情報セキュリティ監査・法務・先端技術監査重要度:★★★出題: AM2・PM1・PM2

クラウド基盤（IaaS/PaaS/コンテナ）の設定・構成監査

くらうどきばんのせっていこうせいかんさ / Cloud Infrastructure (IaaS/PaaS/Container) Configuration Audit

AWS・Azure・GCP等のクラウド環境やコンテナ基盤において、IAM権限、ストレージ公開設定、セキュリティグループ（FW）、鍵管理、コンテナイメージの脆弱性管理が適切に構成・維持されているかを検証する監査です。

3行速習ポイント

AWS・Azure・GCP等のクラウド環境やコンテナ基盤において、IAM権限、ストレージ公開設定、セキュリティグループ（FW）、鍵管理、コンテナイメージの脆弱性管理が適切に構成・維持されているかを検証する監査です。
クラウドの重大インシデントの大半はクラウド事業者側の障害ではなく、利用者側の「設定ミス（オブジェクトストレージの意図せぬ全体公開等）」に起因します。
試験対策：午後I令和6年問2（PaaS上のコンテナ環境を利用したシステム開発・運用の監査）に代表される、現代のシステム監査で最注目の領域です。

図解

図クラウド・コンテナ基盤（IaaS/PaaS）における3大セキュリティ監査領域構成要素・基本原則

ID・ネットワーク設定統制、コンテナイメージ統制、証跡・継続監視

🏛 クラウド・コンテナ基盤（IaaS/PaaS）における3大セキュリティ監査領域（中核を構成する 3 つの柱）

設定・権限統制

1. IAM権限・ネットワーク・ストレージ設定統制

管理コンソールのMFA必須化・最小権限・バケット非公開設定

クラウド環境のIAMポリシーとネットワーク設定を査閲し、過剰な管理者権限の付与やストレージ・DBのインターネット直接公開がないことを確かめる。

コンテナ統制

2. コンテナイメージ・シークレット管理統制

公式イメージ利用・ビルド時脆弱性スキャン・機密情報の外部注入

コンテナ利用規約とCI/CD設定を確認し、許可されたベースイメージのみの使用、イメージの脆弱性スキャン、およびAPIキー等のSecret管理機能利用を確かめる。

ログ・構成監視

3. クラウド操作ログ保全と構成ドリフトの継続検知

API操作ログの別アカウント保全とCSPMによる設定逸脱アラート

クラウド管理コンソールの操作ログが削除不能な形で別領域に保存されているか、またセキュリティ基準からの設定逸脱が自動検知される仕組みを確認する。

💡 午後I令和6年問2では、PaaS上のコンテナ利用において「PaaS事業者が管理する領域」と「自社でパッチ適用・脆弱性管理すべきコンテナイメージ領域」の区別が問われました。

概要と本質

AWS・Azure・GCP等のクラウド環境やコンテナ基盤において、IAM権限、ストレージ公開設定、セキュリティグループ（FW）、鍵管理、コンテナイメージの脆弱性管理が適切に構成・維持されているかを検証する監査です。クラウドの重大インシデントの大半はクラウド事業者側の障害ではなく、利用者側の「設定ミス（オブジェクトストレージの意図せぬ全体公開等）」に起因します。

重要ポイント・コア概念

IAM最小権限・多要素認証（MFA）、ストレージバケットのパブリックアクセスブロック、ネットワーク制御、および管理コンソール操作ログ（CloudTrail等）の有効化確認
コンテナ環境（令和6年問2）におけるベースイメージの信頼性確認、イメージへの脆弱性スキャン実施、シークレット情報（認証情報）のイメージ内ハードコード禁止の確認
定量的効果・監査目標例：CSPM（クラウド設定監査ツール）出力と変更管理記録の突合を監査手続に組み込み、公開設定ミスおよび特権コンテナの未承認稼働を0件に統制