変更要約: SCS-C02 第6章を深掘り（比較表・シナリオ・FAQ・ひっかけ・深掘り段落を各節に追加、図を日本語版に対応）
6.2構成コンプライアンスと自動修復
継続的コンプライアンス——AWS Config（ルール/適合パック）、自動修復、Security Hub 標準、Audit Manager、Systems Manager——を理解します。準拠状態を継続評価し、逸脱を自動是正します。
コンプライアンスは継続的に評価・是正します。AWS Config でルールを評価し、逸脱を自動修復します。
6.2.1コンプライアンスの自動化
- AWS Config：構成をルールで継続評価し、逸脱を検出・記録（例: S3 公開、暗号化漏れ）。
- 自動修復：Config ルールに修復アクション（SSM Automation）を関連付け、逸脱を自動是正。
- Security Hub 標準/適合パック：CIS/AWS 基礎ベストプラクティスなどをスコア化・まとめて適用。
- Audit Manager：監査の証拠を継続収集し、コンプライアンスレポートを支援する。
「構成コンプライアンスの継続評価＝AWS Config（ルール/適合パック）」「逸脱の自動是正＝Config 修復アクション/SSM Automation」「ベストプラクティスのスコア化＝Security Hub 標準」「監査証拠の収集＝Audit Manager」 は SCS-C02 で頻出です。「S3 公開を検出したら自動で非公開化」は Config ルール＋自動修復の定番です。
SCS-C02 のコンプライアンス自動化は「望ましい構成を継続評価し、逸脱を自動是正し、監査証拠を残す」閉ループを問います。AWS Config はリソースを構成項目として記録し、マネージドルール（s3-bucket-server-side-encryption-enabled、restricted-ssh、ec2-instance-no-public-ip 等）や Lambda カスタムルールで準拠を評価、適合パック（Conformance Pack）で PCI DSS/HIPAA/CIS 等のルール群をまとめて配布します。違反には修復アクション（SSM Automation ドキュメント）を関連付け、検出時に自動是正（例: 公開 S3 をブロック、未暗号化ボリュームにタグ付け）。組織横断では Config アグリゲータで全アカウント/リージョンの準拠を 1 か所に集約します。Security Hub は GuardDuty/Inspector/Macie/Config 等の検出を ASFF で集約し、CIS/AWS 基礎セキュリティ標準/PCI DSS に対するスコアを出して態勢を可視化、自動化ルールで対応を効率化します。Audit Manager は規制フレームワーク（PCI DSS、HIPAA、SOC 2 等）に対する監査証拠を継続収集・整理し、監査レポート作成を支援します。自動修復は EventBridge→Lambda/SSM とも組み合わせ、冪等性とガードレール（しきい値/承認）で安全に。設計の要は、Config で継続評価＋適合パックで規制対応、修復アクションで自動是正、Security Hub でスコア化、Audit Manager で証拠化、という閉ループを組むことです。
| 役割 | サービス | 要点 |
|---|---|---|
| 構成の継続評価 | AWS Config（ルール/適合パック） | 構成項目記録・規制ルール束で配布 |
| 逸脱の自動是正 | 修復アクション（SSM Automation） | ルールに紐付け・検出で自動是正 |
| 態勢のスコア化 | Security Hub 標準 | CIS/AWS FSBP/PCI DSS で集約スコア |
| 監査証拠の収集 | Audit Manager | 規制フレームワーク別に継続収集 |
シナリオ：規制（PCI DSS）対応で「暗号化必須・公開禁止などのルールを全社に適用し、違反は自動是正、監査証拠も残す」必要がある。→ AWS Config の適合パックで PCI DSS 関連ルールを全アカウントに配布（アグリゲータで集約）。違反は修復アクション（SSM Automation）で自動是正（公開 S3 を非公開化など）。Security Hub の PCI DSS 標準で準拠スコアを可視化し、Audit Manager で監査証拠を継続収集して監査レポートを作成します。
FAQ：AWS Config と Security Hub と Audit Manager はどう違う？ Config は「リソース構成がルールに準拠しているか」を継続評価・記録し、自動修復もできます。Security Hub は複数サービスの検出を集約しスコア化して態勢を可視化する“ダッシュボード/ハブ”。Audit Manager は規制フレームワークに対する監査証拠を収集・整理して監査を支援します。構成準拠は Config、横断スコアは Security Hub、監査証拠は Audit Manager、と役割が異なります。
ひっかけ：「監査の証拠を継続収集」を Security Hub だと考えるのは誤り——それは Audit Manager の役割です。Security Hub は検出の集約とスコア化（ダッシュボード）。また、Config ルールを作っただけでは自動是正されません——修復アクションを関連付けて初めて自動是正されます。「構成準拠の評価＝Config／横断スコア＝Security Hub／監査証拠＝Audit Manager」を取り違えないこと。
6.2.2この節のまとめ
- 評価＝AWS Config（ルール/適合パック）／是正＝自動修復（SSM）
- 標準＝Security Hub／監査証拠＝Audit Manager
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. リソース構成が社内ルール（例: S3 は暗号化必須）に準拠しているか継続評価し、逸脱を検出したい。何を使いますか？
Q2. Config ルール違反（例: 公開 S3）を、追加実装なしで自動的に是正したい。何を使いますか？
Q3. CIS や AWS 基礎セキュリティベストプラクティスへの準拠状況をスコア化して把握したい。何を使いますか？