NYDFS 23 の運用のベストプラクティス

コンフォーマンスパックは、 マネージドルールまたはカスタム AWS Config ルールと AWS Config 修復アクションを使用して、セキュリティ、運用、またはコスト最適化のガバナンスチェックを作成できるように設計された汎用コンプライアンスフレームワークを提供します。サンプルテンプレートとしてのコンフォーマンスパックは、特定のガバナンスまたはコンプライアンス基準を準拠するようには設計されていません。お客様は、本サービスの利用が該当する法的要件および規制要件を満たしているかどうかについて、お客様自身で評価する責任を負います。

以下に、 金融サービス会社向けのニューヨーク州金融サービス局 (NYDFS) のサイバーセキュリティ要件 (23 NYCRR 500) と AWS マネージド Config ルール間のマッピングの例を示します。各 AWS Config ルールは特定の AWS リソースに適用され、1 つ以上の米国 NYDFS コントロールに関連付けられます。米国の「NYDFS 23 NYCRR 500」によるコントロールを、複数の Config ルールに関連付けることができます。これらのマッピングに関する詳細およびガイダンスについては、以下の表を参照してください。

コントロール ID	コントロールの概要	AWS Config ルール	ガイダンス
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	acm-certificate-expiration-check	X509 証明書が AWS ACM によって発行されるようにすることで、ネットワークの整合性が保護されていることを確認します。これらの証明書は有効で、期限切れではない必要があります。このルールには、 daysToExpiration （AWS Foundational Security Best Practices 値: 90) の値が必要です。実際の値には、組織のポリシーを反映する必要があります。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	alb-http-to-https-redirection-check	転送中のデータを保護するため、暗号化されていない HTTP リクエストを Application Load Balancer が HTTPS に自動的にリダイレクトするようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	api-gw-cache-enabled-and-encrypted	保管中のデータを保護するため、API Gateway ステージのキャッシュで暗号化が有効になっていることを確認します。機密データは API のメソッドでキャプチャされる可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	cloud-trail-encryption-enabled	機密データが存在する可能性があるため、保管中のデータを保護するために、 AWS CloudTrail 証跡で暗号化が有効になっていることを確認してください。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	cloudwatch-log-group-encrypted	保管中の機密データを保護するために、Amazon CloudWatch Log Groups で暗号化が有効になっていることを確認します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	efs-encrypted-check	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic File System (EFS) で暗号化が有効になっていることを確認します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	elasticsearch-encrypted-at-rest	機密データが存在する可能性があるため、Amazon OpenSearch Service (OpenSearch Service) ドメインで暗号化が有効になっていることを確認してください。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	elb-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。 AWS Certificate Manager を使用して、 AWS サービスおよび内部リソースでパブリックおよびプライベート SSL/TLS 証明書を管理、プロビジョニング、デプロイします。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	encrypted-volumes	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	rds-storage-encrypted	保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDS インスタンスには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、 clusterDbEncrypted (Config Default : TRUE) と loggingEnabled (Config Default: TRUE) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	redshift-require-tls-ssl	Amazon Redshift クラスターで、SQL クライアントに接続するために TLS/SSL 暗号化が必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	s3-bucket-server-side-encryption-enabled	保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	s3-bucket-ssl-requests-only	転送中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで、Secure Sockets Layer (SSL) を使用するためのリクエストが必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	sagemaker-endpoint-configuration-kms-key-configured	保管中のデータを保護するため、 SageMaker エンドポイントで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。機密データは SageMaker エンドポイントに保管中に存在する可能性があるため、保管中の暗号化を有効にして、そのデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	sagemaker-notebook-instance-kms-key-configured	保管中のデータを保護するため、 SageMaker ノートブックで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。機密データは SageMaker ノートブックに保存されている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	sns-encrypted-kms	保管中のデータを保護するために、Amazon Simple Notification Service (Amazon SNS) トピックで AWS Key Management Service (AWS KMS) を使用した暗号化が必要であることを確認してください。公開されたメッセージには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	ec2-ebs-encryption-by-default	保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	rds-snapshot-encrypted	Amazon Relational Database Service (Amazon RDS) スナップショットで、暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	alb-http-drop-invalid-header-enabled	Elastic Load Balancing (ELB) が、http ヘッダーを削除するように設定されていることを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	kinesis-stream-encrypted	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Kinesis Streams で暗号化が有効になっていることを確認します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	elasticsearch-node-to-node-encryption-check	Amazon OpenSearch Service の node-to-node 暗号化が有効になっていることを確認します。N ode-to-node 暗号化は、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信に対して TLS 1.2 暗号化を有効にします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	elb-tls-https-listeners-only	Elastic Load Balancing (ELB) が、SSL または HTTPS リスナーを使用して設定されるようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	cloud-trail-log-file-validation-enabled	AWS CloudTrail ログファイルの検証を使用して、 CloudTrail ログの整合性を確認します。ログファイルの検証は、 CloudTrail 配信後にログファイルが変更または削除されたか、変更されていないかを判断するのに役立ちます。この機能は、業界標準のアルゴリズムを使用して構築されています。ハッシュ用の SHA-256 とデジタル署名用の RSA を備えた SHA-256。これにより、検出せずに CloudTrail ログファイルを変更、削除、または偽造することが計算上実行不可能になります。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling は、 AWS Application Auto Scaling サービスを使用して、実際のトラフィックパターンに自動的に応答するプロビジョニングされたスループットキャパシティを調整します。 Auto Scaling これにより、テーブルまたはグローバルセカンダリインデックスで、プロビジョンされた読み取りおよび書き込みの容量が拡張され、トラフィックの急激な増加をスロットリングなしで処理できるようになります。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	elb-deletion-protection-enabled	このルールにより、Elastic Load Balancing で削除保護が有効になっているかどうかを確認します。この機能を使用すると、ロードバランサーが誤って削除されたり悪意を持って削除されることで、アプリケーションの可用性が失われることを防ぐことができます。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) のマルチ AZ のサポートにより、データベースインスタンスの可用性と耐久性が強化されます。マルチ AZ のデータベースインスタンスをプロビジョニングすると、Amazon RDS はプライマリデータベースのインスタンスを自動的に作成し、別のアベイラビリティーゾーンのスタンバイインスタンスにデータを同期的にレプリケートします。各アベイラビリティーゾーンは、物理的に独立した独自のインフラストラクチャで実行されますが、高度な信頼性を実現できるよう設計されています。インフラストラクチャに障害が発生した場合、Amazon RDS ではスタンバイへの自動フェイルオーバーが実行されるため、フェイルオーバーが完了するとすぐにデータベース運用を再開できます。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	s3-bucket-default-lock-enabled	Amazon Simple Storage Service (Amazon S3) バケットで、 デフォルトでロックが有効になっていることを確認します。S3 バケットには機密データが含まれている可能性があるため、保管時にオブジェクトロックを適用してデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	vpc-vpn-2-tunnels-up	冗長な Site-to-Site VPN トンネルを実装することで、回復性の要件を満たすことができます。2 つのトンネルを使用することで、Site-to-Site VPN 接続の 1 つが使用できなくなった場合の接続を確保します。カスタマーゲートウェイが使用できなくなった場合に接続が失われるのを防ぐために、2 つ目のカスタマーゲートウェイを使用して Amazon Virtual Private Cloud (Amazon VPC) および仮想プライベートゲートウェイへの 2 つ目の Site-to-Site VPN 接続を設定できます。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	elb-cross-zone-load-balancing-enabled	Elastic Load Balancing (ELB) のクロスゾーン負荷分散を有効にして、十分な容量と可用性を維持します。クロスゾーン負荷分散により、有効な各アベイラビリティーゾーンで同じインスタンス数を維持する必要性が軽減されます。また、1 つ以上のインスタンスの消失を処理するアプリケーションの能力が向上します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	rds-instance-deletion-protection-enabled	Amazon Relational Database Service (Amazon RDS) インスタンスで、削除保護が有効になっていることを確認します。削除保護を使用すると、Amazon RDS インスタンが誤って削除されたり、悪意を持って削除されることでアプリケーションの可用性が失われることを防ぐことができます。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	api-gw-ssl-enabled	Amazon API Gateway REST API ステージで SSL 証明書を設定して、バックエンドシステムが API Gateway からのリクエストを認証できるようにします。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling グループの Elastic Load Balancing (ELB) ヘルスチェックは、十分な容量と可用性の維持をサポートします。ロードバランサーは、定期的に ping の送信、接続の試行、リクエストの送信を実行し、Auto scaling グループ内の Amazon EC2 インスタンスのヘルスステータスをテストします。インスタンスによってレポートが返されない場合、新しい Amazon EC2 インスタンスにトラフィックが送信されます。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	autoscaling-launch-config-public-ip-disabled	パブリック IP アドレスを使用してネットワークインターフェイスを設定すると、それらのネットワークインターフェイスに関連付けられたリソースにインターネットからアクセスできます。EC2 リソースが、アプリケーションやサーバーへの意図しないアクセスを許可する可能性があるため、パブリックにアクセスできないようにする必要があります。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	バックアップ/リカバリ・ポイント暗号化	AWS Backup リカバリポイントで暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	beanstalk-enhanced-health-reporting-enabled	AWS Elastic Beanstalk の拡張ヘルスレポートにより、基盤となるインフラストラクチャのヘルスの変化により迅速に対応できます。これらの変更は、アプリケーションの可用性を低下させる可能性があります。Elastic Beanstalk 拡張ヘルスレポートは、特定された問題の重要度を測定し、調査すべき可能性のある原因を特定するためのステータス記述子を提供します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	dynamodb-table-encrypted-kms	Amazon DynamoDB テーブルで、暗号化が有効になっていることを確認します。これらのテーブルには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。デフォルトでは、DynamoDB テーブルは AWS 所有のカスタマーマスターキー (CMK) で暗号化されます。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	ec2-instance-detailed-monitoring-enabled	このルールを有効にすると、Amazon EC2 コンソールでの Amazon Elastic Compute Cloud (Amazon EC2) インスタンスのモニタリングを改善できます。このルールでは、インスタンスの 1 分ごとのモニタリンググラフが表示されます。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	elbv2-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。 AWS Certificate Manager を使用して、 AWS サービスおよび内部リソースでパブリックおよびプライベート SSL/TLS 証明書を管理、プロビジョニング、デプロイします。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service (Amazon S3) バケットにパブリックにアクセスできないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。このルールは、パブリックアクセスを防止することで、権限のないリモートユーザーから機密データを保護するのに役立ちます。このルールでは、オプションで ignorePublicAcls (Config Default: True)、 blockPublicPolicy (Config Default: True)、 blockPublicAcls (Config Default: True)、および restrictPublicBuckets パラメータ (Config Default: True) を設定できます。実際の値には、組織のポリシーを反映する必要があります。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	s3-default-encryption-kms	Amazon Simple Storage Service (Amazon S3) バケットで、暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、保管中のデータの暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	ssm-document-not-public	AWS Systems Manager (SSM) ドキュメントが公開されていないことを確認します。これにより、SSM ドキュメントへの意図しないアクセスが許可される可能性があるためです。パブリック SSM ドキュメントにより、お客様のアカウント、リソース、内部プロセスに関する情報が公開される可能性があります。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	opensearch-encrypted-at-rest	機密データが存在する可能性があるため、Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認してください。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service の node-to-node 暗号化が有効になっていることを確認します。N ode-to-node 暗号化は、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信に対して TLS 1.2 暗号化を有効にします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.02 (a)	(a) サイバーセキュリティプログラム 各対象エンティティは、対象エンティティの情報システムの機密性、完全性、可用性を保護するために設計されたサイバーセキュリティプログラムを維持するものとします。	codebuild-project-artifact-encryption	保管中の機密データを保護するために、 AWS CodeBuild アーティファクトの暗号化が有効になっていることを確認します。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	emr-kerberos-enabled	Amazon EMR クラスターで Kerberos を有効にすることで、最小特権と職務の分離の原則に基づいてアクセス許可と認可を管理して組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。この領域内では、Kerberos サーバーを KDC (キー配布センター) と呼びます。これは、プリンシパルが認証を行うための手段を提供するものです。KDC は、チケットを発行して認証を行います。KDC は、領域内にあるプリンシパルのデータベースに加え、プリンシパルのパスワードや、各プリンシパルに関するその他の管理情報を保持しています。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	iam-group-has-users-check	AWS Identity and Access Management (IAM) は、IAM グループに少なくとも 1 人のユーザーがいるようにすることで、最小特権と職務分離の原則をアクセス許可と認可に組み込むのに役立ちます。関連するアクセス許可や職務に基づいてユーザーをグループに配置することは、最小特権を組み込む方法の 1 つです。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	iam-password-policy	ID と認証情報は、組織の IAM パスワードポリシーに基づいて発行、管理、検証されます。これらは、NIST SP 800-63 およびパスワード強度に関する AWS Foundational Security Best Practices 標準に記載されている要件を満たしています。このルールでは、オプションで RequireUppercaseCharacters （AWS Foundational Security Best Practices 値: true)、 RequireLowercaseCharacters （AWS Foundational Security Best Practices 値: true) RequireSymbols 、（AWS Foundational Security Best Practices 値: true) RequireNumbers 、（AWS Foundational Security Best Practices 値: true) MinimumPasswordLength 、（AWS Foundational Security Best Practices 値: 14)、 PasswordReusePrevention （AWS Foundational Security Best Practices 値: 24)、および MaxPasswordAge （AWS Foundational Security Best Practices 値: 90) を IAM パスワードポリシーに設定することができます。実際の値には、組織のポリシーを反映する必要があります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) は、アクセス許可と認可に最小特権と職務分離の原則を組み込むのに役立ちます。これにより、ポリシーに「リソース」：「*」ではなく「アクション」：「*」の「効果」：「許可」が含まれるように制限できます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	iam-root-access-key-check	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーがないことを確認することで、システムとアセットへのアクセスを制御できます。root アクセスキーが削除されていることを確認します。代わりに、最小機能の原則を組み込むのに役立つ AWS アカウント ロールベースを作成して使用します。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	iam-user-group-membership-check	AWS Identity and Access Management (IAM) は、ユーザーが少なくとも 1 つのグループのメンバーであることを確認することで、アクセス許可と認可を制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに許可することは、最小特権と職務の分離の原則に反する可能性があります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	iam-user-mfa-enabled	AWS クラウド内のリソースへのアクセスを制限するには、このルールを有効にします。このルールにより、すべてのユーザーの多要素認証 (MFA) が有効になります。MFA は、サインイン認証情報に加えて更なる保護手段を追加します。ユーザーに MFA を要求することで、アカウントが侵害されるインシデントを減らします。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	iam-user-no-policies-check	このルールにより、 AWS Identity and Access Management (IAM) ポリシーがグループまたはロールにのみアタッチされ、システムおよびアセットへのアクセスが制御されます。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	mfa-enabled-for-iam-console-access	コンソールパスワードを持つすべての AWS Identity and Access Management (IAM) ユーザーに対して MFA が有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。MFA は、サインイン認証情報に加えて更なる保護手段を追加します。ユーザーに MFA を要求することで、アカウントが侵害されるインシデントを減らし、権限のないユーザーが機密データにアクセスできないようにすることができます。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	root-account-hardware-mfa-enabled	ルートユーザーに対してハードウェア MFA が有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。MFA は、サインイン認証情報に更なる保護手段を追加します。ルートユーザーに MFA を要求することで、侵害された のインシデントを減らすことができます AWS アカウント。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	root-account-mfa-enabled	ルートユーザーに対して MFA が有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。MFA は、サインイン認証情報に更なる保護手段を追加します。ルートユーザーに MFA を要求することで、侵害された のインシデントを減らすことができます AWS アカウント。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	s3-bucket-policy-grantee-check	s3_ bucket_policy_grantee_check を有効にして、 AWS クラウドへのアクセスを管理します。このルールは、Amazon S3 バケットによって付与されるアクセスが、指定したプリン AWS シパル、フェデレーティッドユーザー、サービスプリンシパル、IP アドレス、または Amazon Virtual Private Cloud (Amazon VPC) IDs によって制限されていることを確認します。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	ec2-imdsv2-check	Instance Metadata Service Version 2 (IMDSv2) メソッドが有効になっていることを確認することで、Amazon Elastic Compute Cloud (Amazon EC2) のインスタンスメタデータのアクセスとコントロールを保護します。IMDSv2 メソッドでは、セッションベースのコントロールを使用します。IMDSv2 を使用すると、インスタンスメタデータへの変更を制限するためのコントロールを実装できます。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	iam-no-inline-policy-check	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムおよびアセットへのアクセスを制御するインラインポリシーがないことを確認します。 AWS は、インラインポリシーの代わりに マネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	dms-replication-not-public	DMS レプリケーションインスタンスにパブリックにアクセスできないようにすることで、 AWS クラウドへのアクセスを管理します。DMS レプリケーションインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	ebs-snapshot-public-restorable-check	EBS スナップショットをパブリックに復元できないようにすることで、 AWS クラウドへのアクセスを管理します。EBS ボリュームスナップショットには機密情報が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	ec2-instance-no-public-ip	Amazon Elastic Compute AWS Cloud (Amazon EC2) インスタンスにパブリックにアクセスできないようにすることで、 クラウドへのアクセスを管理します。Amazon EC2 インスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	elasticsearch-in-vpc-only	Amazon OpenSearch サービス (OpenSearch サービス) ドメインが Amazon Virtual Private AWS Cloud (Amazon VPC) 内にあることを確認することで、 クラウドへのアクセスを管理します。 Amazon Virtual Private Cloud Amazon VPC 内の OpenSearch サービスドメインを使用すると、インターネットゲートウェイ、NAT デバイス、または VPN 接続を必要とせずに、Amazon VPC 内の OpenSearch サービスと他のサービス間の安全な通信が可能になります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	emr-master-no-public-ip	Amazon EMR クラスターマスターノードにパブリックにアクセスできないようにすることで、 AWS クラウドへのアクセスを管理します。Amazon EMR クラスターのマスターノードには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループは、 AWS リソースへの入出力ネットワークトラフィックをステートフルにフィルタリングすることで、ネットワークアクセスの管理に役立ちます。リソースで 0.0.0.0/0 からポート 22 への入力 (またはリモート) トラフィックを許可しないようにすることで、リモートアクセスを制限できます。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	ec2-instances-in-vpc	Amazon Virtual Private Cloud (Amazon VPC) 内に Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを展開し、Amazon VPC 内でのインスタンスとサービス間の安全な通信を、インターネットゲートウェイ、NAT デバイス、VPN 接続を必要とせず可能にします。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。Amazon EC2 インスタンスを Amazon VPC に割り当て、アクセスを適切に管理します。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	internet-gateway-authorized-vpc-only	インターネットゲートウェイが承認された Amazon Virtual Private AWS Cloud (Amazon VPC) にのみアタッチされるようにすることで、 クラウド内のリソースへのアクセスを管理します。 Amazon Virtual Private Cloud インターネットゲートウェイは、Amazon VPC との間の双方向インターネットアクセスを可能にしますが、これにより Amazon VPC リソースへの不正アクセスが発生する可能性があります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	lambda-function-public-access-prohibited	AWS Lambda 関数にパブリックにアクセスできないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。パブリックアクセスにより、リソースの可用性の低下を招く可能性があります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	lambda-inside-vpc	Amazon Virtual Private Cloud (Amazon VPC) 内に AWS Lambda 関数をデプロイして、関数と Amazon VPC 内の他の サービス間の安全な通信を実現します。この設定では、インターネットゲートウェイ、NAT デバイス、VPN 接続を使用する必要はありません。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。アクセスを適切に管理するには、 AWS Lambda 関数を VPC に割り当てる必要があります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	rds-instance-public-access-check	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されていないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	rds-snapshots-public-prohibited	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されていないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報と原則が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	redshift-cluster-public-access-check	Amazon Redshift クラスターが公開されていないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	restricted-common-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) セキュリティグループで共通ポートが制限されるようにすることで、 クラウド内のリソースへのアクセスを管理します。ポートへのアクセスを信頼できるソースに制限しなければ、システムの可用性、完全性、機密性に対する脅威を招く可能性があります。このルールでは、blockedPort1 - blockedPort5 パラメータを必要に応じて設定できます (Config デフォルト: 20、21、3389、3306、4333)。実際の値には、組織のポリシーを反映する必要があります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	s3-bucket-public-read-prohibited	Amazon Simple Storage Service (Amazon S3) バケットへのアクセスを許可されたユーザー、プロセス、およびデバイスのみに許可することで、 AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	s3-bucket-public-write-prohibited	Amazon Simple Storage Service (Amazon S3) バケットへのアクセスを許可されたユーザー、プロセス、およびデバイスのみに許可することで、 AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	sagemaker-notebook-no-direct-internet-access	Amazon SageMaker ノートブックが直接インターネットアクセスを許可しないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。インターネットからの直接アクセスを防止することで、権限のないユーザーが機密データにアクセスするのを防ぐことができます。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループは、 AWS リソースへの入出力ネットワークトラフィックをステートフルにフィルタリングすることで、ネットワークアクセスの管理に役立ちます。デフォルトのセキュリティグループですべてのトラフィックを制限すると、 AWS リソースへのリモートアクセスを制限するのに役立ちます。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute AWS Cloud (Amazon EC2) セキュリティグループで共通ポートが制限されるようにすることで、 クラウド内のリソースへのアクセスを管理します。信頼できるソースへのポートに対するアクセスを制限しないと、システムの可用性、完全性、機密性に対する攻撃を招く可能性があります。インターネットからのセキュリティグループ内のリソースへのアクセスを制限することで (0.0.0.0/0)、内部システムへのリモートアクセスをコントロールできます。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	alb-waf-enabled	ウェブアプリケーションを保護するために、Elastic Load Balancer (ELB) で AWS WAF が有効になっていることを確認します。WAF は、一般的なウェブの脆弱性からウェブアプリケーションや API を保護するのに役立ちます。これらのウェブの脆弱性は、お客様の環境で可用性に影響を与えたり、セキュリティを侵害したり、リソースを過剰に消費したりする可能性があります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	api-gw-associated-with-waf	AWS WAF では、定義したカスタマイズ可能なウェブセキュリティルールと条件に基づいてウェブリクエストを許可、ブロック、またはカウントする一連のルール (ウェブアクセスコントロールリスト (ウェブ ACL) と呼ばれます) を設定できます。Amazon API Gateway のステージが WAF のウェブ ACL に関連付けられ、悪意のある攻撃から保護されていることを確認します。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	no-unrestricted-route-to-igw	Amazon EC2 ルートテーブルで、インターネットゲートウェイへの無制限のルートがないことを確認します。Amazon VPC 内のワークロードのインターネットへのアクセスを削除または制限すると、環境内の意図しないアクセスを減らすことができます。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service (Amazon S3) バケットにパブリックにアクセスできないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。このルールは、パブリックアクセスを防止することで、権限のないリモートユーザーから機密データを保護するのに役立ちます。このルールでは、オプションで ignorePublicAcls (Config Default: True)、 blockPublicPolicy (Config Default: True)、 blockPublicAcls (Config Default: True)、および restrictPublicBuckets パラメータ (Config Default: True) を設定できます。実際の値には、組織のポリシーを反映する必要があります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	ssm-document-not-public	AWS Systems Manager (SSM) ドキュメントが公開されていないことを確認します。これにより、SSM ドキュメントへの意図しないアクセスが許可される可能性があるためです。パブリック SSM ドキュメントにより、お客様のアカウント、リソース、内部プロセスに関する情報が公開される可能性があります。
500.02 (b)(2)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(2) 対象エンティティの情報システムと、それらの情報システムに保存されている非公開の情報を、不正なアクセス、使用、その他の悪意のある行為から保護するため、防御的なインフラストラクチャを使用してポリシーと手順を実装します。	opensearch-in-vpc-only	Amazon OpenSearch Service ドメインが Amazon Virtual Private AWS Cloud (Amazon VPC) 内にあることを確認することで、 クラウドへのアクセスを管理します。 Amazon Virtual Private Cloud Amazon VPC 内の Amazon OpenSearch Service ドメインを使用すると、インターネットゲートウェイ、NAT デバイス、または VPN 接続を必要とせずに、Amazon OpenSearch Service と Amazon VPC 内の他の サービス間の安全な通信が可能になります。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service ドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。 OpenSearch サービスエラーログは、セキュリティとアクセスの監査を支援し、可用性の問題の診断に役立ちます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して潜在的なサイバーセキュリティイベントをモニタリングおよび検出するのに役立ちます。これには、 AWS クラウド環境内の予期しないアクティビティIPs と機械学習のリストが含まれます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	securityhub-enabled	AWS Security Hub は、権限のない担当者、接続、デバイス、ソフトウェアをモニタリングするのに役立ちます。 AWS Security Hub は、複数の AWS サービスからセキュリティアラートや検出結果を集約、整理、優先順位付けします。このようなサービスには、Amazon Security Hub、Amazon InspectorAmazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer、 AWS Firewall Manager、および AWS パートナーソリューションなどがあります。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	api-gw-execution-logging-enabled	API Gateway のログ記録では、API にアクセスしたユーザーと API にアクセスした方法に関する詳細ビューが表示されます。このインサイトにより、ユーザーアクティビティを可視化することができます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch を使用して、ログイベントアクティビティを一元的に収集および管理します。データを含めると AWS CloudTrail 、 内の API コールアクティビティの詳細が表示されます AWS アカウント。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	cloudtrail-enabled	AWS CloudTrail は、 AWS マネジメントコンソールのアクションと API コールを記録することで、否認防止に役立ちます。 AWS サービスを呼び出し AWS アカウント たユーザーと 、呼び出しが生成された送信元 IP アドレス、呼び出しのタイミングを特定できます。キャプチャされたデータの詳細は、 AWS CloudTrail レコードコンテンツ内に表示されます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	redshift-audit-logging-enabled	Amazon Redshift クラスターの接続とユーザーアクティビティに関する情報をキャプチャするには、監査ログ作成が有効になっていることを確認します。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	ec2-instance-detailed-monitoring-enabled	このルールを有効にすると、Amazon EC2 コンソールでの Amazon Elastic Compute Cloud (Amazon EC2) インスタンスのモニタリングを改善できます。このルールでは、インスタンスの 1 分ごとのモニタリンググラフが表示されます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	ec2-managedinstance-association-compliance-status-check	AWS Systems Manager の関連付けを使用すると、組織内のソフトウェアプラットフォームやアプリケーションのインベントリを作成できます。 AWS Systems Manager は、マネージドインスタンスに設定状態を割り当て、オペレーティングシステムのパッチレベル、ソフトウェアのインストール、アプリケーション設定、および環境に関するその他の詳細のベースラインを設定できます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service ドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。ドメインのエラーログは、セキュリティとアクセス監査や、可用性の問題の診断に役立ちます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	rds-enhanced-monitoring-enabled	Amazon Relational Database Service (Amazon RDS) を有効にすると、Amazon RDS の可用性をモニタリングできます。これにより、Amazon RDS データベースインスタンスのヘルスステータスの詳細が可視化されます。Amazon RDS ストレージが、複数の基盤となる物理デバイスを使用している場合、拡張モニタリングによって各デバイスのデータが収集されます。また、Amazon RDS データベースインスタンスがマルチ AZ 配置で実行されている場合、セカンダリホスト上の各デバイスのデータと、セカンダリホストのメトリクスが収集されます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	cloudtrail-s3-dataevents-enabled	Simple Storage Service (Amazon S3) のデータイベントを収集することで、異常性の高いアクティビティを検出できます。詳細には、Amazon S3 バケットにアクセスした AWS アカウント 情報、IP アドレス、イベント発生時刻が含まれます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	elb-logging-enabled	Elastic Load Balancing でのアクティビティは、環境内の通信の中心となるポイントです。ELB ログ記録が有効になっていることを確認します。収集されたデータから、ELB に送信されるリクエストについての詳細情報が得られます。各ログには、リクエストを受け取った時刻、クライアントの IP アドレス、レイテンシー、リクエストのパス、サーバーレスポンスなどの情報が含まれます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	multi-region-cloudtrail-enabled	AWS CloudTrail は AWS 、 マネジメントコンソールのアクションと API コールを記録します。MULTI_REGION_CLOUD_TRAIL_ENABLED が有効になっている場合 AWS、 を呼び出したユーザーとアカウント、呼び出し元の IP アドレス、および呼び出しが発生した日時を特定できます。 CloudTrail はすべての AWS リージョンから S3 バケットにログファイルを配信します。さらに、 が新しいリージョン AWS を起動すると、 CloudTrail は新しいリージョンに同じ証跡を作成します。その結果、アクションを実行しなくても、新しいリージョンの API アクティビティを含むログファイルを受け取ることができるようになります。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) サーバーアクセスのログ記録によって、ネットワークをモニタリングし、潜在的なサイバーセキュリティイベントに対応することができます。Amazon S3 バケットに対して行われたリクエストの詳細な記録をキャプチャすることで、イベントをモニタリングします。各アクセスのログレコードから、1 つのアクセスリクエストについての詳細情報を取得できます。詳細情報には、リクエスタ、バケット名、リクエスト時刻、リクエストアクション、レスポンスのステータス、エラーコード (該当する場合) などの情報が含まれます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	opensearch-audit-logging-enabled	Amazon OpenSearch Service ドメインで監査ログ記録が有効になっていることを確認します。監査ログ記録を使用すると、認証の成功と失敗、 へのリクエスト、インデックスの変更、受信検索クエリなど OpenSearch、 OpenSearch ドメインでのユーザーアクティビティを追跡できます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	vpc-flow-logs-enabled	VPC フローログでは、Amazon Virtual Private Cloud (Amazon VPC) 内のネットワークインターフェイス間で送受信される IP トラフィックに関する情報の詳細な記録を提供します。フローログレコードには、送信元、送信先、プロトコルなど、IP フローのさまざまなコンポーネントの値がデフォルトで含まれています。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	codebuild-project-logging-enabled	ビルド出力ログが Amazon CloudWatch または Amazon Simple Storage Service (Amazon S3) のいずれかに送信されるように、 AWS CodeBuild プロジェクトログ記録が有効になっていることを確認します。ビルド出力ログによって、ビルドプロジェクトに関する詳細情報が得られます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	rds-logging-enabled	環境内でログ記録とモニタリングを行うため、Amazon Relational Database Service (Amazon RDS) でログ記録を有効にします。Amazon RDS のログ記録を使用すると、接続、切断、クエリ、クエリされたテーブルなどのイベントをキャプチャできます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	wafv2-logging-enabled	環境内のログ記録とモニタリングに役立つように、リージョンおよびグローバルウェブ ACL で AWS WAF (V2) ログ記録を有効にします。 AWS WAF ログ記録は、ウェブ ACL によって分析されるトラフィックに関する詳細情報を提供します。 ACLs ログには、 AWS WAF が AWS リソースからリクエストを受信した時刻、リクエストに関する情報、および各リクエストが一致したルールのアクションが記録されます。
500.02 (b)(3)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(3) サイバーセキュリティイベントを検知する。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、 clusterDbEncrypted (Config Default : TRUE) と loggingEnabled (Config Default: TRUE) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	db-instance-backup-enabled	Amazon RDS のバックアップ機能では、データベースとトランザクションログのバックアップが作成されます。Amazon RDS により、DB インスタンスクラスターのストレージボリュームのスナップショットが自動的に作成され、DB インスタンス全体がバックアップされます。このシステムでは、回復性の要件を満たす特定の保持期間を設定できます。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	redshift-backup-enabled	データのバックアッププロセスを実行するため、Amazon Redshift クラスターで自動スナップショットが設定されていることを確認します。クラスターの自動スナップショットを有効にすると、Amazon Redshift はそのクラスターのスナップショットを定期的に作成します。デフォルトでは、Redshift はデータ変更の各ノードについて 8 時間ごと、または 5 GB ごと、またはどちらか早い方でスナップショットを作成します。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	dynamodb-pitr-enabled	このルールを有効にして、情報がバックアップされているかどうかをチェックします。また、Amazon DynamoDB で point-in-time リカバリが有効になっていることを確認することで、バックアップを維持します。リカバリによって、過去 35 日間のテーブルの継続的なバックアップが維持されます。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	ebs-optimized-instance	Amazon Elastic Block Store (Amazon EBS) の最適化インスタンスは、Amazon EBS I/O 操作専用の追加容量を提供します。この最適化は、Amazon EBS I/O 操作とその他のインスタンスからのトラフィック間の競合を最小化することで、EBS ボリュームの効率的なパフォーマンスを実現します。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	elasticache-redis-cluster-automatic-backup-check	自動バックアップが有効になっている場合、Amazon はクラスターのバックアップを毎日 ElastiCache 作成します。バックアップは、組織の指定により数日間、保持することができます。自動バックアップは、データ損失を防ぐのに役立ちます。障害が発生した場合は、新しいクラスターを作成して、最新のバックアップからデータを復元できます。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) クロスリージョンレプリケーション (CRR) は、十分な容量と可用性の維持をサポートします。CRR により、Amazon S3 バケット間でオブジェクトを自動的に非同期コピーできるため、データの可用性が維持されます。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) バケットのバージョニングは、同じ Amazon S3 バケットでオブジェクトの複数のバリアントを保持するのに役立ちます。バージョニングを使用すると、Amazon S3 バケットに保存されたあらゆるオブジェクトのすべてのバージョンを、保存、取得、復元することができます。バージョニングによって、意図しないユーザーアクションやアプリケーション障害から簡単に復旧できます。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	dynamodb-in-backup-plan	データのバックアッププロセスを支援するために、Amazon DynamoDB テーブルが AWS Backup プランの一部であることを確認してください。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージド型のバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	ebs-in-backup-plan	データのバックアッププロセスを支援するために、Amazon Elastic Block Store (Amazon EBS) ボリュームが AWS Backup プランの一部であることを確認してください。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	efs-in-backup-plan	データのバックアッププロセスを支援するために、Amazon Elastic File System (Amazon EFS) ファイルシステムが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	rds-in-backup-plan	データのバックアッププロセスを支援するために、Amazon Relational Database Service (Amazon RDS) インスタンスが AWS Backup プランの一部であることを確認します。 AWS Backup は、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	バックアップ計画-分-頻度と分保持チェック	データのバックアッププロセスを支援するために、 AWS バックアッププランが最小頻度と保持期間に設定されていることを確認します。 AWS バックアップは、ポリシーベースのバックアップソリューションを備えたフルマネージドバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。このルールでは、 requiredFrequencyValue (Config デフォルト: 1)、 requiredRetentionDays (Config デフォルト: 35)、 requiredFrequencyUnit (Config デフォルト: 日数) パラメータを設定できます。実際の値には、組織の要件を反映する必要があります。
500.02 (b)(5)	(b) サイバーセキュリティプログラムは、対象エンティティのリスク評価に基づき、中核となる以下のサイバーセキュリティ機能を実行するように設計されているものとします。(5) サイバーセキュリティイベントから回復し、通常の運用とサービスを復旧する。	バックアップ/リカバリ・ポイントの手動削除/無効化	AWS Backup リカバリポイントに、リカバリポイントの削除を防止するリソースベースのポリシーがアタッチされていることを確認します。リソースベースのポリシーを使用してリカバリポイントの削除を防止すると、偶発的または意図的な削除を防ぐのに役立ちます。
500.05	各対象エンティティのサイバーセキュリティプログラムは、対象エンティティのリスク評価に従って開発された、対象エンティティのサイバーセキュリティプログラムの有効性を評価するために設計された監視およびテストを含むものとします。監視および試験には、継続的な監視または定期的な侵入試験および脆弱性評価を含むものとします。効果的な継続的監視、または脆弱性を生じさせるか示唆する可能性のある情報システムの変化を継続的に検出する他のシステムがない場合、対象となるエンティティは以下を実施するものとする。(a) リスク評価に基づいて特定された関連リスクに基づき、毎年決定されるエンティティの情報システムの年次侵入テスト (b) リスク評価に基づいてエンティティの情報システムにおける公に知られたサイバーセキュリティ上の脆弱性を特定するために合理的に設計された情報システムの体系的スキャンまたはレビューなどの年2回の脆弱性アセスメント。	vuln-management-plan-exists （プロセスチェック）	環境の脆弱性に対処するためのプロセスを正式に定義するため、脆弱性管理計画が策定され、実施されていることを確認します。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	api-gw-execution-logging-enabled	API Gateway のログ記録では、API にアクセスしたユーザーと API にアクセスした方法に関する詳細ビューが表示されます。このインサイトにより、ユーザーアクティビティを可視化することができます。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch を使用して、ログイベントアクティビティを一元的に収集および管理します。データを含めると AWS CloudTrail 、 内の API コールアクティビティの詳細が表示されます AWS アカウント。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	cloudtrail-enabled	AWS CloudTrail は、 AWS マネジメントコンソールのアクションと API コールを記録することで、否認防止に役立ちます。 AWS サービスを呼び出し AWS アカウント たユーザーと 、呼び出しが生成された送信元 IP アドレス、および呼び出しのタイミングを特定できます。キャプチャされたデータの詳細は、 AWS CloudTrail レコードコンテンツ内に表示されます。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	cloudtrail-s3-dataevents-enabled	Simple Storage Service (Amazon S3) のデータイベントを収集することで、異常性の高いアクティビティを検出できます。詳細には、Amazon S3 バケットにアクセスした AWS アカウント 情報、IP アドレス、イベント発生時刻が含まれます。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	elb-logging-enabled	Elastic Load Balancing でのアクティビティは、環境内の通信の中心となるポイントです。ELB ログ記録が有効になっていることを確認します。収集されたデータから、ELB に送信されるリクエストについての詳細情報が得られます。各ログには、リクエストを受け取った時刻、クライアントの IP アドレス、レイテンシー、リクエストのパス、サーバーレスポンスなどの情報が含まれます。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	multi-region-cloudtrail-enabled	AWS CloudTrail は AWS 、 マネジメントコンソールのアクションと API コールを記録します。MULTI_REGION_CLOUD_TRAIL_ENABLED が有効になっている場合 AWS、 を呼び出したユーザーとアカウント、呼び出し元の IP アドレス、および呼び出しが発生した日時を特定できます。 CloudTrail はすべての AWS リージョンから S3 バケットにログファイルを配信します。さらに、 が新しいリージョン AWS を起動すると、 CloudTrail は新しいリージョンに同じ証跡を作成します。その結果、アクションを実行しなくても、新しいリージョンの API アクティビティを含むログファイルを受け取ることができるようになります。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) サーバーアクセスのログ記録によって、ネットワークをモニタリングし、潜在的なサイバーセキュリティイベントに対応することができます。Amazon S3 バケットに対して行われたリクエストの詳細な記録をキャプチャすることで、イベントをモニタリングします。各アクセスのログレコードから、1 つのアクセスリクエストについての詳細情報を取得できます。詳細情報には、リクエスタ、バケット名、リクエスト時刻、リクエストアクション、レスポンスのステータス、エラーコード (該当する場合) などの情報が含まれます。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	vpc-flow-logs-enabled	VPC フローログでは、Amazon Virtual Private Cloud (Amazon VPC) 内のネットワークインターフェイス間で送受信される IP トラフィックに関する情報の詳細な記録を提供します。フローログレコードには、送信元、送信先、プロトコルなど、IP フローのさまざまなコンポーネントの値がデフォルトで含まれています。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	rds-logging-enabled	環境内でログ記録とモニタリングを行うため、Amazon Relational Database Service (Amazon RDS) でログ記録を有効にします。Amazon RDS のログ記録を使用すると、接続、切断、クエリ、クエリされたテーブルなどのイベントをキャプチャできます。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	codebuild-project-logging-enabled	ビルド出力ログが Amazon CloudWatch または Amazon Simple Storage Service (Amazon S3) のいずれかに送信されるように、 AWS CodeBuild プロジェクトログ記録が有効になっていることを確認します。ビルド出力ログによって、ビルドプロジェクトに関する詳細情報が得られます。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	redshift-audit-logging-enabled	Amazon Redshift クラスターの接続とユーザーアクティビティに関する情報をキャプチャするには、監査ログ作成が有効になっていることを確認します。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	wafv2-logging-enabled	環境内のログ記録とモニタリングに役立つように、リージョンおよびグローバルウェブ ACL で AWS WAF (V2) ログ記録を有効にします。 AWS WAF ログ記録は、ウェブ ACL によって分析されるトラフィックに関する詳細情報を提供します。 ACLs ログには、 AWS WAF が AWS リソースからリクエストを受信した時刻、リクエストに関する情報、および各リクエストが一致したルールのアクションが記録されます。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	opensearch-audit-logging-enabled	Amazon OpenSearch Service ドメインで監査ログ記録が有効になっていることを確認します。監査ログ記録を使用すると、認証の成功と失敗、 へのリクエスト、インデックスの変更、受信検索クエリなど OpenSearch、 OpenSearch ドメインでのユーザーアクティビティを追跡できます。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、 clusterDbEncrypted (Config Default : TRUE) と loggingEnabled (Config Default: TRUE) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
500.06 (b)	(b) 各対象エンティティは、本パートのセクション 500.06 (a)(1) で要求される記録を 5 年以上維持し、本パートのセクション 500.06 (a)(2) で要求される記録を 3 年以上維持するものとします。	cw-loggroup-retention-period-check	トラブルシューティングとフォレンジック調査を実行するため、ロググループでイベントログデータの最小期間が保持されていることを確認します。利用可能な過去のイベントログデータを入手できない場合、悪意のあるイベントの再構築と特定が困難になります。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service ドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。ドメインのエラーログは、セキュリティとアクセス監査や、可用性の問題の診断に役立ちます。
500.06 (a)	(a) 各対象エンティティは、適用可能な範囲で、そのリスク評価に基づいてシステムを安全に維持するものとします。(1) 対象エンティティによる通常の運用と義務を十分にサポートするため、重要な金融取引を再構築するように設計されている。(2) 対象エンティティの通常の運用の重要な側面に、重大な損害を与える合理的な可能性のあるサイバーセキュリティイベントを検知し、これに対応するように設計された監査証跡が含まれている。	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service ドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。 OpenSearch サービスエラーログは、セキュリティとアクセスの監査を支援し、可用性の問題の診断に役立ちます。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	opensearch-in-vpc-only	Amazon OpenSearch Service ドメインが Amazon Virtual Private AWS Cloud (Amazon VPC) 内にあることを確認することで、 クラウドへのアクセスを管理します。 Amazon Virtual Private Cloud Amazon VPC 内の Amazon OpenSearch Service ドメインを使用すると、インターネットゲートウェイ、NAT デバイス、または VPN 接続を必要とせずに、Amazon OpenSearch Service と Amazon VPC 内の他の サービス間の安全な通信が可能になります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	access-keys-rotated	認証情報は、IAM アクセスキーが組織ポリシーで指定されたとおりにローテーションされるようにすることで、承認されたデバイス、ユーザー、プロセスについて監査されます。アクセスキーを定期的に変更することが、セキュリティのベストプラクティスです。これにより、アクセスキーがアクティブになっている期間が短縮され、キーが侵害された場合のビジネスへの影響を軽減できます。このルールでは、アクセスキーの更新の値が必要です (Config デフォルト: 90)。実際の値には、組織のポリシーを反映する必要があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	ecs-task-definition-user-for-host-mode-check	タスク定義に昇格した権限がある場合は、お客様がそれらの設定に特別にオプトインしていることが原因です。このコントロールでは、タスク定義でホストネットワークが有効になっており、お客様が昇格した権限にオプトインしていない場合に、予期しない権限の昇格が発生しないかどうかを確認します。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	no-unrestricted-route-to-igw	Amazon EC2 ルートテーブルで、インターネットゲートウェイへの無制限のルートがないことを確認します。Amazon VPC 内のワークロードのインターネットへのアクセスを削除または制限すると、環境内の意図しないアクセスを減らすことができます。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service (Amazon S3) バケットにパブリックにアクセスできないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。このルールは、パブリックアクセスを防止することで、権限のないリモートユーザーから機密データを保護するのに役立ちます。このルールでは、オプションで ignorePublicAcls (Config Default: True)、 blockPublicPolicy (Config Default: True)、 blockPublicAcls (Config Default: True)、および restrictPublicBuckets パラメータ (Config Default: True) を設定できます。実際の値には、組織のポリシーを反映する必要があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	ssm-document-not-public	AWS Systems Manager (SSM) ドキュメントが公開されていないことを確認します。これにより、SSM ドキュメントへの意図しないアクセスが許可される可能性があるためです。パブリック SSM ドキュメントにより、お客様のアカウント、リソース、内部プロセスに関する情報が公開される可能性があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	subnet-auto-assign-public-ip-disabled	Amazon Virtual Private AWS Cloud (VPC) サブネットにパブリック IP アドレスが自動的に割り当てられないようにすることで、 クラウドへのアクセスを管理します。 Amazon Virtual Private Cloud この属性が有効になっているサブネットで起動される Amazon Elastic Compute Cloud (EC2) インスタンスでは、プライマリネットワークインターフェイスにパブリック IP アドレスが割り当てられています。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) は、指定された期間に使用されていない IAM パスワードとアクセスキーをチェックすることで、アクセス許可と承認に役立ちます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、値を maxCredentialUsageAge (Config デフォルト: 90) に設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	secretsmanager-rotation-enabled-check	このルールにより、 AWS Secrets Manager のシークレットでローテーションが有効になっていることが保証されます。シークレットを定期的にローテーションすることで、シークレットがアクティブになる期間が短縮され、シークレットが侵害された場合のビジネスへの影響が軽減される可能性があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	secretsmanager-scheduled-rotation-success-check	このルールにより、 AWS Secrets Manager のシークレットがローテーションスケジュールに従って正常にローテーションされます。シークレットを定期的にローテーションすることで、シークレットがアクティブになる期間が短縮され、シークレットが侵害された場合のビジネスへの影響が軽減される可能性があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	emr-kerberos-enabled	Amazon EMR クラスターで Kerberos を有効にすることで、最小特権と職務の分離の原則に基づいてアクセス許可と認可を管理して組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。この領域内では、Kerberos サーバーを KDC (キー配布センター) と呼びます。これは、プリンシパルが認証を行うための手段を提供するものです。KDC は、チケットを発行して認証を行います。KDC は、領域内にあるプリンシパルのデータベースに加え、プリンシパルのパスワードや、各プリンシパルに関するその他の管理情報を保持しています。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	iam-group-has-users-check	AWS Identity and Access Management (IAM) は、IAM グループに少なくとも 1 人のユーザーがいるようにすることで、最小特権と職務分離の原則をアクセス許可と認可に組み込むのに役立ちます。関連するアクセス許可や職務に基づいてユーザーをグループに配置することは、最小特権を組み込む方法の 1 つです。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	iam-password-policy	ID と認証情報は、組織の IAM パスワードポリシーに基づいて発行、管理、検証されます。これらは、NIST SP 800-63 およびパスワード強度に関する AWS Foundational Security Best Practices 標準に記載されている要件を満たしています。このルールでは、オプションで RequireUppercaseCharacters （AWS Foundational Security Best Practices 値: true)、 RequireLowercaseCharacters （AWS Foundational Security Best Practices 値: true) RequireSymbols 、（AWS Foundational Security Best Practices 値: true) RequireNumbers 、（AWS Foundational Security Best Practices 値: true) MinimumPasswordLength 、（AWS Foundational Security Best Practices 値: 14)、 PasswordReusePrevention （AWS Foundational Security Best Practices 値: 24)、および MaxPasswordAge （AWS Foundational Security Best Practices 値: 90) を IAM パスワードポリシーに設定することができます。実際の値には、組織のポリシーを反映する必要があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) は、アクセス許可と認可に最小特権と職務分離の原則を組み込むために役立ちます。ポリシーには、「リソース」：「*」ではなく「アクション」：「*」で「効果」：「許可」を含めることを制限します。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	iam-root-access-key-check	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーがないことを確認することで、システムとアセットへのアクセスを制御できます。root アクセスキーが削除されていることを確認します。代わりに、ロールベースの を作成して使用し AWS アカウント 、最小機能の原則を組み込むのに役立ちます。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	iam-user-group-membership-check	AWS Identity and Access Management (IAM) は、ユーザーが少なくとも 1 つのグループのメンバーであることを確認することで、アクセス許可と認可を制限するのに役立ちます。タスク完了のために必要以上の権限をユーザーに許可することは、最小特権と職務の分離の原則に反する可能性があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	iam-user-no-policies-check	このルールにより、 AWS Identity and Access Management (IAM) ポリシーがグループまたはロールにのみアタッチされ、システムおよびアセットへのアクセスが制御されます。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	s3-bucket-policy-grantee-check	s3_ bucket_policy_grantee_check を有効にして、 AWS クラウドへのアクセスを管理します。このルールは、Amazon S3 バケットによって付与されるアクセスが、指定したプリン AWS シパル、フェデレーティッドユーザー、サービスプリンシパル、IP アドレス、または Amazon Virtual Private Cloud (Amazon VPC) IDs によって制限されていることを確認します。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	iam-no-inline-policy-check	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムおよびアセットへのアクセスを制御するインラインポリシーがないことを確認します。 AWS は、インラインポリシーの代わりに マネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	dms-replication-not-public	DMS レプリケーションインスタンスにパブリックにアクセスできないようにすることで、 AWS クラウドへのアクセスを管理します。DMS レプリケーションインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	ebs-snapshot-public-restorable-check	EBS スナップショットをパブリックに復元できないようにすることで、 AWS クラウドへのアクセスを管理します。EBS ボリュームスナップショットには機密情報が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	ec2-instance-no-public-ip	Amazon Elastic Compute AWS Cloud (Amazon EC2) インスタンスにパブリックにアクセスできないようにすることで、 クラウドへのアクセスを管理します。Amazon EC2 インスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	elasticsearch-in-vpc-only	Amazon OpenSearch Service (OpenSearch Service) ドメインが Amazon Virtual Private AWS Cloud (Amazon VPC) 内にあることを確認することで、 クラウドへのアクセスを管理します。 Amazon Virtual Private Cloud Amazon VPC 内の OpenSearch サービスドメインを使用すると、インターネットゲートウェイ、NAT デバイス、または VPN 接続を必要とせずに、Amazon VPC 内の OpenSearch サービスと他のサービス間の安全な通信が可能になります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	emr-master-no-public-ip	Amazon EMR クラスターマスターノードにパブリックにアクセスできないようにすることで、 AWS クラウドへのアクセスを管理します。Amazon EMR クラスターのマスターノードには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	ec2-instances-in-vpc	Amazon Virtual Private Cloud (Amazon VPC) 内に Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを展開し、Amazon VPC 内でのインスタンスとサービス間の安全な通信を、インターネットゲートウェイ、NAT デバイス、VPN 接続を必要とせず可能にします。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。Amazon EC2 インスタンスを Amazon VPC に割り当て、アクセスを適切に管理します。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	internet-gateway-authorized-vpc-only	インターネットゲートウェイが承認された Amazon Virtual Private AWS Cloud (Amazon VPC) にのみアタッチされるようにすることで、 クラウド内のリソースへのアクセスを管理します。 Amazon Virtual Private Cloud インターネットゲートウェイは、Amazon VPC との間の双方向インターネットアクセスを可能にしますが、これにより Amazon VPC リソースへの不正アクセスが発生する可能性があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	lambda-function-public-access-prohibited	AWS Lambda 関数にパブリックにアクセスできないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。パブリックアクセスにより、リソースの可用性の低下を招く可能性があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	lambda-inside-vpc	Amazon Virtual Private Cloud (Amazon VPC) 内に AWS Lambda 関数をデプロイして、関数と Amazon VPC 内の他の のサービス間の安全な通信を実現します。この設定では、インターネットゲートウェイ、NAT デバイス、VPN 接続を使用する必要はありません。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。アクセスを適切に管理するには、 AWS Lambda 関数を VPC に割り当てる必要があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	rds-instance-public-access-check	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されていないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	rds-snapshots-public-prohibited	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されていないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報と原則が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	redshift-cluster-public-access-check	Amazon Redshift クラスターが公開されていないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	s3-bucket-public-read-prohibited	Amazon Simple Storage Service (Amazon S3) バケットへのアクセスを許可されたユーザー、プロセス、およびデバイスのみに許可することで、 AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	s3-bucket-public-write-prohibited	Amazon Simple Storage Service (Amazon S3) バケットへのアクセスを許可されたユーザー、プロセス、およびデバイスのみに許可することで、 AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
500.07	サイバーセキュリティプログラムの一環として、各対象エンティティは、対象エンティティのリスク評価に基づき、非公開の情報へのアクセスを提供する情報システムへのユーザのアクセス許可を制限するとともに、それらのアクセス許可を定期的に見直すものとします。	sagemaker-notebook-no-direct-internet-access	Amazon SageMaker ノートブックが直接インターネットアクセスを許可しないようにすることで、 AWS クラウド内のリソースへのアクセスを管理します。インターネットからの直接アクセスを防止することで、権限のないユーザーが機密データにアクセスするのを防ぐことができます。
500.8 (a)	(a) 各対象エンティティのサイバーセキュリティプログラムには、対象エンティティが利用する自社開発アプリケーションにおいて安全な開発手法を使用するために設計された書面による手順、ガイドライン、標準、および対象エンティティが利用する外部開発アプリケーションのセキュリティを対象エンティティのテクノロジー環境のコンテキストで評価、査定、またはテストするための手順が含まれるものとします。	codebuild-project-envvar-awscred-check	認証情報 AWS_ACCESS_KEY_ID と AWS_SECRET_ACCESS_KEY が AWS Codebuild プロジェクト環境内に存在しないことを確認します。これらの変数をクリアテキストで保存しないでください。これらの変数をクリアテキストで保存すると、意図しないデータ漏えいや不正アクセスを招く可能性があります。
500.8 (a)	(a) 各対象エンティティのサイバーセキュリティプログラムには、対象エンティティが利用する自社開発アプリケーションにおいて安全な開発手法を使用するために設計された書面による手順、ガイドライン、標準、および対象エンティティが利用する外部開発アプリケーションのセキュリティを対象エンティティのテクノロジー環境のコンテキストで評価、査定、またはテストするための手順が含まれるものとします。	codebuild-project-source-repo-url-check	GitHub または Bitbucket ソースリポジトリ URL に、 AWS Codebuild プロジェクト環境内の個人用アクセストークン、サインイン認証情報が含まれていないことを確認します。個人アクセストークンやサインイン認証情報の代わりに OAuth を使用して、 GitHub または Bitbucket リポジトリへのアクセス権限を付与します。
500.09	(a) 対象となるエンティティは、本編で要求されるサイバーセキュリティプログラムの設計に情報を提供するのに十分な対象エンティティの情報システムのリスク評価を定期的に実施するものとします。当該リスク評価は、対象エンティティの情報システム、非公開情報または事業運営の変更に対処するために合理的に必要な場合には、更新されるものとします。対象となるエンティティのリスク評価は、技術開発および進化する脅威に対応するための統制の改訂を可能にし、サイバーセキュリティ、収集または保存された非公開情報、利用される情報システム、非公開情報および情報システムを保護するための統制の利用可能性と有効性に関する対象となるエンティティの事業運営の特定のリスクを検討しなければなりません。	annual-risk-assessment-performed （プロセスチェック)>	年に 1 回、組織のリスク評価を実施します。リスク評価は、組織に影響を及ぼす可能性のある特定のリスクや脆弱性の影響を判断するのに役立ちます。
500.12	(a) 多要素認証 各対象エンティティは、そのリスク評価に基づき、非公開の情報または情報システムへの不正なアクセスを防止するため、多要素認証またはリスクベースの認証などの効果的なコントロールを行うものとします。(b) 外部ネットワークから対象エンティティの内部ネットワークにアクセスする個人に対しては、多要素認証を使用するものとする。ただし、合理的に同等かそれ以上に安全なアクセスコントロールの使用が、対象エンティティの CISO により書面にて承認された場合はこの限りではありません。	iam-user-mfa-enabled	AWS クラウド内のリソースへのアクセスを制限するには、このルールを有効にします。このルールにより、すべてのユーザーの多要素認証 (MFA) が有効になります。MFA は、サインイン認証情報に加えて更なる保護手段を追加します。ユーザーに MFA を要求することで、アカウントが侵害されるインシデントを減らします。
500.12	(a) 多要素認証 各対象エンティティは、そのリスク評価に基づき、非公開の情報または情報システムへの不正なアクセスを防止するため、多要素認証またはリスクベースの認証などの効果的なコントロールを行うものとします。(b) 外部ネットワークから対象エンティティの内部ネットワークにアクセスする個人に対しては、多要素認証を使用するものとする。ただし、合理的に同等かそれ以上に安全なアクセスコントロールの使用が、対象エンティティの CISO により書面にて承認された場合はこの限りではありません。	mfa-enabled-for-iam-console-access	コンソールパスワードを持つすべての AWS Identity and Access Management (IAM) ユーザーに対して MFA が有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。MFA は、サインイン認証情報に加えて更なる保護手段を追加します。ユーザーに MFA を要求することで、アカウントが侵害されるインシデントを減らし、権限のないユーザーが機密データにアクセスできないようにすることができます。
500.12	(a) 多要素認証 各対象エンティティは、そのリスク評価に基づき、非公開の情報または情報システムへの不正なアクセスを防止するため、多要素認証またはリスクベースの認証などの効果的なコントロールを行うものとします。(b) 外部ネットワークから対象エンティティの内部ネットワークにアクセスする個人に対しては、多要素認証を使用するものとする。ただし、合理的に同等かそれ以上に安全なアクセスコントロールの使用が、対象エンティティの CISO により書面にて承認された場合はこの限りではありません。	iam-root-access-key-check	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーがないことを確認することで、システムとアセットへのアクセスを制御できます。root アクセスキーが削除されていることを確認します。代わりに、最小機能の原則を組み込むのに役立つ AWS アカウント ロールベースを作成して使用します。
500.12	(a) 多要素認証 各対象エンティティは、そのリスク評価に基づき、非公開の情報または情報システムへの不正なアクセスを防止するため、多要素認証またはリスクベースの認証などの効果的なコントロールを行うものとします。(b) 外部ネットワークから対象エンティティの内部ネットワークにアクセスする個人に対しては、多要素認証を使用するものとする。ただし、合理的に同等かそれ以上に安全なアクセスコントロールの使用が、対象エンティティの CISO により書面にて承認された場合はこの限りではありません。	root-account-hardware-mfa-enabled	ルートユーザーに対してハードウェア MFA が有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。MFA は、サインイン認証情報に更なる保護手段を追加します。ルートユーザーに MFA を要求することで、侵害された のインシデントを減らすことができます AWS アカウント。
500.12	(a) 多要素認証 各対象エンティティは、そのリスク評価に基づき、非公開の情報または情報システムへの不正なアクセスを防止するため、多要素認証またはリスクベースの認証などの効果的なコントロールを行うものとします。(b) 外部ネットワークから対象エンティティの内部ネットワークにアクセスする個人に対しては、多要素認証を使用するものとする。ただし、合理的に同等かそれ以上に安全なアクセスコントロールの使用が、対象エンティティの CISO により書面にて承認された場合はこの限りではありません。	root-account-mfa-enabled	ルートユーザーに対して MFA が有効になっていることを確認して、 AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。MFA は、サインイン認証情報に更なる保護手段を追加します。ルートユーザーに MFA を要求することで、侵害された のインシデントを減らすことができます AWS アカウント。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	cloudwatch-alarm-action-check	Amazon CloudWatch アラームは、メトリクスが指定された評価期間数のしきい値を超えたときに警告します。アラームは、複数の期間にわたる閾値に対するメトリックまたはメートルの値に基づいて、1つまたは複数のアクションを実行します。このルールには、 alarmActionRequired (Config デフォルト: True) insufficientDataAction、必須 (Config デフォルト: True)、 okActionRequired (Config デフォルト: False) の値が必要です。実際の値には、環境に合わせたアラームのアクションを反映する必要があります。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	api-gw-execution-logging-enabled	API Gateway のログ記録では、API にアクセスしたユーザーと API にアクセスした方法に関する詳細ビューが表示されます。このインサイトにより、ユーザーアクティビティを可視化することができます。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch を使用して、ログイベントアクティビティを一元的に収集および管理します。データを含めると AWS CloudTrail 、 内の API コールアクティビティの詳細が表示されます AWS アカウント。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	cloudtrail-enabled	AWS CloudTrail は、 AWS マネジメントコンソールのアクションと API コールを記録することで、否認防止に役立ちます。 AWS サービスを呼び出し AWS アカウント たユーザーと 、呼び出しが生成された送信元 IP アドレス、呼び出しのタイミングを特定できます。キャプチャされたデータの詳細は、 AWS CloudTrail レコードコンテンツ内に表示されます。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	cloudtrail-s3-dataevents-enabled	Simple Storage Service (Amazon S3) のデータイベントを収集することで、異常性の高いアクティビティを検出できます。詳細には、Amazon S3 バケットにアクセスした AWS アカウント 情報、IP アドレス、イベント発生時刻が含まれます。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	elb-logging-enabled	Elastic Load Balancing でのアクティビティは、環境内の通信の中心となるポイントです。ELB ログ記録が有効になっていることを確認します。収集されたデータから、ELB に送信されるリクエストについての詳細情報が得られます。各ログには、リクエストを受け取った時刻、クライアントの IP アドレス、レイテンシー、リクエストのパス、サーバーレスポンスなどの情報が含まれます。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	multi-region-cloudtrail-enabled	AWS CloudTrail は AWS 、 マネジメントコンソールのアクションと API コールを記録します。MULTI_REGION_CLOUD_TRAIL_ENABLED が有効になっている場合 AWS、 を呼び出したユーザーとアカウント、呼び出し元の IP アドレス、および呼び出しが発生した日時を特定できます。 CloudTrail はすべての AWS リージョンから S3 バケットにログファイルを配信します。さらに、 が新しいリージョン AWS を起動すると、 CloudTrail は新しいリージョンに同じ証跡を作成します。その結果、アクションを実行しなくても、新しいリージョンの API アクティビティを含むログファイルを受け取ることができるようになります。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) サーバーアクセスのログ記録によって、ネットワークをモニタリングし、潜在的なサイバーセキュリティイベントに対応することができます。Amazon S3 バケットに対して行われたリクエストの詳細な記録をキャプチャすることで、イベントをモニタリングします。各アクセスのログレコードから、1 つのアクセスリクエストについての詳細情報を取得できます。詳細情報には、リクエスタ、バケット名、リクエスト時刻、リクエストアクション、レスポンスのステータス、エラーコード (該当する場合) などの情報が含まれます。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	vpc-flow-logs-enabled	VPC フローログでは、Amazon Virtual Private Cloud (Amazon VPC) 内のネットワークインターフェイス間で送受信される IP トラフィックに関する情報の詳細な記録を提供します。フローログレコードには、送信元、送信先、プロトコルなど、IP フローのさまざまなコンポーネントの値がデフォルトで含まれています。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	cw-loggroup-retention-period-check	トラブルシューティングとフォレンジック調査を実行するため、ロググループでイベントログデータの最小期間が保持されていることを確認します。利用可能な過去のイベントログデータを入手できない場合、悪意のあるイベントの再構築と特定が困難になります。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	rds-logging-enabled	環境内でログ記録とモニタリングを行うため、Amazon Relational Database Service (Amazon RDS) でログ記録を有効にします。Amazon RDS のログ記録を使用すると、接続、切断、クエリ、クエリされたテーブルなどのイベントをキャプチャできます。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	codebuild-project-logging-enabled	ビルド出力ログが Amazon CloudWatch または Amazon Simple Storage Service (Amazon S3) のいずれかに送信されるように、 AWS CodeBuild プロジェクトログ記録が有効になっていることを確認します。ビルド出力ログによって、ビルドプロジェクトに関する詳細情報が得られます。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	wafv2-logging-enabled	環境内のログ記録とモニタリングに役立つように、リージョンおよびグローバルウェブ ACL で AWS WAF (V2) ログ記録を有効にします。 AWS WAF ログ記録は、ウェブ ACL によって分析されるトラフィックに関する詳細情報を提供します。 ACLs ログには、 AWS WAF が AWS リソースからリクエストを受信した時刻、リクエストに関する情報、および各リクエストが一致したルールのアクションが記録されます。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して潜在的なサイバーセキュリティイベントをモニタリングおよび検出するのに役立ちます。これには、 AWS クラウド環境内の予期しないアクティビティIPs と機械学習のリストが含まれます。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	securityhub-enabled	AWS Security Hub は、権限のない担当者、接続、デバイス、ソフトウェアをモニタリングするのに役立ちます。 AWS Security Hub は、複数の AWS サービスからセキュリティアラートや検出結果を集約、整理、優先順位付けします。このようなサービスには、Amazon Security Hub、Amazon InspectorAmazon Macie、 AWS Identity and Access Management (IAM) Access Analyzer、 AWS Firewall Manager、および AWS パートナーソリューションなどがあります。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、 clusterDbEncrypted (Config Default : TRUE) と loggingEnabled (Config Default: TRUE) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	opensearch-audit-logging-enabled	Amazon OpenSearch Service ドメインで監査ログ記録が有効になっていることを確認します。監査ログ記録を使用すると、認証の成功と失敗、 へのリクエスト、インデックスの変更、受信検索クエリなど OpenSearch、 OpenSearch ドメインでのユーザーアクティビティを追跡できます。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service ドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。ドメインのエラーログは、セキュリティとアクセス監査や、可用性の問題の診断に役立ちます。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	redshift-audit-logging-enabled	Amazon Redshift クラスターの接続とユーザーアクティビティに関する情報をキャプチャするには、監査ログ作成が有効になっていることを確認します。
500.14 (a)	(a) 権限のあるユーザーのアクティビティを監視し、権限のあるそれらのユーザーによる非公開の情報への不正なアクセスや使用、または改ざんを検知するために設計された、リスクベースのポリシー、手順、および管理を実装します。	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service ドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。 OpenSearch サービスエラーログは、セキュリティとアクセスの監査を支援し、可用性の問題の診断に役立ちます。
500.14 (b)	サイバーセキュリティプログラムの一環として、対象となる各エンティティは以下を行うものとします。(b) 対象となるエンティティがリスク評価で特定したリスクを反映するために更新されたサイバーセキュリティ意識向上トレーニングを、すべての人員に対して定期的に提供します。	security-awareness-program-exists （プロセスチェック）	組織のセキュリティ意識向上プログラムを確立して維持します。セキュリティ意識向上プログラムは、さまざまなセキュリティ侵害やインシデントから組織を保護する方法を従業員に教育するものです。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	opensearch-encrypted-at-rest	機密データが存在する可能性があるため、Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認してください。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service の node-to-node 暗号化が有効になっていることを確認します。N ode-to-node 暗号化は、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信に対して TLS 1.2 暗号化を有効にします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	acm-certificate-expiration-check	X509 証明書が AWS ACM によって発行されるようにすることで、ネットワークの整合性が保護されていることを確認します。これらの証明書は有効で、期限切れではない必要があります。このルールには、 daysToExpiration （AWS Foundational Security Best Practices 値: 90) の値が必要です。実際の値には、組織のポリシーを反映する必要があります。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	alb-http-to-https-redirection-check	転送中のデータを保護するため、暗号化されていない HTTP リクエストを Application Load Balancer が HTTPS に自動的にリダイレクトするようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	api-gw-cache-enabled-and-encrypted	保管中のデータを保護するため、API Gateway ステージのキャッシュで暗号化が有効になっていることを確認します。機密データは API のメソッドでキャプチャされる可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	cloud-trail-encryption-enabled	機密データが存在する可能性があるため、保管中のデータを保護するために、 AWS CloudTrail 証跡で暗号化が有効になっていることを確認してください。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	cloudwatch-log-group-encrypted	保管中の機密データを保護するために、Amazon CloudWatch Log Groups で暗号化が有効になっていることを確認します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	efs-encrypted-check	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic File System (EFS) で暗号化が有効になっていることを確認します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	elasticsearch-encrypted-at-rest	機密データが存在する可能性があるため、Amazon OpenSearch Service (OpenSearch Service) ドメインで暗号化が有効になっていることを確認してください。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	elb-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。 AWS Certificate Manager を使用して、 AWS サービスおよび内部リソースでパブリックおよびプライベート SSL/TLS 証明書を管理、プロビジョニング、デプロイします。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	encrypted-volumes	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	rds-storage-encrypted	保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDS インスタンスには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、 clusterDbEncrypted (Config Default : TRUE) と loggingEnabled (Config Default: TRUE) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	redshift-require-tls-ssl	Amazon Redshift クラスターで、SQL クライアントに接続するために TLS/SSL 暗号化が必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	s3-bucket-server-side-encryption-enabled	保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	s3-bucket-ssl-requests-only	転送中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで、Secure Sockets Layer (SSL) を使用するためのリクエストが必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	sagemaker-endpoint-configuration-kms-key-configured	保管中のデータを保護するため、 SageMaker エンドポイントで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。機密データは SageMaker エンドポイントに保管中に存在する可能性があるため、保管中の暗号化を有効にして、そのデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	sagemaker-notebook-instance-kms-key-configured	保管中のデータを保護するため、 SageMaker ノートブックで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。機密データは SageMaker ノートブックに保存されている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	sns-encrypted-kms	保管中のデータを保護するために、Amazon Simple Notification Service (Amazon SNS) トピックで AWS Key Management Service (AWS KMS) を使用した暗号化が必要であることを確認してください。公開されたメッセージには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	ec2-ebs-encryption-by-default	保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	rds-snapshot-encrypted	Amazon Relational Database Service (Amazon RDS) スナップショットで、暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	alb-http-drop-invalid-header-enabled	Elastic Load Balancing (ELB) が、http ヘッダーを削除するように設定されていることを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	elasticsearch-node-to-node-encryption-check	Amazon OpenSearch Service の node-to-node 暗号化が有効になっていることを確認します。N ode-to-node 暗号化は、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信に対して TLS 1.2 暗号化を有効にします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	elb-tls-https-listeners-only	Elastic Load Balancing (ELB) が、SSL または HTTPS リスナーを使用して設定されるようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	api-gw-ssl-enabled	Amazon API Gateway REST API ステージで SSL 証明書を設定して、バックエンドシステムが API Gateway からのリクエストを認証できるようにします。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	dynamodb-table-encrypted-kms	Amazon DynamoDB テーブルで、暗号化が有効になっていることを確認します。これらのテーブルには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。デフォルトでは、DynamoDB テーブルは AWS 所有のカスタマーマスターキー (CMK) で暗号化されます。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	elbv2-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。 AWS Certificate Manager を使用して、 AWS サービスおよび内部リソースでパブリックおよびプライベート SSL/TLS 証明書を管理、プロビジョニング、デプロイします。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	redshift-cluster-kms-enabled	保管中のデータを保護するため、Amazon Redshift クラスターで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。Redshift クラスターには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	s3-default-encryption-kms	Amazon Simple Storage Service (Amazon S3) バケットで、暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、保管中のデータの暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	secretsmanager-using-cmk	保管中のデータを保護するために、Secrets Manager シー AWS クレットで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。保管中の Secrets Manager のシークレットに機密データが存在する可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	バックアップ/リカバリ・ポイント暗号化	AWS Backup リカバリポイントで暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	codebuild-project-artifact-encryption	保管中の機密データを保護するために、 AWS CodeBuild アーティファクトの暗号化が有効になっていることを確認します。
500.15 (a)	(a) サイバーセキュリティプログラムの一環として、各対象エンティティは、リスク評価に基づき、対象エンティティが保有または転送する非公開の情報を外部ネットワーク上で転送中および保管中の両方で保護するための、暗号化を含むコントロールを実装するものとします。	kinesis-stream-encrypted	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Kinesis Streams で暗号化が有効になっていることを確認します。
500.16	(a) サイバーセキュリティプログラムの一部として、対象となる各エンティティは、対象エンティティの情報システムの機密性、完全性もしくは可用性、または対象となるエンティティの事業もしくは運営のいかなる側面の継続的機能に重大な影響を及ぼすサイバーセキュリティ事象に迅速に対応し、そこから回復するように設計された書面による事故対応計画を策定するものとします。	response-plan-exists-maintained （プロセスチェック）	インシデント対応計画が確立および維持され、責任者に配布されていることを確認します。

テンプレート

テンプレートは、 GitHub「: Operational Best Practices for NYDFS 23」で入手できます。