AWSのセキュリティは、ルートユーザーの保護、人の権限の整理、公開設定の確認の順に始め、そのあとで記録と監視のサービスを足します。製品やサービスを増やす前に、この3つの設定を確かめると、影響の大きい穴から順にふさげます。
今日は、ルートユーザーの登録メールが誰のものかを確かめてください。退職者や委託先の担当者の個人アドレスになっていないか、多要素認証を誰が持っているかが分かれば、最初の判断ができます。自社で画面を見られない場合は、委託先に同じことを聞きます。
どこまでが自社の仕事なのか
クラウドの安全は、提供者と利用者が責任を分ける「責任共有モデル」で考えます。総務省のクラウドの設定ミス対策ガイドブックは、SaaS、PaaS、IaaSで分担の範囲が違うと説明しています。AWSも責任共有モデルのページを公開しています。
AWSの上にサーバーやデータを置く使い方では、誰に何を許すか、何を公開するかを決めるのは利用者です。機器の管理から解放されても、この判断は残ります。同じガイドブックは、委託した企業が設定ミスをした事例にも触れ、専門家でもミスをすると述べています。
最近の動きも、この部分の点検を求めています。国家サイバー統括室の2026年11月5日の文書は、相次ぐ情報漏えいの原因として、自組織や委託先で基本的な対策が十分でなかった事例を複数確認したとし、事業規模の大小を問わず幅広い事業者が攻撃対象になっているとの見方を示しています。
最初の設定1：ルートユーザーを守る
ルートユーザーは、AWSアカウントを作ると最初からある、すべてのリソースへの完全なアクセス権を持つIDです。AWSのルートユーザーのベストプラクティスは、それが必要な作業以外では使わないよう強く勧めています。確かめるのは次の5つです。
- 多要素認証が設定されている：すべての種類のアカウントで必須で、未設定なら初回のサインイン試行から14日以内に登録を求められる。最大8台まで登録でき、複数の登録が勧められている
- アクセスキーがない：作らないよう強く勧められている
- 登録メールが会社管理のグループアドレスで、他の用途に使っていない：担当者の休みや退職で連絡が止まるのを防ぐ
- パスワードと多要素認証を共有していない：業務上どうしても必要な人に限る
- 日常の作業に使っていない：別に管理者ユーザーを作る
アカウントを取り戻す手段も確かめます。メールの受信箱に入れないと、パスワードを再設定できません。パスワードの保管場所は、2人以上の承認と記録を求める形が勧められています。
複数のアカウントをAWS Organizationsで管理している場合は、メンバーアカウントのルートの認証情報を削除する方法も案内されています。
最初の設定2：人の権限を整理する
人のアクセスは、長く使えるパスワードやキーではなく、一時的な認証情報へ寄せます。IAMのベストプラクティスは、人が一時的な認証情報でアクセスすることを求め、まとめて管理する手段としてIAM Identity Centerを勧めています。既存のIDの仕組みをつなぐこともできます。
中小企業で確かめる点は、次の4つに絞れます。
- 全員が多要素認証を使っているか
- 全員が管理者権限を持っていないか（作業に要る最小限の権限にする）
- 使われていないユーザー、権限、認証情報が残っていないか
- プログラムが使う長期のキーが残っていないか
使っていない権限を探すには、IAM Access Analyzerの未使用アクセスの分析が使えます。
キーの扱いは、外部の開発会社に任せている環境ほど確かめる価値があります。JPCERT/CCの2026年10月の注意喚起は、確認された手口の中に、他のシステムの侵害で盗まれたAPIキーの使用を挙げ、トークンの権限を最小限にすること、長期間有効なトークンを避けること、漏えいが疑われたらすぐ無効にできるようにすることを求めています。国家サイバー統括室の文書も、認証情報をソースコードに直接書かず、有効期間の設定や定期的な入れ替えをするよう挙げています。
最初の設定3：公開しているものを確かめる
意図して公開しているものと、結果として公開されているものを分けます。S3の説明では、新しいバケットは既定で公開を許可していませんが、利用者がポリシーや権限を変えると公開できます。
これを上から止めるのがS3 Block Public Accessです。公開の必要がないことを確かめたうえで、アカウントで4つの設定をすべてオンにし、バケットごとにもオンにするようAWSは勧めています。公開サイトの配信にS3を使っている場合は、影響を確かめてから進めます。
外部と共有しているものの確認には、IAM Access Analyzerの外部アクセスの分析が使えます。S3バケットやIAMロールが外部と共有されていないかを見るものです。
国家サイバー統括室の文書は、公開しているIPアドレスやサービス、ポートなどを洗い出し、管理者、用途、公開の必要性を確かめて管理する例も挙げています。社内向けの管理画面が外から開けるなら、ここで見つかります。
次に足すもの：主なサービスの役割
設定の次は、後から確かめるための記録と、ずれに気づく仕組みです。総務省のガイドブックも、ミスを防ぐ「予防」とあわせて、起きたミスを見つける「発見」の対策が必要だと述べています。
順番は、CloudTrailからです。Event historyでは過去90日の管理イベントをリージョンごとに見られ、閲覧に料金はかかりません。それより長く残すには、S3へ保存するTrailなどを使います。他のシステムの記録とまとめて調べたいなら、統合ログ管理ツールの比較を見ます。
GuardDutyとSecurity Hub CSPMには、それぞれ30日の無料試用があります。試用後は料金がかかるので、試用の間に自社の環境でいくらになるかを確かめます。Security Hub CSPMの試用中も、連携するAWS Configなどの利用料は別にかかることがあると説明されています。
検知のサービスは、入れただけでは守りになりません。通知を受ける人と、見る頻度を先に決めます。兼任の担当者しかいなければ、週に1回確かめる範囲に絞るか、監視を外部に任せるかを決めます。
公開しているWebアプリがあるなら、WAFも検討します。自社で作り込むか専用の製品を使うかは、WAFの製品比較で役割の違いを見られます。
製造業の場合：委託先に確かめる項目
たとえば、部品メーカーが製品サイトや受発注の仕組みを制作会社に任せ、AWS上で動かしている場合を考えます。社内にAWSを触れる人がいなくても、次の質問なら総務の担当者から送れます。
- ルートユーザーの登録メールは誰のアドレスか。多要素認証は誰が持っているか
- 請求とアカウントの名義は当社か、委託先か
- 当社の環境に入れる人は誰か。退職者の権限はいつ消すか
- インターネットに公開しているものの一覧はあるか
- 操作の記録をどこに、何日残しているか
- 契約が終わるときに、アカウントとデータをどう引き渡すか
回答は文書で残します。答えが返ってこない項目があれば、それが次に直す場所です。2027年3月に受付開始予定のSCS評価制度はクラウド環境で運用するIT基盤も対象としているので、取引先から聞かれたときの材料にもなります。
専用の製品はいつ要るのか
アカウントが1つか2つで、動かしているものも少なければ、上の標準機能を使い切ることが先です。設定の点検を担う人が足りない場合や、複数のアカウントやクラウドにまたがり、画面を行き来する手間が大きくなった場合に、CNAPPの製品比較を見る意味が出てきます。
AWSの他に使っている業務のクラウドは、確かめる場所が違います。SaaSの導入前の確認項目と権限の管理、ファイルの置き場は法人のクラウドストレージ比較の7項目に分けました。クラウド全般はクラウドのセキュリティのカテゴリで整理しています。
