複製し、戻せるか試す。

たとえば社員15人のWebサービス会社では（架空の例）

予約サービスをAWSで運用し、構築は外部の開発会社、運用は社内のエンジニア1人という会社を考えます。引き継いだ環境を調べると、ルートユーザーのアクセスキーが開発会社のパソコンに残っていました。CloudTrailは90日のイベント履歴だけで、GuardDutyは未設定でした。

この会社は、まずルートのアクセスキーを消し、多要素認証を確かめました。次に、開発会社にはIAM Identity Centerで期限つきの権限を渡しました。続いて、証跡と保存先を作り、GuardDutyとSecurity Hub CSPMを有効にしました。どれも、システムを作り直さずに進められる作業です。

チェックシートではこう聞かれる

よくある設問答え方の例
クラウドの管理者アカウントに多要素認証を設定していますか。はい。AWSのルートユーザーと全管理者に多要素認証を設定し、ルートユーザーは日常の作業に使っていません。
クラウド上の操作ログを取得し、一定期間保存していますか。はい。AWS CloudTrailの証跡を全リージョンで有効にし、別アカウントの保存先に1年間保管しています。
クラウドの設定ミスや不正な操作を検知する仕組みはありますか。いいえ。現在は未整備で、〇月までにGuardDutyとSecurity Hub CSPMを有効にし、通知先を決める予定です。

「はい」と書くときは、設定の画面や証跡の一覧など、根拠を示せる状態にしておくと安心です。書き方はチェックシートの回答の書き方を参考にしてください。

試験ではここが問われる

AWS 1・AWS 2・AWS 3・AWS 4・AWS 5・AWS 6

  • 責任共有モデル：「クラウドのセキュリティ」はAWS、「クラウドの中のセキュリティ」は利用者。EC2のOSの更新は利用者の担当です。
  • 一時的な認証情報：人はIdPとの連携やIAM Identity Center、プログラムはIAMロール（AWS STS）。長期間有効なアクセスキーは避けます。
  • サービスの役割の区別：CloudTrailは操作の記録、GuardDutyは脅威の検知、Configは設定の記録と準拠の確認、Security Hub CSPMは設定点検と指摘の集約、Macieは機密データの発見です。
  • CloudTrailの90日：イベント履歴は管理操作の90日分。長く残す、データイベントを取る、組織全体で集めるには証跡やイベントデータストアが必要です。
  • SCS-C03の形式：採点対象50問と採点されない15問。100〜1,000のスコアで750以上が合格です。

確認問題

問1 AWSの責任共有モデルで、利用者の責任となるものはどれですか。

  1. ア データセンターの入退室管理
  2. イ 仮想化の土台となるソフトウェアの更新
  3. ウ EC2インスタンスのOSへの更新プログラムの適用
  4. エ AWSのネットワーク機器の保守
答えと解説
正解：ウ　EC2の上で動くOSの更新は「クラウドの中のセキュリティ」で、利用者の担当です。ア・イ・エは設備や土台の話で、AWSが担当する「クラウドのセキュリティ」に当たります。

問2 「先月、誰がS3バケットの設定を変えたか」を調べるときに、最初に見るべき記録はどれですか。

  1. ア AWS CloudTrail
  2. イ Amazon GuardDuty
  3. ウ AWS KMS
  4. エ セキュリティグループ
答えと解説
正解：ア　誰がいつどの操作をしたかを記録するのはCloudTrailです。GuardDutyは怪しい動きを見つけるサービスで、操作の記録そのものではありません。KMSは鍵の管理、セキュリティグループは通信の許可設定です。

問3 社員10人の会社（架空）で、外部の開発会社にAWSの作業を頼むことになりました。権限の渡し方として最も適切なものはどれですか。

  1. ア ルートユーザーのパスワードを共有する
  2. イ 管理者権限のアクセスキーを作り、メールで送る
  3. ウ 作業に必要な範囲の権限を、期限つきの一時的な認証情報で渡す
  4. エ 社内の社員のIAMユーザーを貸す
答えと解説
正解：ウ　最小権限と一時的な認証情報が基本です。アはすべてを操作でき、誰の操作か区別もできません。イは長期のキーが漏れる危険があり、エは操作した人の記録があいまいになります。

よくある質問

AWSを使っていれば、セキュリティはAWSが守ってくれますか？
いいえ、守ってくれるのは設備や土台までです。権限の設定、データの公開範囲、OSの更新などは利用者の責任です。設定の誤りによる漏えいは、利用者側の問題として扱われます。
小さな会社でも、GuardDutyやSecurity Hub CSPMは必要ですか？
本番のサービスを動かしているなら、有効にする価値は高いです。どちらも初めて有効にしたときに30日間の無料期間があります。その間に、指摘の量と費用を見てから続けるかを決められます。
AWSのセキュリティ資格（SCS-C03）は、どんな人向けですか？
AWSは、クラウドのセキュリティの実務経験3〜5年相当の人を想定しています。検知・インシデント対応・インフラ・IAM・データ保護・ガバナンスの6分野から出ます。この記事の順番で実務と結びつけると、覚えやすくなります。

この記事のまとめ

AWSの設問の回答づくりは任せて、確認だけに

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたセキュリティチェックシートのうち、クラウドやログの設問に、御社のAWSの実態に合わせた回答を作ってお返しします。未整備の項目には、代わりの対策と予定の書き方も添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. AWS「Shared Responsibility Model（責任共有モデル）」
  2. AWS「Security Pillar – AWS Well-Architected Framework」（2024年11月）
  3. AWS「Security best practices in IAM」
  4. AWS「Root user best practices for your AWS account」
  5. AWS「Working with CloudTrail event history」
  6. AWS「What is Amazon GuardDuty?」
  7. AWS「What is AWS Security Hub CSPM?」
  8. AWS「Amazon S3 now applies two security best practices to all new buckets by default」（2023年4月）
  9. AWS「Use the Instance Metadata Service（IMDSv2）」
  10. AWS「AWS Certified Security – Specialty (SCS-C03) Exam Guide」（2026年3月）