CIS Compliance
CIS Compliance ページでは、AWS CIS（Center for Internet Security）ベンチマークに基づいてセキュリティコンプライアンスの状態を評価します。Powerpipe を使用して数百のコントロールを自動的に検査します。
サポートするベンチマーク
次の CIS AWS Foundations Benchmark バージョンをサポートします:
| バージョン | コントロール数 | 備考 |
|---|---|---|
| CIS v4.0.0 | 最新 | 2024 年リリース |
| CIS v3.0.0 | デフォルト選択 | 推奨バージョン |
| CIS v2.0.0 | レガシー | |
| CIS v1.5.0 | レガシー |
特別な要件がなければ CIS v3.0.0 の使用を推奨します。最新のセキュリティ推奨事項が反映されており、かつ安定しています。
ベンチマークの実行
- ドロップダウンでベンチマークバージョンを選択します
- Run Benchmark ボタンをクリックします
- 実行中は進行状況が表示されます（約 2〜5 分かかります）
ベンチマークは数百の AWS API 呼び出しを実行します。AWS リソースの数によって 2〜5 分かかることがあります。
結果の要約
統計カード
| 指標 | 説明 |
|---|---|
| Pass Rate | 合格率（OK / 全体） |
| Total Controls | 検査されたコントロールの総数 |
| OK | 合格したコントロール |
| Alarm | 不合格のコントロール（対応が必要） |
| Skipped | スキップされたコントロール |
| Errors | 実行エラー |
合格率の基準
| 合格率 | 状態 | 意味 |
|---|---|---|
| 80% 以上 | 緑 | 良好 |
| 50〜79% | オレンジ | 改善が必要 |
| 50% 未満 | 赤 | 重大な対応が必要 |
可視化チャート
Compliance Status（円グラフ）
コントロールの状態別の分布を表示します:
- OK（緑）: 合格
- Alarm（赤）: 不合格 - 対応が必要
- Skip（グレー）: スキップ - 該当なし
- Error（オレンジ）: 実行エラー
- Info（シアン）: 情報
Alarms by Section（棒グラフ）
セクション別の不合格（Alarm）数を比較します。最も多くの不合格が発生したセクションに優先的に集中してください。Alarm が 0 件のセクションのバーは表示されず、すべてのセクションが 0 件の場合はチャート自体が非表示になります。バーの値は**チェック対象リソース単位（finding）**の集計のため、コントロール単位の Alarm KPI タイルより大きくなることがあります（カードに 'per finding' 表記）。アラートのあるセクションが 10 を超える場合は上位 10 件のみ表示されます（Top 10 of N 表記）。
完了メール通知
ベンチマーク実行が正常に完了すると（失敗した実行は送信されません）、ベンチマーク名・スコープ・合計/合格/不合格（Alarm）件数・合格率と /compliance リンクを含む SNS メールが送信されます。AI 診断通知と同じ SNS トピック/購読を再利用し（diagnosis_notify_enabled でゲート）、管理者の一時停止スイッチ（診断メール一時停止）でも同時に停止します。同一ベンチマークのメールは 60 分に 1 通に制限されます（再実行しても再送されません）。通知の失敗はベンチマーク結果に影響しません（ベストエフォート）。
セクション別の詳細
CIS ベンチマークは次のような主要セクションで構成されます:
| セクション | 主な検査項目 |
|---|---|
| 1. Identity and Access Management | ルートアカウント、MFA、パスワードポリシー、IAM ユーザー |
| 2. Storage | S3 バケットの暗号化、パブリックアクセスのブロック |
| 3. Logging | CloudTrail、Config、VPC Flow Logs |
| 4. Monitoring | CloudWatch アラーム、メトリクスフィルター |
| 5. Networking | Security Group、NACL、VPC 設定 |
セクションカード
各セクションカードで確認できる情報:
- セクションタイトル
- OK / ALARM / SKIP の数
- 合格率のパーセンテージ
- プログレスバー（視覚的な状態表示）
セクションカードをクリックすると、該当セクションのコントロール一覧が展開されます。
コントロールの詳細
コントロール一覧
セクションをクリックすると、配下のコントロール一覧が表示されます:
| アイコン | 状態 |
|---|---|
| 緑のチェック | OK - 合格 |
| 赤の X | ALARM - 不合格 |
| オレンジの警告 | ERROR - エラー |
| グレーのマイナス | SKIP - スキップ |
| シアンの情報 | INFO - 情報 |
コントロール詳細パネル
コントロールをクリックすると、スライドパネルで詳細情報を確認できます:
- Control ID: CIS コントロール番号（例: 1.1、2.1.1）
- Title: コントロールのタイトル
- Status: 検査結果の状態
- Reason: 合格/不合格の理由
- Resource: 検査対象リソースの ARN
- Description: コントロールの説明と推奨事項
ALARM 状態のコントロールは、Reason と Resource を確認して対応してください。ほとんどのコントロールは AWS コンソールや CLI で簡単に修正できます。
結果の保存
ベンチマーク結果はサーバーにキャッシュされます。ページを再読み込みしても、最後の実行結果が保持されます。
新しい結果が必要な場合は、Run Benchmark ボタンを再度クリックしてください。