【責任共有モデル】
AWSのセキュリティの考え方は、セキュリティ対策の責任をAWSとユーザーで分担する「責任共有モデル」です。AWSとユーザーの責任範囲は、利用するAWSクラウドサービスの種類によって異なります。AWSが提供するクラウドサービスの基盤部分については、AWSがセキュリティ対策の責任を持ちます。一方、ユーザーが設定・変更できる範囲については、ユーザーがセキュリティ対策の責任を持ちます。

[責任共有モデルのイメージ]


具体的な例としては、以下のようなものが挙げられます。
〇AWSが責任を持って管理するもの
・AWSのサービスが稼働するハードウェアのセキュリティ対策
・AWSのサービスが稼働するデータセンターのセキュリティ対策
・ハイパーバイザー（ホストOS）※のパッチ適用、セキュリティ対策
※「ハイパーバイザー（ホストOS）」とは、仮想化環境を実現するための土台となる仮想化ソフトウェアやOSのことです。また、ハイパーバイザーなどの仮想環境上で動作するOSのことを「ゲストOS」といいます。

〇ユーザーが責任を持って管理するもの
・AWSサービスを利用するにあたって作成した認証情報
・AWSサービスへのアクセス権限
・AWSサービス上のユーザーデータやログ
・ゲストOSのパッチ適用、セキュリティ対策

【IT統制】
AWSの責任共有モデルは、IT統制にも適用されます。ここでいう「統制」とは、IT環境やセキュリティを管理・監視するためのルールや仕組みを意味します。AWSとユーザーは、それぞれ異なる責任を持ちます。この責任共有モデルに基づき、IT統制の管理・運用・検証を責任範囲に応じて分担します。

[IT統制のイメージ]


■継承された統制
継承された統制とは、AWSが実施している統制のうちユーザーがAWSから完全に継承する統制です。ユーザーは、AWSの統制やコンプライアンスに関する情報を自社の統制評価に利用できます。AWSは物理的なインフラや環境の管理を担当します。具体的な例は以下の通りです。
・物理統制：AWSは自社のデータセンターにおける物理的なセキュリティを管理します。例えば、データセンターへのアクセス管理や、物理的な侵入防止策（監視カメラやアクセス制限など）が含まれます。
・環境統制：AWSはデータセンター内での温度管理や電力供給、冷却システムの監視を行います。

■共有統制
共有統制とは、AWSとユーザーがそれぞれの役割に基づいて分担して管理する統制です。インフラストラクチャの管理に関してはAWSが責任を負い、ユーザーはその上でゲストOS、アプリケーション、データベースなどの管理を行います。具体的な例は以下の通りです。
・パッチ管理：AWSはインフラストラクチャのパッチ適用を担当し、ユーザーはゲストOSやアプリケーションのパッチ適用を担当します。
・構成管理：AWSはインフラストラクチャの構成管理を行い、ユーザーはゲストOSやデータベース、アプリケーションの構成に責任を負います。
・意識とトレーニング：AWSはAWS従業員に対してセキュリティトレーニングを提供し、ユーザーは自社従業員へセキュリティトレーニングを実施します。

■ユーザー固有の統制
AWSのサービスにデプロイするアプリケーションの要件に基づき、ユーザーが全ての責任を負う統制です。具体的な例は以下の通りです。
・サービスと通信の保護、ゾーンセキュリティ：ユーザーは、自社がデプロイしたシステムと通信を保護し、ゾーンセキュリティを確保する責任を負います。具体的には、データを特定のセキュリティ環境内でルーティングしたり区分けしたりする対応が求められます。