AWS Audit Manager入門｜コンプライアンス証拠収集を自動化してPCI DSS・SOC2対応監査レポートを生成する実践ガイド

2026年6月23日2026年7月2日

コンプライアンス監査のたびに「CloudTrailのログをExcelに転記して、担当者がチェック印を付ける」という作業を繰り返しているチームは多いです。PCI DSSやSOC2の外部審査が迫るたびに数週間を証拠収集に費やし、本来のインフラ改善が後回しになるのは典型的なパターンです。

この記事では、AWS Audit Managerの基本コンポーネントと設定手順を整理し、PCI DSS・SOC2・CIS Benchmarks対応の評価作成から証拠自動収集・レポート生成まで、現場で再現できる手順で解説します。

なぜAWS Audit Managerが必要なのか？

オンプレ環境では、コンプライアンス証拠の収集は「担当者が各システムにログインして画面をキャプチャする」か「ログファイルをダウンロードしてフォルダ管理する」の二択でした。クラウド移行後は対象リソースが増え、その手作業は現実的ではなくなります。

AWS Audit Managerが解決する問題は次の3点です。

・証拠収集の自動化: CloudTrail・AWS Config・Security Hubからの証拠を自動的に収集し、コントロールに紐づけて保管する
・フレームワークへのマッピング: PCI DSS・SOC2・HIPAA・ISO27001などの標準フレームワークと、具体的なAWSリソース設定があらかじめ対応付けられている
・監査レポートの自動生成: 評価期間の証拠を一括でレポートとしてS3に出力し、外部審査員に提出できる形にまとめる

他のセキュリティサービスとの役割分担を整理するとこうなります。

サービス	主な役割
AWS CloudTrail	APIコール履歴の記録（証拠のソース）
AWS Config	リソース設定の変更履歴と適合評価（証拠のソース）
AWS Security Hub	セキュリティ基準への適合スコア（証拠のソース）
AWS Audit Manager	コンプライアンスフレームワークへのマッピングと証拠の整理・レポート生成

Audit Manager単独では何も「防ぐ」ことはしません。証拠を集めて整理し、審査に必要な文書を自動生成するのが役割です。

AWS Audit Managerの基本コンポーネント

AWS Audit Managerを理解するには4つのコンポーネントを把握する必要があります。

・フレームワーク（Framework）: コンプライアンス規格を表す上位概念。PCI DSSやSOC2に対応するAWSマネージドフレームワークと、自社用にカスタマイズしたカスタムフレームワークがある
・コントロール（Control）: フレームワーク内の個別の要件。「MFAが有効化されているか」「S3バケットのパブリックアクセスがブロックされているか」のような具体的なチェック項目
・評価（Assessment）: 特定のフレームワークをどのAWSアカウント・リージョンに適用するかを定義したもの。評価を開始すると証拠収集が始まる
・証拠（Evidence）: コントロールを満たしていることを示す実際のデータ。AWS ConfigのルールチェックやCloudTrailのAPIログが自動収集される

基本的な設定手順

1. AWS Audit Managerの有効化

マネジメントコンソールまたはCLIでAudit Managerを有効化します。証拠の保存先S3バケットと暗号化キー（AWS KMSまたはAWSマネージドキー）を指定します。

# AWS CLI でAudit Managerを有効化（東京リージョン） aws auditmanager register-account \ --kms-key alias/aws/auditmanager \ --region ap-northeast-1 # 有効化状態の確認 aws auditmanager get-account-status \ --region ap-northeast-1 # "status": "ACTIVE" になれば完了

2. 評価（Assessment）の作成

マネジメントコンソールから評価を作成します。AWSマネージドフレームワーク（PCI DSS、SOC2等）を選択し、評価対象のAWSサービスと証拠の保存先S3バケットを指定します。


# まずフレームワークARNを取得（PCI DSS v3.2.1）
aws auditmanager list-assessment-frameworks \
  --framework-type Standard \
  --query 'frameworkMetadataList[?contains(name,`PCI DSS`)].{Name:name,Arn:arn}' \
  --output table \
  --region ap-northeast-1

# 評価を作成
aws auditmanager create-assessment \
  --name "PCI-DSS-Assessment-2026" \
  --assessment-reports-destination \
    '{"destinationType":"S3","destination":"s3://my-audit-reports-bucket"}' \
  --scope \
    '{"awsAccounts":[{"id":"123456789012"}],"awsServices":[{"serviceName":"s3"},{"serviceName":"ec2"},{"serviceName":"rds"}]}' \
  --roles '[{"roleType":"PROCESS_OWNER","roleArn":"arn:aws:iam::123456789012:role/AuditManagerRole"}]' \
  --framework-id <上で取得したフレームワークARN> \
  --region ap-northeast-1

3. コントロールステータスの確認と証拠レビュー

評価を開始すると、数時間以内に証拠収集が始まります。マネジメントコンソールの評価画面でコントロールごとのステータスを確認できます。証拠の状態は次の3種類です。

・PASSED: コントロールの要件を満たしている
・FAILED: 設定や状態がコントロールの基準を満たしていない
・MANUAL: 自動収集できない証拠（ポリシー文書・SLAの契約書など）は手動でアップロードが必要

4. 評価レポートの生成

監査期間の証拠をまとめてレポートとしてS3に出力します。外部審査員に提出できる形式で生成されます。

# 評価IDを確認 aws auditmanager list-assessments \ --query 'assessmentMetadata[].{Name:name,Id:id,Status:status}' \ --output table \ --region ap-northeast-1 # 評価レポートを生成（S3に出力） aws auditmanager create-assessment-report \ --name "PCI-DSS-Report-2026Q2" \ --description "2026年第2四半期 PCI DSS監査レポート" \ --assessment-id <評価ID> \ --region ap-northeast-1

主要フレームワーク別の活用ポイント

フレームワーク	主な対象	最初に試すべきか
CIS AWS Foundations Benchmark	AWSの基本セキュリティ設定全般	◎ 入門に最適
PCI DSS v3.2.1	クレジットカード情報を扱うシステム	△ コントロール数が多い
SOC 2	SaaSベンダーのセキュリティ信頼性証明	○ タイプI/IIを段階的に
ISO 27001	ISMS認証取得・維持	△ 手動コントロールが多い
NIST CSF	米国政府・金融機関取引先向け	○ 概念整理に有効

最初に取り組むならCIS AWS Foundations Benchmarkがおすすめです。MFAの有効化・CloudTrailの設定・S3バケットのパブリックアクセスブロックなど、AWSの基本セキュリティ設定が網羅されています。コントロール数が他フレームワークより少なく、1か月で全体像をつかめます。CIS対応が完了すると、PCI DSSやSOC2の評価でも多くのコントロールが再利用できるため、段階的な展開の足場にもなります。

料金の仕組み（コスト感覚）

AWS Audit Managerの料金は評価対象リソースの数と評価日数で決まります（2026年6月時点、東京リージョン ap-northeast-1）。

・リソース評価料金: $0.0031/リソース・日（1リソースを1日評価するごとに課金）

例として、EC2インスタンス・RDSインスタンス・S3バケット合計100リソースを1か月（30日）評価した場合の試算です。

・月額費用: 100リソース × $0.0031 × 30日＝約$9.3（約1,400円）

数百リソース規模の本番環境でも月額数千円程度に収まるケースが大半です。外部審査員への対応工数（エンジニア工数×時給）と比べると費用対効果は高く、導入判断はしやすいサービスです。

ただし、マルチアカウント構成でAWS Organizationsと連携する場合は、子アカウントのリソースも評価対象に含まれることを念頭に置いてください。アカウント数が多い環境では、事前にリソース数の見積もりをしておくことをおすすめします。

応用・実務Tips

AWS Security Hubとの連携による証拠強化

Security Hubの検出結果（Findings）をAudit Managerのコントロール証拠として自動連携できます。Security HubでCIS AWS Foundations Benchmarkが「FAILED」になっている場合、その情報がAudit Managerのコントロールにも自動反映されます。「何が問題か（Security Hub）」と「その問題がコンプライアンス要件のどの項目に影響するか（Audit Manager）」を一元管理できる構成です。

マルチアカウント構成（AWS Organizations連携）

AWS Organizationsの管理アカウントから委任管理者を設定すると、複数の子アカウントにまたがる評価を一元管理できます。本番・開発・ステージング環境を別アカウントで運用している場合に特に有効です。

# 管理アカウントから委任管理者を登録 aws auditmanager register-organization-admin-account \ --admin-account-id 111122223333 \ --region ap-northeast-1 # 委任管理者アカウントで評価作成時に複数アカウントをスコープに含める # create-assessment の --scope で複数の awsAccounts を指定する

カスタムフレームワークの作成

自社固有のセキュリティポリシー（「全EC2インスタンスにコスト配分タグが付いているか」「RDSの自動バックアップが有効か」等）をカスタムコントロールとして定義できます。既製フレームワークにない社内基準も、AWS Configルールや CloudTrailイベントを証拠ソースとして組み込めます。

クラウドセキュリティのより深い実践知識については、姉妹サイトSecurityMasters.TOKYOでも解説しています。ゼロトラストアーキテクチャやSIEM設計など、防御側の実践ノウハウが充実しています。

よくあるトラブルと対処法

トラブル1: 証拠が「MANUAL」のままで自動収集されない

コントロールによっては、自動証拠ソース（AWS Config・CloudTrail等）でカバーできない要件があります。「セキュリティポリシー文書が最新版に更新されているか」のような人的プロセスに関するコントロールは、手動でPDFやスクリーンショットをアップロードする必要があります。評価開始前に「このコントロールは何を証拠ソースとするか」を確認してから着手してください。

トラブル2: AWS Configが有効化されていないリージョンで証拠が空になる

AWS Audit Managerは証拠ソースとしてAWS Configを使います。評価対象リージョンでAWS Configが有効化されていない場合、Config由来の証拠が収集できません。評価開始前に、すべての対象リージョンでAWS Configが有効かつ適切なルールが設定されているか確認してください。

トラブル3: 長期評価でS3ストレージコストが増大する

評価期間が長くなると、証拠データがS3に蓄積されてストレージコストが増加します。評価レポートの生成・提出が完了したら評価を「非アクティブ」に変更し、S3のライフサイクルルールで古い証拠を低コストのストレージクラスに移行するのが実務的な運用方針です。

本記事のまとめ

AWS Audit Managerは、PCI DSS・SOC2・CIS Benchmarksなどのコンプライアンスフレームワークに対する証拠収集を自動化し、監査レポートを継続的に生成するサービスです。

やりたいこと	対応サービス
APIコール履歴を証拠として保管したい	AWS CloudTrail（Audit Managerが自動連携）
リソース設定の適合状況を証拠に使いたい	AWS Config（Audit Managerが自動連携）
セキュリティ基準への準拠スコアを証拠に使いたい	AWS Security Hub（Audit Managerと連携）
コンプライアンス証拠を整理してレポート化したい	AWS Audit Manager
外部審査員に提出できるレポートを自動生成したい	AWS Audit Manager（評価レポート機能）

まずは「CIS AWS Foundations Benchmark」でAudit Managerを試し始めるのがおすすめです。AWSの基本セキュリティ設定が網羅されており、他のフレームワーク展開の足場にもなります。自動収集できる証拠とMANUAL対応が必要なコントロールの比率を把握してから、PCI DSSやSOC2の評価に展開するのが現実的な進め方です。