「AWS FISC安全対策基準対応リファレンス」参考文書の発行に際して

はじめに

本書は2020年9月にアマゾン ウェブ サービス（以下、AWS）よりリリースされた「AWS FISC安全対策基準対応リファレンスガイド」をより使いやすいものとするために、AWSパートナーの有志企業が共同で作成した参考文書です。

2020年9月にAWSがリリースした「AWS FISC安全対策基準対応リファレンス」をより使いやすいものとするために、AWSパートナーの有志が募り、リファレンスの参考文書を作成するコンソーシアムを立ち上げました。この度、本コンソーシアムの成果物として「AWS FISC安全対策基準対応リファレンス」の参考文書が完成しましたので、金融機関および金融機関のシステムを構築するベンダー向けに無償提供を開始します。

本参考文書では、クラウドサービス「アマゾン ウェブ サービス」（以下：AWS）環境を利活用する金融機関が安全対策上考慮すべき事項について、ITベンダーが有する開発・運用の知見も含めて包括的に提示しています。

富士通は、本コンソーシアムの主旨に賛同し2020/10月コンソーシアムWG発足メンバーとして参画しています。

本参考文書の特徴

金融情報システムセンター（以下、FISC）においては、金融機関におけるクラウドサービスの普及とFintechなどの活用を踏まえて2020年3月に「FISC安全対策基準（第9版令和2年3月版）」（以下、安全対策基準）を公開しました。
また、クラウドサービスの安全な利活用を促進するために「金融機関等におけるクラウド導入・運用に関する解説書（試行版）」（以下、解説書）も公開しています。本参考文書は、解説書の公開を受けて、金融機関および金融機関のシステムを構築するベンダーに向け、AWS環境における安全対策基準の要件の考え方や、要件を充足させるために必要な情報を基準ごとに提供しています。

安全対策基準は金融機関におけるシステムリスクを管理するためのガイドラインとして長きに亘って活用されています。しかし昨今、クラウドサービスの進展やFintechサービスなどの利活用により金融機関のシステム構成やサービス形態が多様化しています。それに伴い、AWSをはじめとしたクラウドサービスを利用する際の、クラウドサービス自体の準拠性の確認、および金融機関側が求められる具体的な対策の検討が、広範かつ複雑になっており、金融機関や金融機関のシステムを構築するベンダーの課題となっていました。

このたび共同作成した本参考文書は、コンソーシアムに参加しているITベンダー各社が有するクラウドサービスにかかる知見と実績を結集したものです。金融機関や、金融機関のシステムを構築するベンダーが、安全対策を検討・実施する際に参考となる要件定義・設計・実装のポイント、考慮点等の情報提供を行います。AWS FISC安全対策基準対応リファレンスと併せて本参考文書に記載のノウハウを具体的に提示することにより、安全で信頼性の高いシステムの構築・運用を支援します。

また、金融機関は、本参考文書を、AWS上に構築された自社システムが安全対策基準に準拠しているかを判断する参考文書として活用することができます。
加えて、安全対策基準への準拠性を判断するにあたって障壁となりがちなAWS内部の対策状況についても、準拠性の根拠となるような第三者認証の該当項目の引用により、判断を支援できるように記載しております。

• 「AWS FISC安全対策基準対応リファレンス」にAWS利用者向け補足情報を加えた参考文書
• 国内ITベンダーのクラウド利活用におけるノウハウを結集し、金融機関が納得しづらい話をロジカルに説明、明確化
• 解説書も参考にしつつ、観点の抜け漏れがないよう包括的にカバー

本参考文書の概要と活用イメージ

本参考文書の位置づけと概要は以下のようになっています。

また、本参考文書は以下のような場面でご利用いただくことを想定しています。

• 安全対策基準に準拠した金融機関内での統制構築や監査対応
• 安全対策基準に準拠するためのAWSにおける設計および設定
• システム開発時における金融機関-ベンダー間の合意形成

入手方法

下記リンクから、ダウンロードすることが可能です。
「AWS FISC安全対策基準対応リファレンス」参考文書をクリックすると、利用許諾契約を読み、その内容に同意したものとみなされます。

• 「AWS FISC安全対策基準対応リファレンス」参考文書※

FISC安全対策基準対応リファレンスガイド（令和2年3月対応）参考文書（zip/1.5MB)

• ※
  著作権について
  本参考文書は、FISC対応APNコンソーシアム及びコンソーシアムに参画したメンバー各社(富士通株式会社、及び株式会社NTTデータ、SCSK株式会社、TIS株式会社、シンプレクス株式会社、株式会社電通国際情報サービス、トレンドマイクロ株式会社、日本電気株式会社、株式会社野村総合研究所、株式会社日立製作所 (五十音順))の共同著作物となります。

（ご参考）関係するガイドライン

• 金融機関等コンピュータシステムの安全対策基準・解説書（第9版令和2年3月版）発行元：FISC（2020/3）
• 金融機関等におけるクラウド導入・運用に関する解説書（試行版）発行元：FISC（2021/5）
• 金融機関向け AWS FISC安全対策基準対応リファレンス　発行元：AWS（2020/9）