コンプライアンス（Compliance）

文書基準: 2026年8月

概要

クラウドにおけるコンプライアンスは、共同責任モデル に基づいてベンダーと利用者が責任を分担します。ベンダーはインフラ層のセキュリティ統制について認証を取得し、利用者は自身のワークロード構成が規制要件を満たすよう管理します。

国別コンプライアンス

国・地域ごとに公共調達認証、個人情報保護法、業界別規制が異なり、リージョン選択・データレジデンシー・分離レベルといったアーキテクチャ上の決定に直接影響します。国別の詳細は該当する国のドキュメントで扱います。

韓国 — ISMS-P、CSAP、金融・網分離、ソブリンFM: 韓国概要 · コンプライアンス（韓国）
米国 — FedRAMP、HIPAA、ITAR/EAR、州プライバシー法、AI政策: 米国概要
EU — GDPR・データ主権、DORA、NIS2・AI Act、加盟国スキーム、ソブリンAI: EU概要
日本 — ISMAP、APPI、ガバメントクラウド、AIの地勢: 日本概要
シンガポール — MTCS、PDPA、GCC・IM8、AIガバナンス: シンガポール概要

国際的な主要認証

ISO/IEC 27001:2022 — 情報セキュリティマネジメントシステム

国際標準の情報セキュリティ管理体系です。ほとんどのグローバルCSPが基本として保有しています。2022年改訂版が現行の標準であり、以前の2013年版の認証書は2025年10月31日をもって失効しました。まだ2022年版へ移行していない組織は、新規認証（または移行再認証）を受ける必要があります。

主な変更点: 統制項目が114個から93個に再構成され、「脅威インテリジェンス」「クラウドサービスセキュリティ」「データマスキング」など11個の新規統制が追加されました。

ISO/IEC 42001 — AIマネジメントシステム

AIシステムの開発・運用に関する国際標準の管理体系認証です。責任あるAIガバナンスのためのフレームワークを提供します。

OCI AIサービス（Enterprise AI、AI Services）が2026年6月にISO/IEC 42001認証を取得
Oracle Cloud Compliance

SOC 1 / SOC 2 / SOC 3

AICPA（米国公認会計士協会）に基づく監査報告書です。エンタープライズ顧客からよく求められます。

SOC 1 — 財務報告に関する統制
SOC 2 — セキュリティ、可用性、処理の完全性、機密性、プライバシー
SOC 3 — SOC 2の要約公開報告書

各ベンダーのSOC報告書は機密資料であるため、顧客契約後にAWS Artifact、Azure Service Trust Portalなどを通じてダウンロードします。

業界別規制

業界	主な規制	適用地域	備考
医療	HIPAA、HITRUST	米国
カード決済	PCI DSS v4.0.1	グローバル	v4.0（2024年3月31日、従来のv3.2.1廃止）→ v4.0.1（2024年6月の正誤表）。2025年3月31日からv4.0の「将来日付」約50項目の義務化が完了
公共（米国）	FedRAMP / FedRAMP 20x	米国連邦	20x: 数か月単位の手動認可を、OSCALベースの機械可読エビデンス・自動検証中心に短縮する自動化優先プロセス（fedramp.gov/20x）
公共（EU）	C5（ドイツ）、ENS（スペイン）等	EU
個人情報（EU）	GDPR	EU
AI（EU）	EU AI Act	EU	GPAI義務は2025.8.2適用、制裁権限・第50条の透明性義務は2026.8.2発効（合成コンテンツの表示は既存の市場投入済みシステムについて2026.12.2まで猶予）。高リスクAIはDigital Omnibusにより延期 — 独立型2027.12.2、製品内蔵2028.8.2。EU AI Act全文
金融（EU）	DORA	EU	2025年1月17日適用開始。CTPP（Critical Third-Party Provider）指定手続きが進行中。詳細

各ベンダーの該当認証状況は、AWS Compliance Programs、Azure Trust Center、Google Cloud Compliance、Oracle Cloud Complianceの各ページで確認します。

ベンダー別コンプライアンスハブ

認証状況の全リストとレポートへのアクセス方法は、各ベンダーの公式ハブで管理されています。

ベンダー	ハブ
AWS	AWS Compliance Programs、AWS Artifact（レポート）
Azure	Microsoft Trust Center、Service Trust Portal
Google Cloud	Google Cloud Compliance Resource Center、Google Compliance Reports Manager
OCI	Oracle Cloud Compliance

クラウドにおけるコンプライアンス運用の実際

認証そのものよりも、日常運用でどのように統制を維持するかが監査の核心です。

1. ガードレールの自動化

手動管理では漏れが発生するため、ポリシーをIaCとしてコード化します。

ベンダー	ツール
AWS	AWS Config、AWS Security Hub、SCP（Service Control Policy）
Azure	Azure Policy、Microsoft Defender for Cloud
Google Cloud	Organization Policy、Security Command Center
OCI	OCI Security Zones、OCI Cloud Guard

2. 監査証跡

すべての変更を監査ログとして残し、中央リポジトリに長期保管します。

ベンダー	監査ログ
AWS	AWS CloudTrail
Azure	Azure Monitor Activity Log
Google Cloud	Cloud Audit Logs
OCI	OCI Audit

3. アクセス統制と最小権限

最小権限の原則、MFA、鍵のローテーションはIAMとアクセス制御で扱います。

4. データ保護

5. 継続的モニタリング

監査の時点だけ統制を合わせるのではなく、常時検知体制を運用します。主要ベンダーはいずれもコンプライアンスダッシュボードを提供しています。

AWS Security Hub — CIS Benchmark、NIST、PCI DSSの自動検査。セキュリティ態勢管理で詳しく扱います
Azure Defender for Cloud — Secure Score + コンプライアンス標準の自動評価
Google Cloud Security Command Center — コンプライアンスフレームワークのマッピング
OCI Cloud Guard — 構成ミスの自動検知

読者のためのチェックリスト

マルチクラウド環境でコンプライアンスを検討する際に確認すべき事項:

処理・保存するデータの機微度分類は完了しているか？（個人情報、金融情報、機密情報など）
当該データに適用される法的要件を把握しているか？（適用管轄）
利用しようとするベンダーが、必要な認証を該当リージョンで保有しているか？
共同責任モデルにおける利用者責任範囲を明確に定義したか？
監査ログ、アクセス統制、暗号化など日常運用統制を自動化したか？
マルチクラウド環境で統合監査が可能か？（個別ベンダーダッシュボードの分散に注意）

継続的に行うべきこと

認証更新周期の管理 — ほとんどの認証は3年有効で年1回の事後・サーベイランス審査があります（例: ISO 27001）。国固有の認証周期は国ガイドを参照し、更新スケジュールをカレンダーに登録してください。
継続的コンプライアンス（Continuous Compliance） — 手動点検の代わりに、AWS Config、Azure Policy、Google Cloud Organization Policyでポリシー違反をリアルタイムに検知します。
ポリシードリフトの検知 — IaCと実際の環境の差異を定期的に確認し、コンプライアンス状態を維持します。

よくある間違い

ベンダー認証だけを信頼し、利用者責任範囲を放置する — ベンダーがISO 27001などを保有していても、VPC、IAM、暗号化設定は利用者の責任のため監査で指摘される
監査の時点だけ統制を合わせ、普段はドリフトを放置する — 年1回の審査直前だけ整理すると、日常運用での規定違反が積み重なる
データ分類をせず、すべてのデータに同一のセキュリティレベルを適用する — 過剰保護でコストが急増するか、過小保護で規制違反が発生する

チェックリスト

処理・保存するデータの機微度分類（個人情報、金融情報、機密情報）を完了したか
AWS Config、Azure Policyなどでポリシー違反をリアルタイムに検知する継続的コンプライアンス体制を運用しているか
認証更新スケジュール（ISO 27001サーベイランス審査および国別認証）をカレンダーに登録し管理しているか

参考資料

国の規制機関・ローカル認証リンクは韓国 · 米国 · EU · 日本 · シンガポールガイドにあります。