AWS Security Hub CSPMがAWS Organizations宣言型ポリシーによる一元設定に対応、設定ドリフト防止と自動適用が可能に

公式発表で確認できる事実

• AWS Security Hub CSPMがAWS Organizationsの宣言型ポリシー（declarative policies）をサポートした
• 宣言型ポリシーを使用することで、組織内の全アカウント・全リージョンにわたってSecurity Hub CSPMを有効化し、有効にするセキュリティ標準とコントロールを定義できる
• ポリシーは全アカウント・全リージョンに広く適用することも、特定のアカウントとリージョンの組み合わせを対象にすることも可能
• 宣言型ポリシーは各アカウントの設定をアタッチされたポリシーと一致した状態に保ち、設定ドリフトの防止に役立つ
• 新規アカウントにも自動的に適用でき、アカウント作成直後からベースライン設定が有効になる
• 宣言型ポリシーはSecurity Hub CSPMの組織管理における推奨方式となった
• Amazon GuardDuty、Amazon Inspector、AWS Security Hubなど他のセキュリティサービスと同様の管理方式に統一される
• リージョン固有の設定など、従来の中央設定より柔軟な設定が可能
• 既存の中央設定は引き続き使用可能で、準備が整ったタイミングで移行できる
• Security Hub CSPMコンソールに移行プロセスが用意されており、既存の中央設定ポリシーを宣言型ポリシーに変換して適切なアカウントとリージョンに適用する
• すべてのコマーシャルリージョン、AWS GovCloud (US)、および中国リージョンで利用可能
• AWS Free Tierで30日間無料トライアルが利用可能
• 詳細はSecurity Hub CSPM User GuideおよびAWS Organizations User Guideを参照

当サイトの考察

宣言型ポリシーはAWS Organizationsの機能として他のサービスでも採用が進んでおり、Security Hub CSPMもこの管理方式に統一されることで、複数のセキュリティサービスを一貫した方法で管理できるようになります。既存の中央設定を利用している組織にとっては、コンソール上の移行ツールが提供されているため、比較的スムーズに移行できると考えられます。設定ドリフトの自動防止と新規アカウントへの自動適用は、大規模な組織でのセキュリティ統制強化に特に有効です。

確認できていない事項

• 東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）での具体的な提供状況は資料から確認できません（「すべてのコマーシャルリージョン」との記載はあります）
• 移行プロセスの具体的な手順や所要時間は資料から確認できません
• 宣言型ポリシーの利用に追加料金が発生するかどうかは資料から確認できません
• 東京（ap-northeast-1）と大阪（ap-northeast-3）での提供は、公式記事からは確認できていません。

この記事は、AWS 公式の発表をもとに AI が作成し、自動で公開しています。