CCCS Medium Cloud Control

AWS Audit Manager は、カナダサイバーセキュリティセンター (CCCS) Medium Cloud Control をサポートする構築済みの標準フレームワークを提供します。

CCCS とは

CCCS は、サイバーセキュリティに関する専門的なガイダンス、サービス、サポートを提供するカナダの権威ある機関です。CCCS はこの専門知識をカナダの政府、業界、一般市民に提供しています。クラウドサービスプロバイダーに対する厳格な評価は、カナダ全国で公共組織が情報に基づくクラウド調達の意思決定を行う際に頼りにされています。

「CCCS Medium Cloud Control Profile」は、2020 年 5 月にカナダ政府の「PROTECTED B / Medium Integrity / Medium Availability (PBMM)」プロファイルに取って代わりました。「CCCS Medium Cloud Security Control Profile」は、パブリッククラウドサービスを利用して機密性、完全性、可用性 (AIC) 要件が中程度の事業活動に対応する組織に適しています。AIC 要件が中程度のワークロードでは、不正な開示、変更、または事業活動で使用する情報やサービスへのアクセス喪失が、個人または組織に重大な損害を与えたり、個人の集団に限定的な損害を与えたりすることが十分に予想されます。これらの程度の損害には次のような例があります。

• 年間利益への重大な影響

• 主要アカウントの喪失

• 信用の喪失

• 明確なコンプライアンス違反

• 何百人、何千人もの人々のプライバシー侵害

• プログラムのパフォーマンスへの影響

• 精神障害や病気の原因になること

• サボタージュ

• 評判へのダメージ

• 個人の経済的困難

このフレームワークを使用する

CCCS Medium Cloud Control の AWS Audit Manager フレームワークを使用すると、監査の準備に役立ちます。このフレームワークには、説明とテスト手順を含む、構築済みのコントロールのコレクションが含まれています。これらのコントロールは、CCCS の要件に従ってコントロールセットにグループ化されます。このフレームワークとそのコントロールをカスタマイズして、特定の要件を満たす必要がある内部監査をサポートすることもできます。

フレームワークを出発点として使用して Audit Manager の評価を作成し、CCCS Medium Cloud Control の監査に関連する証拠の収集を開始できます。評価では、監査の範囲 AWS アカウント に含める を指定できます。評価を作成すると、Audit Manager は AWS リソースの評価を開始します。これは、CCCS Medium Cloud Control フレームワークで定義されているコントロールに基づいて行われます。監査の時間になると、ユーザー (または任意の受任者) は、Audit Manager で収集された証拠を確認できます。評価の証拠フォルダを参照するか、評価レポートに含める証拠を選択できます。または、エビデンスファインダーを有効にした場合は、特定のエビデンスを検索して CSV 形式でエクスポートしたり、検索結果から評価レポートを作成できます。どの場合でも、この評価レポートは、コントロールが意図したとおりに機能していることを実証するのに役立ちます。

このフレームワークの詳細は以下のとおりです。

のフレームワーク名 AWS Audit Manager	自動化されたコントロールの数	手動コントロールの数	コントロールセットの数
Canadian Centre for Cyber Security (CCCS) Medium Cloud Control	119	234	175

重要

このフレームワークが意図した証拠を確実に収集するには AWS Security Hub、Security Hub ですべての標準を有効にしていることを確認してください。

このフレームワークが意図した証拠を確実に収集するには AWS Config、必要な AWS Config ルールを有効にしてください。この標準フレームワークでデータソースマッピングとして使用される AWS Config ルールを確認するには、AuditManager_AuditManager_ConfigDataSourceMappings_CCCS-Medium-Cloud-Control.zip ファイルをダウンロードします。

この AWS Audit Manager フレームワークのコントロールは、システムが CCCS Medium Cloud Control の要件に準拠しているかどうかを確認することを目的としたものではありません。さらに、CCCS audit に合格することを保証することはできません。手動証拠収集を必要とする手続き型コントロールは自動的にチェック AWS Audit Manager されません。

次のステップ

含まれている標準コントロールのリストなど、このフレームワークに関する詳細情報を表示する方法については、「AWS Audit Manager でのフレームワークの確認」を参照してください。

このフレームワークを使用して評価を作成する方法については、「での評価の作成 AWS Audit Manager」を参照してください。

特定の要件をサポートするためにこのフレームワークをカスタマイズする方法については、「AWS Audit Manager で既存のフレームワークの編集可能なコピーを作成する」を参照してください。