「HIPAA Security」の運用のベストプラクティス

コンフォーマンスパックは、マネージドまたはカスタムの AWS Config ルールと AWS Config 修復アクションを使用して、セキュリティ、運用、またはコスト最適化のガバナンスチェックを作成できるように設計された汎用コンプライアンスフレームワークを提供します。サンプルテンプレートとしてのコンフォーマンスパックは、特定のガバナンスまたはコンプライアンス基準を準拠するようには設計されていません。お客様は、本サービスの利用が該当する法的要件および規制要件を満たしているかどうかについて、お客様自身で評価する責任を負います。

以下に、「医療保険の相互運用性と説明責任に関する法令 (HIPAA)」と、AWS Config マネージドルール間のマッピングの例を示します。各 Config ルールが特定の AWS リソースに適用され、1 つ以上の「HIPAA」によるコントロールに関連付けられます。「HIPAA」によるコントロールを、複数の Config ルールに関連付けることができます。これらのマッピングに関する詳細およびガイダンスについては、以下の表を参照してください。

このコンフォーマンスパックは、AWS Security Assurance Services LLC (AWS SAS) によって検証されました。SAS は、Payment Card Industry Qualified Security Assessors (QSA)、HITRUST Certified Common Security Framework Practitioners (CCSFP)、およびコンプライアンスの専門家からなる、さまざまな業界のフレームワークにガイダンスと評価を提供することを認定されたチームです。AWSこのコンフォーマンスパックは、SAS プロフェッショナルによって、お客様が「HIPAA」のサブ集合に対応できるよう設計されました。

コントロール ID	コントロールの概要	AWS Config ルール	ガイダンス
164.308 (a)(1)(ii)(A)	(A) リスク分析 (必須) 対象となるエンティティが保持する電子的に保護された医療情報の機密性、完全性、可用性に対する潜在的なリスクと脆弱性を正確かつ徹底的に評価します。	annual-risk-assessment-performed (Process Check)	年に 1 回、組織のリスク評価を実施します。リスク評価は、組織に影響を及ぼす可能性のある特定のリスクや脆弱性の影響を判断するのに役立ちます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	alb-http-to-https-redirection-check	転送中のデータを保護するため、暗号化されていない HTTP リクエストを Application Load Balancer が HTTPS に自動的にリダイレクトするようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling グループの Elastic Load Balancing (ELB) ヘルスチェックは、十分な容量と可用性の維持をサポートします。ロードバランサーは、定期的に ping の送信、接続の試行、リクエストの送信を実行し、Auto scaling グループ内の Amazon EC2 インスタンスのヘルスステータスをテストします。インスタンスによってレポートが返されない場合、新しい Amazon EC2 インスタンスにトラフィックが送信されます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	cloud-trail-encryption-enabled	機密データが含まれている可能性があるため、AWS CloudTrail の証跡で暗号化を有効にして、保管中のデータを保護します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	cloud-trail-log-file-validation-enabled	AWS CloudTrail のログファイルの検証を使用して、CloudTrail ログの整合性をチェックします。ログファイルの検証は、CloudTrail がログファイルを配信した後に変更されたか、削除されたか、変更されていないかを判断するのに役立ちます。この機能は、業界標準のアルゴリズムを使用して構築されています。ハッシュ用の SHA-256 とデジタル署名用の RSA を備えた SHA-256。これにより、CloudTrail ログファイルを検出せずに変更、削除、または偽造することは計算上実行不可能になります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	codebuild-project-envvar-awscred-check	AWS Codebuild プロジェクト環境内に、認証情報である AWS_ACCESS_KEY_ID および AWS_SECRET_ACCESS_KEY が存在しないことを確認します。これらの変数をクリアテキストで保存しないでください。これらの変数をクリアテキストで保存すると、意図しないデータ漏えいや不正アクセスを招く可能性があります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	codebuild-project-source-repo-url-check	GitHub または Bitbucket のソースレポジトリの URL に、AWS Codebuild プロジェクト環境内の個人用のアクセストークン、サインイン認証情報が含まれていないことを確認します。GitHub または Bitbucket リポジトリへのアクセス認可を付与するには、個人のアクセストークンまたはサインイン認証情報ではなく、OAuth を使用します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	db-instance-backup-enabled	Amazon RDS のバックアップ機能では、データベースとトランザクションログのバックアップが作成されます。Amazon RDS により、DB インスタンスクラスターのストレージボリュームのスナップショットが自動的に作成され、DB インスタンス全体がバックアップされます。このシステムでは、回復性の要件を満たす特定の保持期間を設定できます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	dms-replication-not-public	DMS レプリケーションインスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。DMS レプリケーションインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling は AWS Application Auto Scaling サービスを使用し、ユーザーに代わって、実際のトラフィックパターンに自動的に応答するプロビジョンドスループットキャパシティを調節します。これにより、テーブルまたはグローバルセカンダリインデックスで、プロビジョンされた読み取りおよび書き込みの容量が拡張され、トラフィックの急激な増加をスロットリングなしで処理できるようになります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	dynamodb-pitr-enabled	このルールを有効にして、情報がバックアップされているかどうかをチェックします。また、Amazon DynamoDB でポイントインタイムリカバリが有効になっているかどうかを確認することで、バックアップを維持します。リカバリによって、過去 35 日間のテーブルの継続的なバックアップが維持されます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	dynamodb-throughput-limit-check	このルールを有効にすると、Amazon DynamoDB テーブルでのプロビジョンドスループットキャパシティがチェックされるようになります。これは、各テーブルがサポートできる読み取りおよび書き込みアクティビティの量です。DynamoDB はこの情報を使用して、スループット要件を満たすのに十分なシステムリソースを予約します。このルールでは、スループットがお客様のアカウントの最大限度に近づいたときにアラートが生成されます。このルールでは、accountRCUThresholdPercentage (Config デフォルト: 80) および accountWCUThresholdPercentage (Config デフォルト: 80) のパラメータを必要に応じて設定できます。実際の値には、組織のポリシーを反映する必要があります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	ebs-snapshot-public-restorable-check	EBS スナップショットがパブリックで復元されないようにすることにより、AWS クラウドへのアクセスを管理します。EBS ボリュームスナップショットには機密情報が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	ec2-ebs-encryption-by-default	保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	ec2-instance-no-public-ip	Amazon Elastic Compute Cloud (Amazon EC2) インスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。Amazon EC2 インスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	ec2-instances-in-vpc	Amazon Virtual Private Cloud (Amazon VPC) 内に Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを展開し、Amazon VPC 内でのインスタンスとサービス間の安全な通信を、インターネットゲートウェイ、NAT デバイス、VPN 接続を必要とせず可能にします。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。Amazon EC2 インスタンスを Amazon VPC に割り当て、アクセスを適切に管理します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	ec2-stopped-instance	このルールを有効にすると、Amazon EC2 インスタンスが、組織の基準に従って許可された日数を超えて停止しているかどうかを確認することで、Amazon Elastic Compute Cloud (Amazon EC2) インスタンスのベースラインの設定を行うことができます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	efs-encrypted-check	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic File System (EFS) で暗号化が有効になっていることを確認します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	elasticache-redis-cluster-automatic-backup-check	自動バックアップが有効になっている場合、Amazon ElastiCache はクラスターのバックアップを毎日作成します。バックアップは、組織の指定により数日間、保持することができます。自動バックアップは、データ損失を防ぐのに役立ちます。障害が発生した場合は、新しいクラスターを作成して、最新のバックアップからデータを復元できます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	elasticsearch-encrypted-at-rest	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service (OpenSearch Service) ドメインで暗号化が有効になっていることを確認します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	elasticsearch-in-vpc-only	Amazon OpenSearch Service (OpenSearch Service) のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイスや VPN 接続なしで、OpenSearch Service と他のサービス間に Amazon VPC 内で安全な通信ができるようになります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	opensearch-encrypted-at-rest	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	opensearch-in-vpc-only	Amazon OpenSearch Service のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の Amazon OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイス、そして VPN 接続を必要とせずに、Amazon OpenSearch と Amazon VPC 内にある他のサービスの間での安全な通信が可能になります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	elb-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。AWS Certificate Manager を使用して、AWS のサービスと内部リソースによってパブリックおよびプライベートの SSL/TLS 証明書を管理、プロビジョニング、およびデプロイします。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	elb-deletion-protection-enabled	このルールにより、Elastic Load Balancing で削除保護が有効になっているかどうかを確認します。この機能を使用すると、ロードバランサーが誤って削除されたり悪意を持って削除されることで、アプリケーションの可用性が失われることを防ぐことができます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	emr-master-no-public-ip	Amazon EMR クラスターマスターノードにパブリックにアクセスできないようにすることにより、AWS クラウドへのアクセスを管理します。Amazon EMR クラスターのマスターノードには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	encrypted-volumes	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「」に対して「Action」:「」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	iam-root-access-key-check	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーが割り当てられていないことを確認することにより、システムとアセットへのアクセスをコントロールできます。root アクセスキーが削除されていることを確認します。代わりにロールベースの AWS アカウントを作成して使用し、最小限の機能の原則を組み込みます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスの管理ができます。リソースで 0.0.0.0/0 からポート 22 への入力 (またはリモート) トラフィックを許可しないようにすることで、リモートアクセスを制限できます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	internet-gateway-authorized-vpc-only	インターネットゲートウェイが、認可された Amazon Virtual Private Cloud (Amazon VPC) にのみアタッチされるようにして、AWS クラウドのリソースへのアクセスを管理します。インターネットゲートウェイは、Amazon VPC との間の双方向インターネットアクセスを可能にしますが、これにより Amazon VPC リソースへの不正アクセスが発生する可能性があります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	kms-cmk-not-scheduled-for-deletion	保管中のデータを保護するため、AWS Key Management Service (AWS KMS) で、必要なカスタマーマスターキー (CMK) の削除がスケジュールされていないことを確認します。キーの削除が必要になる場合があるため、このルールでは、キーが意図せずスケジュールされた場合に備えて、削除予定のすべてのキーをチェックすることができます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	lambda-function-public-access-prohibited	AWS Lambda 関数へのパブリックアクセスができないようにして、AWS クラウドのリソースへのアクセスを管理します。パブリックアクセスにより、リソースの可用性の低下を招く可能性があります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) のマルチ AZ のサポートにより、データベースインスタンスの可用性と耐久性が強化されます。マルチ AZ のデータベースインスタンスをプロビジョニングすると、Amazon RDS はプライマリデータベースのインスタンスを自動的に作成し、別のアベイラビリティーゾーンのスタンバイインスタンスにデータを同期的にレプリケートします。各アベイラビリティーゾーンは、物理的に独立した独自のインフラストラクチャで実行されますが、高度な信頼性を実現できるよう設計されています。インフラストラクチャに障害が発生した場合、Amazon RDS ではスタンバイへの自動フェイルオーバーが実行されるため、フェイルオーバーが完了するとすぐにデータベース運用を再開できます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	rds-snapshot-encrypted	Amazon Relational Database Service (Amazon RDS) スナップショットで、暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	rds-snapshots-public-prohibited	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報と原則が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	rds-storage-encrypted	保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDS インスタンスには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、clusterDbEncrypted (Config デフォルト: TRUE) と loggingEnabled (Config デフォルト:TRUE) の値が設定されている必要があります。実際の値には、組織のポリシーを反映する必要があります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	redshift-cluster-public-access-check	Amazon Redshift クラスターが公開されないようにすることで、AWS クラウドのリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	redshift-require-tls-ssl	Amazon Redshift クラスターで、SQL クライアントに接続するために TLS/SSL 暗号化が必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	restricted-common-ports	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。ポートへのアクセスを信頼できるソースに制限しなければ、システムの可用性、完全性、機密性に対する脅威を招く可能性があります。このルールでは、blockedPort1 - blockedPort5 パラメータを必要に応じて設定できます (Config デフォルト: 20、21、3389、3306、4333)。実際の値には、組織のポリシーを反映する必要があります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	s3-bucket-default-lock-enabled	Amazon Simple Storage Service (Amazon S3) バケットで、デフォルトでロックが有効になっていることを確認します。S3 バケットには機密データが含まれている可能性があるため、保管時にオブジェクトロックを適用してデータを保護します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	s3-bucket-public-read-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	s3-bucket-public-write-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) クロスリージョンレプリケーション (CRR) は、十分な容量と可用性の維持をサポートします。CRR により、Amazon S3 バケット間でオブジェクトを自動的に非同期コピーできるため、データの可用性が維持されます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	s3-bucket-server-side-encryption-enabled	保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	s3-bucket-ssl-requests-only	転送中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで、Secure Sockets Layer (SSL) を使用するためのリクエストが必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) バケットのバージョニングは、同じ Amazon S3 バケットでオブジェクトの複数のバリアントを保持するのに役立ちます。バージョニングを使用すると、Amazon S3 バケットに保存されたあらゆるオブジェクトのすべてのバージョンを、保存、取得、復元することができます。バージョニングによって、意図しないユーザーアクションやアプリケーション障害から簡単に復旧できます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	sagemaker-endpoint-configuration-kms-key-configured	保管中のデータを保護するため、SageMaker エンドポイントで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker エンドポイントには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	sagemaker-notebook-instance-kms-key-configured	保管中のデータを保護するため、SageMaker ノートブックで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker ノートブックには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	sagemaker-notebook-no-direct-internet-access	Amazon SageMaker ノートブックがインターネットからの直接アクセスを許可しないことにより、AWS クラウド内のリソースへのアクセスを管理します。インターネットからの直接アクセスを防止することで、権限のないユーザーが機密データにアクセスするのを防ぐことができます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	sns-encrypted-kms	保管中のデータを保護するため、Amazon Simple Notification Service (Amazon SNS) トピックで AWS Key Management Service (AWS KMS) を使用する暗号化が必要かどうかを確認します。公開されたメッセージには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。信頼できるソースへのポートに対するアクセスを制限しないと、システムの可用性、完全性、機密性に対する攻撃を招く可能性があります。インターネットからのセキュリティグループ内のリソースへのアクセスを制限することで (0.0.0.0/0)、内部システムへのリモートアクセスをコントロールできます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	vpc-vpn-2-tunnels-up	冗長な Site-to-Site VPN トンネルを実装することで、回復性の要件を満たすことができます。2 つのトンネルを使用することで、Site-to-Site VPN 接続の 1 つが使用できなくなった場合の接続を確保します。カスタマーゲートウェイが使用できなくなった場合に接続が失われるのを防ぐために、2 つ目のカスタマーゲートウェイを使用して Amazon Virtual Private Cloud (Amazon VPC) および仮想プライベートゲートウェイへの 2 つ目の Site-to-Site VPN 接続を設定できます。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	ec2-instance-managed-by-systems-manager	AWS Systems Manager を使用して Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを管理することで、組織内のソフトウェアプラットフォームやアプリケーションのインベントリを作成できます。AWS Systems Manager を使用して、詳細なシステム設定、オペレーティングシステムのパッチレベル、サービス名とタイプ、ソフトウェアのインストール、アプリケーション名、パブリッシャーとバージョン、および環境に関するその他の詳細を提供します。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	ec2-managedinstance-patch-compliance-status-check	このルールを有効にすると、Amazon Elastic Compute Cloud (Amazon EC2) の脆弱性の特定とドキュメント化ができます。このルールにより、AWS Systems Manager で、Amazon EC2 インスタンスのパッチコンプライアンスが組織のポリシーや手順で要求されているかどうかをチェックします。
164.308(a)(1)(ii)(B)	(B) リスク管理 (必須)。セクション 164.306(a) に準拠するために、リスクと脆弱性を合理的かつ適切なレベルまで軽減するのに十分なセキュリティ対策を実施します。	ec2-managedinstance-association-compliance-status-check	AWS Systems Manager Association を使用することで、組織内でソフトウェアプラットフォームやアプリケーションのインベントリを作成できます。AWSSystems Manager では、マネージドインスタンスに設定のステータスを割り当て、オペレーティングシステムのパッチレベル、ソフトウェアのインストール、アプリケーション設定、環境に関するその他の詳細のベースラインを設定できます。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	ec2-imdsv2-check	Instance Metadata Service Version 2 (IMDSv2) メソッドが有効になっていることを確認することで、Amazon Elastic Compute Cloud (Amazon EC2) のインスタンスメタデータのアクセスとコントロールを保護します。IMDSv2 メソッドでは、セッションベースのコントロールを使用します。IMDSv2 を使用すると、インスタンスメタデータへの変更を制限するためのコントロールを実装できます。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	emr-kerberos-enabled	Amazon EMR クラスターで Kerberos を有効にすることで、最小特権と職務の分離の原則に基づいてアクセス許可と認可を管理して組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。この領域内では、Kerberos サーバーを KDC (キー配布センター) と呼びます。これは、プリンシパルが認証を行うための手段を提供するものです。KDC は、チケットを発行して認証を行います。KDC は、領域内にあるプリンシパルのデータベースに加え、プリンシパルのパスワードや、各プリンシパルに関するその他の管理情報を保持しています。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) は、アクセス許可や認可に最小特権と職務分離の原則を組み込むことにより、すべての AWS Key Management Service のキーでブロックされたアクションを含むポリシーを制限できます。タスク完了のために必要以上の特権を持つことは、最小特権と職務分離の原則に反する可能性があります。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	iam-inline-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、すべての AWS Key Management Service キーでブロックされたアクションを許可するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーでは、再利用可能性、バージョニング、ロールバック、アクセス許可の管理を委任できます。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	iam-no-inline-policy-check	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムやアセットへのアクセスを管理するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「」に対して「Action」:「」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	iam-root-access-key-check	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーが割り当てられていないことを確認することにより、システムとアセットへのアクセスをコントロールできます。root アクセスキーが削除されていることを確認します。代わりにロールベースの AWS アカウントを作成して使用し、最小限の機能の原則を組み込みます。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	iam-user-no-policies-check	このルールにより、AWS Identity and Access Management (IAM) ポリシーがグループまたはロールのみにアタッチされ、システムとアセットへのアクセスがコントロールされるようになります。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) では、指定した期間に使用されていない IAM パスワードとアクセスキーをチェックすることにより、アクセスの許可と認証を行うことができます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、maxCredentialUsageAge (Config デフォルト: 90) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	iam-policy-no-statements-with-full-access	IAM アクションが、必要なアクションのみに制限されていることを確認します。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	ec2-instance-profile-attached	EC2 インスタンスプロファイルによって、IAM ロールが EC2 インスタンスに渡されます。インスタンスプロファイルをインスタンスにアタッチすることで、最小特権とアクセス許可を管理できます。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	dms-replication-not-public	DMS レプリケーションインスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。DMS レプリケーションインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	ebs-snapshot-public-restorable-check	EBS スナップショットがパブリックで復元されないようにすることにより、AWS クラウドへのアクセスを管理します。EBS ボリュームスナップショットには機密情報が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	ec2-instance-no-public-ip	Amazon Elastic Compute Cloud (Amazon EC2) インスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。Amazon EC2 インスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	elasticsearch-in-vpc-only	Amazon OpenSearch Service (OpenSearch Service) のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイスや VPN 接続なしで、OpenSearch Service と他のサービス間に Amazon VPC 内で安全な通信ができるようになります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	emr-master-no-public-ip	Amazon EMR クラスターマスターノードにパブリックにアクセスできないようにすることにより、AWS クラウドへのアクセスを管理します。Amazon EMR クラスターのマスターノードには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	ec2-instances-in-vpc	Amazon Virtual Private Cloud (Amazon VPC) 内に Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを展開し、Amazon VPC 内でのインスタンスとサービス間の安全な通信を、インターネットゲートウェイ、NAT デバイス、VPN 接続を必要とせず可能にします。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。Amazon EC2 インスタンスを Amazon VPC に割り当て、アクセスを適切に管理します。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	internet-gateway-authorized-vpc-only	インターネットゲートウェイが、認可された Amazon Virtual Private Cloud (Amazon VPC) にのみアタッチされるようにして、AWS クラウドのリソースへのアクセスを管理します。インターネットゲートウェイは、Amazon VPC との間の双方向インターネットアクセスを可能にしますが、これにより Amazon VPC リソースへの不正アクセスが発生する可能性があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	lambda-function-public-access-prohibited	AWS Lambda 関数へのパブリックアクセスができないようにして、AWS クラウドのリソースへのアクセスを管理します。パブリックアクセスにより、リソースの可用性の低下を招く可能性があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	rds-instance-public-access-check	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	rds-snapshots-public-prohibited	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報と原則が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	redshift-cluster-public-access-check	Amazon Redshift クラスターが公開されないようにすることで、AWS クラウドのリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service (Amazon S3) バケットにパブリックにアクセスできないようにすることで、AWS クラウドのリソースへのアクセスを管理します。このルールは、パブリックアクセスを防止することで、権限のないリモートユーザーから機密データを保護するのに役立ちます。このルールでは、ignorePublicAcls (Config デフォルト: True)、blockPublicPolicy (Config デフォルト: True)、blockPublicAcls (Config デフォルト: True)、および restrictPublicBuckets (Config デフォルト: True) の各パラメータを必要に応じて設定できます。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	s3-bucket-public-read-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	s3-bucket-public-write-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	sagemaker-notebook-no-direct-internet-access	Amazon SageMaker ノートブックがインターネットからの直接アクセスを許可しないことにより、AWS クラウド内のリソースへのアクセスを管理します。インターネットからの直接アクセスを防止することで、権限のないユーザーが機密データにアクセスするのを防ぐことができます。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	subnet-auto-assign-public-ip-disabled	Amazon Virtual Private Cloud (Amazon VPC) サブネットにパブリック IP アドレスが自動的に割り当てられないようにすることで、AWS クラウドへのアクセスを管理します。この属性が有効になっているサブネットで起動される Amazon Elastic Compute Cloud (EC2) インスタンスでは、プライマリネットワークインターフェイスにパブリック IP アドレスが割り当てられています。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	ecs-task-definition-user-for-host-mode-check	タスク定義に昇格した権限がある場合は、お客様がそれらの設定に特別にオプトインしていることが原因です。このコントロールでは、タスク定義でホストネットワークが有効になっており、お客様が昇格した権限にオプトインしていない場合に、予期しない権限の昇格が発生しないかどうかを確認します。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	ecs-containers-readonly-access	Amazon Elastic Container Service (Amazon ECS) コンテナへの読み取り専用アクセスを有効にすると、最小特権のプリンシパルを遵守するのに役立ちます。このオプションにより、明示的な読み取り/書き込み権限がない場合にはコンテナインスタンスのファイルシステムを変更できないため、攻撃ベクトルを減らすことができます。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	ssm-document-not-public	AWS Systems Manager (SSM) ドキュメントへの意図しないアクセスが許可される可能性があるため、SSM ドキュメントが公開されていないことを確認します。パブリック SSM ドキュメントにより、お客様のアカウント、リソース、内部プロセスに関する情報が公開される可能性があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	s3-bucket-acl-prohibited	このルールでは、アクセスコントロールリスト (ACL) が Amazon S3 バケットのアクセスコントロールに使用されているかどうかを確認します。ACL は、AWS Identity and Access Management (IAM) より前の Amazon S3 バケットのレガシーアクセスコントロールメカニズムです。ベストプラクティスは、ACL の代わりに、IAM ポリシーまたは S3 バケットポリシーを使用して、S3 バケットへのアクセスをより簡単に管理することです。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	codebuild-project-envvar-awscred-check	AWS Codebuild プロジェクト環境内に、認証情報である AWS_ACCESS_KEY_ID および AWS_SECRET_ACCESS_KEY が存在しないことを確認します。これらの変数をクリアテキストで保存しないでください。これらの変数をクリアテキストで保存すると、意図しないデータ漏えいや不正アクセスを招く可能性があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	codebuild-project-source-repo-url-check	GitHub または Bitbucket のソースレポジトリの URL に、AWS Codebuild プロジェクト環境内の個人用のアクセストークン、サインイン認証情報が含まれていないことを確認します。GitHub または Bitbucket リポジトリへのアクセス認可を付与するには、個人のアクセストークンまたはサインイン認証情報ではなく、OAuth を使用します。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	restricted-common-ports	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。ポートへのアクセスを信頼できるソースに制限しなければ、システムの可用性、完全性、機密性に対する脅威を招く可能性があります。このルールでは、blockedPort1 - blockedPort5 パラメータを必要に応じて設定できます (Config デフォルト: 20、21、3389、3306、4333)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスの管理ができます。リソースで 0.0.0.0/0 からポート 22 への入力 (またはリモート) トラフィックを許可しないようにすることで、リモートアクセスを制限できます。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	autoscaling-launch-config-public-ip-disabled	パブリック IP アドレスを使用してネットワークインターフェイスを設定すると、それらのネットワークインターフェイスに関連付けられたリソースにインターネットからアクセスできます。EC2 リソースが、アプリケーションやサーバーへの意図しないアクセスを許可する可能性があるため、パブリックにアクセスできないようにする必要があります。
164.308 (a)(3)(i)	(3)(i) 標準: 労働力のセキュリティ本セクションの (a)(4) 項に規定されているように、全従業員が電子的に保護された医療情報への適切なアクセスを確保し、本セクションの (a)(4) 項に基づき、アクセス権のない全従業員が電子的に保護された医療情報にアクセスすることを防止するためのポリシーと手順を実装します。	opensearch-in-vpc-only	Amazon OpenSearch Service のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の Amazon OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイス、そして VPN 接続を必要とせずに、Amazon OpenSearch と Amazon VPC 内にある他のサービスの間での安全な通信が可能になります。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	emr-kerberos-enabled	Amazon EMR クラスターで Kerberos を有効にすることで、最小特権と職務の分離の原則に基づいてアクセス許可と認可を管理して組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。この領域内では、Kerberos サーバーを KDC (キー配布センター) と呼びます。これは、プリンシパルが認証を行うための手段を提供するものです。KDC は、チケットを発行して認証を行います。KDC は、領域内にあるプリンシパルのデータベースに加え、プリンシパルのパスワードや、各プリンシパルに関するその他の管理情報を保持しています。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) は、アクセス許可や認可に最小特権と職務分離の原則を組み込むことにより、すべての AWS Key Management Service のキーでブロックされたアクションを含むポリシーを制限できます。タスク完了のために必要以上の特権を持つことは、最小特権と職務分離の原則に反する可能性があります。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	iam-inline-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、すべての AWS Key Management Service キーでブロックされたアクションを許可するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーでは、再利用可能性、バージョニング、ロールバック、アクセス許可の管理を委任できます。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	iam-no-inline-policy-check	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムやアセットへのアクセスを管理するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「」に対して「Action」:「」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	iam-user-no-policies-check	このルールにより、AWS Identity and Access Management (IAM) ポリシーがグループまたはロールのみにアタッチされ、システムとアセットへのアクセスがコントロールされるようになります。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	iam-policy-no-statements-with-full-access	IAM アクションが、必要なアクションのみに制限されていることを確認します。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	ec2-instance-profile-attached	EC2 インスタンスプロファイルによって、IAM ロールが EC2 インスタンスに渡されます。インスタンスプロファイルをインスタンスにアタッチすることで、最小特権とアクセス許可を管理できます。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	ecs-task-definition-user-for-host-mode-check	タスク定義に昇格した権限がある場合は、お客様がそれらの設定に特別にオプトインしていることが原因です。このコントロールでは、タスク定義でホストネットワークが有効になっており、お客様が昇格した権限にオプトインしていない場合に、予期しない権限の昇格が発生しないかどうかを確認します。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	ecs-containers-readonly-access	Amazon Elastic Container Service (Amazon ECS) コンテナへの読み取り専用アクセスを有効にすると、最小特権のプリンシパルを遵守するのに役立ちます。このオプションにより、明示的な読み取り/書き込み権限がない場合にはコンテナインスタンスのファイルシステムを変更できないため、攻撃ベクトルを減らすことができます。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch を使用して、イベントのアクティビティログを一元的に収集および管理します。AWS CloudTrail データを含めることで、お客様の AWS アカウント内の API コールのアクティビティの詳細を提供します。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	cloudtrail-enabled	AWS CloudTrail は、AWS マネジメントコンソールのアクションと API コールを記録するため、非否認の際に役立ちます。AWS のサービスを呼び出したユーザーと AWS アカウント、通話が発生した送信元 IP アドレス、通話のタイミングを特定できます。取得したデータの詳細は、AWS CloudTrail レコードの内容で確認することができます。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	cloudtrail-s3-dataevents-enabled	Simple Storage Service (Amazon S3) のデータイベントを収集することで、異常性の高いアクティビティを検出できます。詳細には、Amazon S3 バケットにアクセスした AWS アカウントの情報、IP アドレス、イベント発生時刻が含まれます。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	multi-region-cloudtrail-enabled	AWS CloudTrail は、AWS マネジメントコンソールのアクションと API コールを記録します。AWS を呼び出したユーザーとアカウント、呼び出し元の IP アドレス、および呼び出し日時を特定できます。MULTI_REGION_CLOUD_TRAIL_ENABLED が有効になっている場合、CloudTrail はすべての AWS リージョンから S3 バケットにログファイルを配信します。さらに、AWS が新しいリージョンを作成すると、CloudTrail はそのリージョンに同じ証跡を作成します。その結果、アクションを実行しなくても、新しいリージョンの API アクティビティを含むログファイルを受け取ることができるようになります。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	rds-logging-enabled	環境内でログ記録とモニタリングを行うため、Amazon Relational Database Service (Amazon RDS) でログ記録を有効にします。Amazon RDS のログ記録を使用すると、接続、切断、クエリ、クエリされたテーブルなどのイベントをキャプチャできます。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) サーバーアクセスのログ記録によって、ネットワークをモニタリングし、潜在的なサイバーセキュリティイベントに対応することができます。Amazon S3 バケットに対して行われたリクエストの詳細な記録をキャプチャすることで、イベントをモニタリングします。各アクセスのログレコードから、1 つのアクセスリクエストについての詳細情報を取得できます。詳細情報には、リクエスタ、バケット名、リクエスト時刻、リクエストアクション、レスポンスのステータス、エラーコード (該当する場合) などの情報が含まれます。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	vpc-flow-logs-enabled	VPC フローログでは、Amazon Virtual Private Cloud (Amazon VPC) 内のネットワークインターフェイス間で送受信される IP トラフィックに関する情報の詳細な記録を提供します。フローログレコードには、送信元、送信先、プロトコルなど、IP フローのさまざまなコンポーネントの値がデフォルトで含まれています。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service のドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。ドメインのエラーログは、セキュリティとアクセス監査や、可用性の問題の診断に役立ちます。
164.308 (a)(3)(ii)(A)	(A) 認可および/または監督 (アドレス指定可能) 電子的に保護された医療情報を扱う全従業員またはアクセス可能な場所で作業する全従業員の認可および監督のための手順を実装します。	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service のドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。OpenSearch Service のエラーログは、セキュリティとアクセス監査や可用性の問題の診断に役立ちます。
164.308 (a)(3)(ii)(B)	(B) 労働力を整理する手順 (アドレス指定可能) 電子的に保護された医療情報への全従業員のアクセスが適切であることを確認する手順を実装します。	emr-kerberos-enabled	Amazon EMR クラスターで Kerberos を有効にすることで、最小特権と職務の分離の原則に基づいてアクセス許可と認可を管理して組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。この領域内では、Kerberos サーバーを KDC (キー配布センター) と呼びます。これは、プリンシパルが認証を行うための手段を提供するものです。KDC は、チケットを発行して認証を行います。KDC は、領域内にあるプリンシパルのデータベースに加え、プリンシパルのパスワードや、各プリンシパルに関するその他の管理情報を保持しています。
164.308 (a)(3)(ii)(B)	(B) 労働力を整理する手順 (アドレス指定可能) 電子的に保護された医療情報への全従業員のアクセスが適切であることを確認する手順を実装します。	iam-no-inline-policy-check	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムやアセットへのアクセスを管理するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
164.308 (a)(3)(ii)(B)	(B) 労働力を整理する手順 (アドレス指定可能) 電子的に保護された医療情報への全従業員のアクセスが適切であることを確認する手順を実装します。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「」に対して「Action」:「」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(3)(ii)(B)	(B) 労働力を整理する手順 (アドレス指定可能) 電子的に保護された医療情報への全従業員のアクセスが適切であることを確認する手順を実装します。	iam-user-no-policies-check	このルールにより、AWS Identity and Access Management (IAM) ポリシーがグループまたはロールのみにアタッチされ、システムとアセットへのアクセスがコントロールされるようになります。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
164.308 (a)(3)(ii)(B)	(B) 労働力を整理する手順 (アドレス指定可能) 電子的に保護された医療情報への全従業員のアクセスが適切であることを確認する手順を実装します。	iam-policy-no-statements-with-full-access	IAM アクションが、必要なアクションのみに制限されていることを確認します。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(3)(ii)(B)	(B) 労働力を整理する手順 (アドレス指定可能) 電子的に保護された医療情報への全従業員のアクセスが適切であることを確認する手順を実装します。	restricted-common-ports	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。ポートへのアクセスを信頼できるソースに制限しなければ、システムの可用性、完全性、機密性に対する脅威を招く可能性があります。このルールでは、blockedPort1 - blockedPort5 パラメータを必要に応じて設定できます (Config デフォルト: 20、21、3389、3306、4333)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(3)(ii)(B)	(B) 労働力を整理する手順 (アドレス指定可能) 電子的に保護された医療情報への全従業員のアクセスが適切であることを確認する手順を実装します。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスの管理ができます。リソースで 0.0.0.0/0 からポート 22 への入力 (またはリモート) トラフィックを許可しないようにすることで、リモートアクセスを制限できます。
164.308 (a)(3)(ii)(B)	(B) 労働力を整理する手順 (アドレス指定可能) 電子的に保護された医療情報への全従業員のアクセスが適切であることを確認する手順を実装します。	ssm-document-not-public	AWS Systems Manager (SSM) ドキュメントへの意図しないアクセスが許可される可能性があるため、SSM ドキュメントが公開されていないことを確認します。パブリック SSM ドキュメントにより、お客様のアカウント、リソース、内部プロセスに関する情報が公開される可能性があります。
164.308 (a)(3)(ii)(B)	(B) 労働力を整理する手順 (アドレス指定可能) 電子的に保護された医療情報への全従業員のアクセスが適切であることを確認する手順を実装します。	ecs-containers-readonly-access	Amazon Elastic Container Service (Amazon ECS) コンテナへの読み取り専用アクセスを有効にすると、最小特権のプリンシパルを遵守するのに役立ちます。このオプションにより、明示的な読み取り/書き込み権限がない場合にはコンテナインスタンスのファイルシステムを変更できないため、攻撃ベクトルを減らすことができます。
164.308 (a)(3)(ii)(B)	(B) 労働力を整理する手順 (アドレス指定可能) 電子的に保護された医療情報への全従業員のアクセスが適切であることを確認する手順を実装します。	autoscaling-launch-config-public-ip-disabled	パブリック IP アドレスを使用してネットワークインターフェイスを設定すると、それらのネットワークインターフェイスに関連付けられたリソースにインターネットからアクセスできます。EC2 リソースが、アプリケーションやサーバーへの意図しないアクセスを許可する可能性があるため、パブリックにアクセスできないようにする必要があります。
164.308 (a)(3)(ii)(B)	(B) 労働力を整理する手順 (アドレス指定可能) 電子的に保護された医療情報への全従業員のアクセスが適切であることを確認する手順を実装します。	s3-bucket-acl-prohibited	このルールでは、アクセスコントロールリスト (ACL) が Amazon S3 バケットのアクセスコントロールに使用されているかどうかを確認します。ACL は、AWS Identity and Access Management (IAM) より前の Amazon S3 バケットのレガシーアクセスコントロールメカニズムです。ベストプラクティスは、ACL の代わりに、IAM ポリシーまたは S3 バケットポリシーを使用して、S3 バケットへのアクセスをより簡単に管理することです。
164.308(a)(3)(ii)(C)	(C) 終了の手順 (対応方法選択可能)。担当者が退職したとき、またはこのセクションのパラグラフ (a)(3)(ii)(B) の規定による決定に応じて、電子的な保護対象保健情報へのアクセスを終了する手順を実施します。	access-keys-rotated	組織のポリシーが指定した通り IAM アクセスキーがローテーションされるようにすることで、認可されたデバイス、ユーザー、プロセスについての認証情報が監査されます。アクセスキーを定期的に変更することが、セキュリティのベストプラクティスです。これにより、アクセスキーがアクティブになっている期間が短縮され、キーが侵害された場合のビジネスへの影響を軽減できます。このルールでは、アクセスキーの更新の値が必要です (Config デフォルト: 90)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(i)	(4)(i) 標準: 情報へのアクセス管理このパートのサブパート E の該当する要件と一致する、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	emr-kerberos-enabled	Amazon EMR クラスターで Kerberos を有効にすることで、最小特権と職務の分離の原則に基づいてアクセス許可と認可を管理して組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。この領域内では、Kerberos サーバーを KDC (キー配布センター) と呼びます。これは、プリンシパルが認証を行うための手段を提供するものです。KDC は、チケットを発行して認証を行います。KDC は、領域内にあるプリンシパルのデータベースに加え、プリンシパルのパスワードや、各プリンシパルに関するその他の管理情報を保持しています。
164.308 (a)(4)(i)	(4)(i) 標準: 情報へのアクセス管理このパートのサブパート E の該当する要件と一致する、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-no-inline-policy-check	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムやアセットへのアクセスを管理するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
164.308 (a)(4)(i)	(4)(i) 標準: 情報へのアクセス管理このパートのサブパート E の該当する要件と一致する、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「」に対して「Action」:「」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(4)(i)	(4)(i) 標準: 情報へのアクセス管理このパートのサブパート E の該当する要件と一致する、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-user-no-policies-check	このルールにより、AWS Identity and Access Management (IAM) ポリシーがグループまたはロールのみにアタッチされ、システムとアセットへのアクセスがコントロールされるようになります。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
164.308 (a)(4)(i)	(4)(i) 標準: 情報へのアクセス管理このパートのサブパート E の該当する要件と一致する、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-policy-no-statements-with-full-access	IAM アクションが、必要なアクションのみに制限されていることを確認します。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(4)(i)	(4)(i) 標準: 情報へのアクセス管理このパートのサブパート E の該当する要件と一致する、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	restricted-common-ports	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。ポートへのアクセスを信頼できるソースに制限しなければ、システムの可用性、完全性、機密性に対する脅威を招く可能性があります。このルールでは、blockedPort1 - blockedPort5 パラメータを必要に応じて設定できます (Config デフォルト: 20、21、3389、3306、4333)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(i)	(4)(i) 標準: 情報へのアクセス管理このパートのサブパート E の該当する要件と一致する、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスの管理ができます。リソースで 0.0.0.0/0 からポート 22 への入力 (またはリモート) トラフィックを許可しないようにすることで、リモートアクセスを制限できます。
164.308 (a)(4)(i)	(4)(i) 標準: 情報へのアクセス管理このパートのサブパート E の該当する要件と一致する、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	ssm-document-not-public	AWS Systems Manager (SSM) ドキュメントへの意図しないアクセスが許可される可能性があるため、SSM ドキュメントが公開されていないことを確認します。パブリック SSM ドキュメントにより、お客様のアカウント、リソース、内部プロセスに関する情報が公開される可能性があります。
164.308 (a)(4)(i)	(4)(i) 標準: 情報へのアクセス管理このパートのサブパート E の該当する要件と一致する、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	ecs-containers-readonly-access	Amazon Elastic Container Service (Amazon ECS) コンテナへの読み取り専用アクセスを有効にすると、最小特権のプリンシパルを遵守するのに役立ちます。このオプションにより、明示的な読み取り/書き込み権限がない場合にはコンテナインスタンスのファイルシステムを変更できないため、攻撃ベクトルを減らすことができます。
164.308 (a)(4)(i)	(4)(i) 標準: 情報へのアクセス管理このパートのサブパート E の該当する要件と一致する、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	s3-bucket-acl-prohibited	このルールでは、アクセスコントロールリスト (ACL) が Amazon S3 バケットのアクセスコントロールに使用されているかどうかを確認します。ACL は、AWS Identity and Access Management (IAM) より前の Amazon S3 バケットのレガシーアクセスコントロールメカニズムです。ベストプラクティスは、ACL の代わりに、IAM ポリシーまたは S3 バケットポリシーを使用して、S3 バケットへのアクセスをより簡単に管理することです。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	ec2-imdsv2-check	Instance Metadata Service Version 2 (IMDSv2) メソッドが有効になっていることを確認することで、Amazon Elastic Compute Cloud (Amazon EC2) のインスタンスメタデータのアクセスとコントロールを保護します。IMDSv2 メソッドでは、セッションベースのコントロールを使用します。IMDSv2 を使用すると、インスタンスメタデータへの変更を制限するためのコントロールを実装できます。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	emr-kerberos-enabled	Amazon EMR クラスターで Kerberos を有効にすることで、最小特権と職務の分離の原則に基づいてアクセス許可と認可を管理して組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。この領域内では、Kerberos サーバーを KDC (キー配布センター) と呼びます。これは、プリンシパルが認証を行うための手段を提供するものです。KDC は、チケットを発行して認証を行います。KDC は、領域内にあるプリンシパルのデータベースに加え、プリンシパルのパスワードや、各プリンシパルに関するその他の管理情報を保持しています。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) は、アクセス許可や認可に最小特権と職務分離の原則を組み込むことにより、すべての AWS Key Management Service のキーでブロックされたアクションを含むポリシーを制限できます。タスク完了のために必要以上の特権を持つことは、最小特権と職務分離の原則に反する可能性があります。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	iam-inline-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、すべての AWS Key Management Service キーでブロックされたアクションを許可するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーでは、再利用可能性、バージョニング、ロールバック、アクセス許可の管理を委任できます。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	iam-no-inline-policy-check	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムやアセットへのアクセスを管理するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「」に対して「Action」:「」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	iam-root-access-key-check	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーが割り当てられていないことを確認することにより、システムとアセットへのアクセスをコントロールできます。root アクセスキーが削除されていることを確認します。代わりにロールベースの AWS アカウントを作成して使用し、最小限の機能の原則を組み込みます。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	iam-user-no-policies-check	このルールにより、AWS Identity and Access Management (IAM) ポリシーがグループまたはロールのみにアタッチされ、システムとアセットへのアクセスがコントロールされるようになります。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) では、指定した期間に使用されていない IAM パスワードとアクセスキーをチェックすることにより、アクセスの許可と認証を行うことができます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、maxCredentialUsageAge (Config デフォルト: 90) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	iam-policy-no-statements-with-full-access	IAM アクションが、必要なアクションのみに制限されていることを確認します。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	ec2-instance-profile-attached	EC2 インスタンスプロファイルによって、IAM ロールが EC2 インスタンスに渡されます。インスタンスプロファイルをインスタンスにアタッチすることで、最小特権とアクセス許可を管理できます。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	dms-replication-not-public	DMS レプリケーションインスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。DMS レプリケーションインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	ebs-snapshot-public-restorable-check	EBS スナップショットがパブリックで復元されないようにすることにより、AWS クラウドへのアクセスを管理します。EBS ボリュームスナップショットには機密情報が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	ec2-instance-no-public-ip	Amazon Elastic Compute Cloud (Amazon EC2) インスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。Amazon EC2 インスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	elasticsearch-in-vpc-only	Amazon OpenSearch Service (OpenSearch Service) のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイスや VPN 接続なしで、OpenSearch Service と他のサービス間に Amazon VPC 内で安全な通信ができるようになります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	emr-master-no-public-ip	Amazon EMR クラスターマスターノードにパブリックにアクセスできないようにすることにより、AWS クラウドへのアクセスを管理します。Amazon EMR クラスターのマスターノードには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	ec2-instances-in-vpc	Amazon Virtual Private Cloud (Amazon VPC) 内に Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを展開し、Amazon VPC 内でのインスタンスとサービス間の安全な通信を、インターネットゲートウェイ、NAT デバイス、VPN 接続を必要とせず可能にします。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。Amazon EC2 インスタンスを Amazon VPC に割り当て、アクセスを適切に管理します。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	internet-gateway-authorized-vpc-only	インターネットゲートウェイが、認可された Amazon Virtual Private Cloud (Amazon VPC) にのみアタッチされるようにして、AWS クラウドのリソースへのアクセスを管理します。インターネットゲートウェイは、Amazon VPC との間の双方向インターネットアクセスを可能にしますが、これにより Amazon VPC リソースへの不正アクセスが発生する可能性があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	lambda-function-public-access-prohibited	AWS Lambda 関数へのパブリックアクセスができないようにして、AWS クラウドのリソースへのアクセスを管理します。パブリックアクセスにより、リソースの可用性の低下を招く可能性があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	rds-instance-public-access-check	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	rds-snapshots-public-prohibited	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報と原則が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	redshift-cluster-public-access-check	Amazon Redshift クラスターが公開されないようにすることで、AWS クラウドのリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service (Amazon S3) バケットにパブリックにアクセスできないようにすることで、AWS クラウドのリソースへのアクセスを管理します。このルールは、パブリックアクセスを防止することで、権限のないリモートユーザーから機密データを保護するのに役立ちます。このルールでは、ignorePublicAcls (Config デフォルト: True)、blockPublicPolicy (Config デフォルト: True)、blockPublicAcls (Config デフォルト: True)、および restrictPublicBuckets (Config デフォルト: True) の各パラメータを必要に応じて設定できます。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	s3-bucket-public-read-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	s3-bucket-public-write-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	sagemaker-notebook-no-direct-internet-access	Amazon SageMaker ノートブックがインターネットからの直接アクセスを許可しないことにより、AWS クラウド内のリソースへのアクセスを管理します。インターネットからの直接アクセスを防止することで、権限のないユーザーが機密データにアクセスするのを防ぐことができます。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	subnet-auto-assign-public-ip-disabled	Amazon Virtual Private Cloud (Amazon VPC) サブネットにパブリック IP アドレスが自動的に割り当てられないようにすることで、AWS クラウドへのアクセスを管理します。この属性が有効になっているサブネットで起動される Amazon Elastic Compute Cloud (EC2) インスタンスでは、プライマリネットワークインターフェイスにパブリック IP アドレスが割り当てられています。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	ecs-task-definition-user-for-host-mode-check	タスク定義に昇格した権限がある場合は、お客様がそれらの設定に特別にオプトインしていることが原因です。このコントロールでは、タスク定義でホストネットワークが有効になっており、お客様が昇格した権限にオプトインしていない場合に、予期しない権限の昇格が発生しないかどうかを確認します。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	codebuild-project-envvar-awscred-check	AWS Codebuild プロジェクト環境内に、認証情報である AWS_ACCESS_KEY_ID および AWS_SECRET_ACCESS_KEY が存在しないことを確認します。これらの変数をクリアテキストで保存しないでください。これらの変数をクリアテキストで保存すると、意図しないデータ漏えいや不正アクセスを招く可能性があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	codebuild-project-source-repo-url-check	GitHub または Bitbucket のソースレポジトリの URL に、AWS Codebuild プロジェクト環境内の個人用のアクセストークン、サインイン認証情報が含まれていないことを確認します。GitHub または Bitbucket リポジトリへのアクセス認可を付与するには、個人のアクセストークンまたはサインイン認証情報ではなく、OAuth を使用します。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	restricted-common-ports	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。ポートへのアクセスを信頼できるソースに制限しなければ、システムの可用性、完全性、機密性に対する脅威を招く可能性があります。このルールでは、blockedPort1 - blockedPort5 パラメータを必要に応じて設定できます (Config デフォルト: 20、21、3389、3306、4333)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスの管理ができます。リソースで 0.0.0.0/0 からポート 22 への入力 (またはリモート) トラフィックを許可しないようにすることで、リモートアクセスを制限できます。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	autoscaling-launch-config-public-ip-disabled	パブリック IP アドレスを使用してネットワークインターフェイスを設定すると、それらのネットワークインターフェイスに関連付けられたリソースにインターネットからアクセスできます。EC2 リソースが、アプリケーションやサーバーへの意図しないアクセスを許可する可能性があるため、パブリックにアクセスできないようにする必要があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	ecs-containers-readonly-access	Amazon Elastic Container Service (Amazon ECS) コンテナへの読み取り専用アクセスを有効にすると、最小特権のプリンシパルを遵守するのに役立ちます。このオプションにより、明示的な読み取り/書き込み権限がない場合にはコンテナインスタンスのファイルシステムを変更できないため、攻撃ベクトルを減らすことができます。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	ssm-document-not-public	AWS Systems Manager (SSM) ドキュメントへの意図しないアクセスが許可される可能性があるため、SSM ドキュメントが公開されていないことを確認します。パブリック SSM ドキュメントにより、お客様のアカウント、リソース、内部プロセスに関する情報が公開される可能性があります。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	s3-bucket-acl-prohibited	このルールでは、アクセスコントロールリスト (ACL) が Amazon S3 バケットのアクセスコントロールに使用されているかどうかを確認します。ACL は、AWS Identity and Access Management (IAM) より前の Amazon S3 バケットのレガシーアクセスコントロールメカニズムです。ベストプラクティスは、ACL の代わりに、IAM ポリシーまたは S3 バケットポリシーを使用して、S3 バケットへのアクセスをより簡単に管理することです。
164.308 (a)(4)(ii)(A)	(A) ヘルスケアのクリアリングハウス機能の分離 (必須) ヘルスケアのクリアリングハウスが大規模な組織の一部である場合、クリアリングハウスでは、クリアリングハウスの電子的に保護された医療情報を、大規模な組織による不正アクセスから保護するためのポリシーと手順を実施する必要があります。	opensearch-in-vpc-only	Amazon OpenSearch Service のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の Amazon OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイス、そして VPN 接続を必要とせずに、Amazon OpenSearch と Amazon VPC 内にある他のサービスの間での安全な通信が可能になります。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「」に対して「Action」:「」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-user-no-policies-check	このルールにより、AWS Identity and Access Management (IAM) ポリシーがグループまたはロールのみにアタッチされ、システムとアセットへのアクセスがコントロールされるようになります。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	access-keys-rotated	組織のポリシーが指定した通り IAM アクセスキーがローテーションされるようにすることで、認可されたデバイス、ユーザー、プロセスについての認証情報が監査されます。アクセスキーを定期的に変更することが、セキュリティのベストプラクティスです。これにより、アクセスキーがアクティブになっている期間が短縮され、キーが侵害された場合のビジネスへの影響を軽減できます。このルールでは、アクセスキーの更新の値が必要です (Config デフォルト: 90)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-root-access-key-check	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーが割り当てられていないことを確認することにより、システムとアセットへのアクセスをコントロールできます。root アクセスキーが削除されていることを確認します。代わりにロールベースの AWS アカウントを作成して使用し、最小限の機能の原則を組み込みます。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-password-policy	ID と認証情報は、組織の IAM パスワードポリシーに基づいて発行、管理、検証されます。これらの ID と認証情報は、NIST SP 800-63 および AWS の基本的なセキュリティのベストプラクティス標準で規定されているパスワード強度の要件を満たしています。このルールでは、必要に応じて RequireUppercaseCharacters (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireLowercaseCharacters (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireSymbols (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireNumbers (AWS の基本的なセキュリティのベストプラクティスの値: true)、MinimumPasswordLength (AWS の基本的なセキュリティのベストプラクティスの値: 14)、PasswordReusePrevention (AWS の基本的なセキュリティのベストプラクティスの値: 24)、および MaxPasswordAge (AWS の基本的なセキュリティのベストプラクティスの値: 90) を、IAM パスワードポリシーに設定できます。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) では、指定した期間に使用されていない IAM パスワードとアクセスキーをチェックすることにより、アクセスの許可と認証を行うことができます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、maxCredentialUsageAge (Config デフォルト: 90) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	secretsmanager-rotation-enabled-check	このルールにより、AWS Secrets Manager シークレットでローテーションが有効にされます。シークレットを定期的にローテーションすることで、シークレットがアクティブになる期間が短縮され、シークレットが侵害された場合のビジネスへの影響が軽減される可能性があります。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	emr-kerberos-enabled	Amazon EMR クラスターで Kerberos を有効にすることで、最小特権と職務の分離の原則に基づいてアクセス許可と認可を管理して組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。この領域内では、Kerberos サーバーを KDC (キー配布センター) と呼びます。これは、プリンシパルが認証を行うための手段を提供するものです。KDC は、チケットを発行して認証を行います。KDC は、領域内にあるプリンシパルのデータベースに加え、プリンシパルのパスワードや、各プリンシパルに関するその他の管理情報を保持しています。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) は、アクセス許可や認可に最小特権と職務分離の原則を組み込むことにより、すべての AWS Key Management Service のキーでブロックされたアクションを含むポリシーを制限できます。タスク完了のために必要以上の特権を持つことは、最小特権と職務分離の原則に反する可能性があります。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-inline-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、すべての AWS Key Management Service キーでブロックされたアクションを許可するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーでは、再利用可能性、バージョニング、ロールバック、アクセス許可の管理を委任できます。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-no-inline-policy-check	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムやアセットへのアクセスを管理するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-user-mfa-enabled	AWS クラウド内のリソースへのアクセスを制限するには、このルールを有効にします。このルールにより、すべてのユーザーの多要素認証 (MFA) が有効になります。MFA は、サインイン認証情報に加えて更なる保護手段を追加します。ユーザーに MFA を要求することで、アカウントが侵害されるインシデントを減らします。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	iam-policy-no-statements-with-full-access	IAM アクションが、必要なアクションのみに制限されていることを確認します。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	ec2-instance-profile-attached	EC2 インスタンスプロファイルによって、IAM ロールが EC2 インスタンスに渡されます。インスタンスプロファイルをインスタンスにアタッチすることで、最小特権とアクセス許可を管理できます。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	restricted-common-ports	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。ポートへのアクセスを信頼できるソースに制限しなければ、システムの可用性、完全性、機密性に対する脅威を招く可能性があります。このルールでは、blockedPort1 - blockedPort5 パラメータを必要に応じて設定できます (Config デフォルト: 20、21、3389、3306、4333)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスの管理ができます。リソースで 0.0.0.0/0 からポート 22 への入力 (またはリモート) トラフィックを許可しないようにすることで、リモートアクセスを制限できます。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	ssm-document-not-public	AWS Systems Manager (SSM) ドキュメントへの意図しないアクセスが許可される可能性があるため、SSM ドキュメントが公開されていないことを確認します。パブリック SSM ドキュメントにより、お客様のアカウント、リソース、内部プロセスに関する情報が公開される可能性があります。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	ecs-containers-readonly-access	Amazon Elastic Container Service (Amazon ECS) コンテナへの読み取り専用アクセスを有効にすると、最小特権のプリンシパルを遵守するのに役立ちます。このオプションにより、明示的な読み取り/書き込み権限がない場合にはコンテナインスタンスのファイルシステムを変更できないため、攻撃ベクトルを減らすことができます。
164.308 (a)(4)(ii)(B)	(B) アクセス認可 (アドレス指定可能) ワークステーション、トランザクション、プログラム、プロセス、またはその他のメカニズムへのアクセスを介して、電子的に保護された医療情報へのアクセスを許可するためのポリシーと手順を実装します。	s3-bucket-acl-prohibited	このルールでは、アクセスコントロールリスト (ACL) が Amazon S3 バケットのアクセスコントロールに使用されているかどうかを確認します。ACL は、AWS Identity and Access Management (IAM) より前の Amazon S3 バケットのレガシーアクセスコントロールメカニズムです。ベストプラクティスは、ACL の代わりに、IAM ポリシーまたは S3 バケットポリシーを使用して、S3 バケットへのアクセスをより簡単に管理することです。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	ec2-imdsv2-check	Instance Metadata Service Version 2 (IMDSv2) メソッドが有効になっていることを確認することで、Amazon Elastic Compute Cloud (Amazon EC2) のインスタンスメタデータのアクセスとコントロールを保護します。IMDSv2 メソッドでは、セッションベースのコントロールを使用します。IMDSv2 を使用すると、インスタンスメタデータへの変更を制限するためのコントロールを実装できます。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	emr-kerberos-enabled	Amazon EMR クラスターで Kerberos を有効にすることで、最小特権と職務の分離の原則に基づいてアクセス許可と認可を管理して組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。この領域内では、Kerberos サーバーを KDC (キー配布センター) と呼びます。これは、プリンシパルが認証を行うための手段を提供するものです。KDC は、チケットを発行して認証を行います。KDC は、領域内にあるプリンシパルのデータベースに加え、プリンシパルのパスワードや、各プリンシパルに関するその他の管理情報を保持しています。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) は、アクセス許可や認可に最小特権と職務分離の原則を組み込むことにより、すべての AWS Key Management Service のキーでブロックされたアクションを含むポリシーを制限できます。タスク完了のために必要以上の特権を持つことは、最小特権と職務分離の原則に反する可能性があります。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	iam-inline-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、すべての AWS Key Management Service キーでブロックされたアクションを許可するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーでは、再利用可能性、バージョニング、ロールバック、アクセス許可の管理を委任できます。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	iam-no-inline-policy-check	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムやアセットへのアクセスを管理するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「」に対して「Action」:「」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	iam-root-access-key-check	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーが割り当てられていないことを確認することにより、システムとアセットへのアクセスをコントロールできます。root アクセスキーが削除されていることを確認します。代わりにロールベースの AWS アカウントを作成して使用し、最小限の機能の原則を組み込みます。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	iam-user-no-policies-check	このルールにより、AWS Identity and Access Management (IAM) ポリシーがグループまたはロールのみにアタッチされ、システムとアセットへのアクセスがコントロールされるようになります。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) では、指定した期間に使用されていない IAM パスワードとアクセスキーをチェックすることにより、アクセスの許可と認証を行うことができます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、maxCredentialUsageAge (Config デフォルト: 90) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	iam-policy-no-statements-with-full-access	IAM アクションが、必要なアクションのみに制限されていることを確認します。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	ec2-instance-profile-attached	EC2 インスタンスプロファイルによって、IAM ロールが EC2 インスタンスに渡されます。インスタンスプロファイルをインスタンスにアタッチすることで、最小特権とアクセス許可を管理できます。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	dms-replication-not-public	DMS レプリケーションインスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。DMS レプリケーションインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	ebs-snapshot-public-restorable-check	EBS スナップショットがパブリックで復元されないようにすることにより、AWS クラウドへのアクセスを管理します。EBS ボリュームスナップショットには機密情報が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	ec2-instance-no-public-ip	Amazon Elastic Compute Cloud (Amazon EC2) インスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。Amazon EC2 インスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	elasticsearch-in-vpc-only	Amazon OpenSearch Service (OpenSearch Service) のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイスや VPN 接続なしで、OpenSearch Service と他のサービス間に Amazon VPC 内で安全な通信ができるようになります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	emr-master-no-public-ip	Amazon EMR クラスターマスターノードにパブリックにアクセスできないようにすることにより、AWS クラウドへのアクセスを管理します。Amazon EMR クラスターのマスターノードには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	ec2-instances-in-vpc	Amazon Virtual Private Cloud (Amazon VPC) 内に Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを展開し、Amazon VPC 内でのインスタンスとサービス間の安全な通信を、インターネットゲートウェイ、NAT デバイス、VPN 接続を必要とせず可能にします。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。Amazon EC2 インスタンスを Amazon VPC に割り当て、アクセスを適切に管理します。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	internet-gateway-authorized-vpc-only	インターネットゲートウェイが、認可された Amazon Virtual Private Cloud (Amazon VPC) にのみアタッチされるようにして、AWS クラウドのリソースへのアクセスを管理します。インターネットゲートウェイは、Amazon VPC との間の双方向インターネットアクセスを可能にしますが、これにより Amazon VPC リソースへの不正アクセスが発生する可能性があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	lambda-function-public-access-prohibited	AWS Lambda 関数へのパブリックアクセスができないようにして、AWS クラウドのリソースへのアクセスを管理します。パブリックアクセスにより、リソースの可用性の低下を招く可能性があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	rds-instance-public-access-check	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	rds-snapshots-public-prohibited	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報と原則が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	redshift-cluster-public-access-check	Amazon Redshift クラスターが公開されないようにすることで、AWS クラウドのリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service (Amazon S3) バケットにパブリックにアクセスできないようにすることで、AWS クラウドのリソースへのアクセスを管理します。このルールは、パブリックアクセスを防止することで、権限のないリモートユーザーから機密データを保護するのに役立ちます。このルールでは、ignorePublicAcls (Config デフォルト: True)、blockPublicPolicy (Config デフォルト: True)、blockPublicAcls (Config デフォルト: True)、および restrictPublicBuckets (Config デフォルト: True) の各パラメータを必要に応じて設定できます。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	s3-bucket-public-read-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	s3-bucket-public-write-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	sagemaker-notebook-no-direct-internet-access	Amazon SageMaker ノートブックがインターネットからの直接アクセスを許可しないことにより、AWS クラウド内のリソースへのアクセスを管理します。インターネットからの直接アクセスを防止することで、権限のないユーザーが機密データにアクセスするのを防ぐことができます。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	subnet-auto-assign-public-ip-disabled	Amazon Virtual Private Cloud (Amazon VPC) サブネットにパブリック IP アドレスが自動的に割り当てられないようにすることで、AWS クラウドへのアクセスを管理します。この属性が有効になっているサブネットで起動される Amazon Elastic Compute Cloud (EC2) インスタンスでは、プライマリネットワークインターフェイスにパブリック IP アドレスが割り当てられています。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	ecs-task-definition-user-for-host-mode-check	タスク定義に昇格した権限がある場合は、お客様がそれらの設定に特別にオプトインしていることが原因です。このコントロールでは、タスク定義でホストネットワークが有効になっており、お客様が昇格した権限にオプトインしていない場合に、予期しない権限の昇格が発生しないかどうかを確認します。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	codebuild-project-envvar-awscred-check	AWS Codebuild プロジェクト環境内に、認証情報である AWS_ACCESS_KEY_ID および AWS_SECRET_ACCESS_KEY が存在しないことを確認します。これらの変数をクリアテキストで保存しないでください。これらの変数をクリアテキストで保存すると、意図しないデータ漏えいや不正アクセスを招く可能性があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	codebuild-project-source-repo-url-check	GitHub または Bitbucket のソースレポジトリの URL に、AWS Codebuild プロジェクト環境内の個人用のアクセストークン、サインイン認証情報が含まれていないことを確認します。GitHub または Bitbucket リポジトリへのアクセス認可を付与するには、個人のアクセストークンまたはサインイン認証情報ではなく、OAuth を使用します。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	restricted-common-ports	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。ポートへのアクセスを信頼できるソースに制限しなければ、システムの可用性、完全性、機密性に対する脅威を招く可能性があります。このルールでは、blockedPort1 - blockedPort5 パラメータを必要に応じて設定できます (Config デフォルト: 20、21、3389、3306、4333)。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスの管理ができます。リソースで 0.0.0.0/0 からポート 22 への入力 (またはリモート) トラフィックを許可しないようにすることで、リモートアクセスを制限できます。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	autoscaling-launch-config-public-ip-disabled	パブリック IP アドレスを使用してネットワークインターフェイスを設定すると、それらのネットワークインターフェイスに関連付けられたリソースにインターネットからアクセスできます。EC2 リソースが、アプリケーションやサーバーへの意図しないアクセスを許可する可能性があるため、パブリックにアクセスできないようにする必要があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	ecs-containers-readonly-access	Amazon Elastic Container Service (Amazon ECS) コンテナへの読み取り専用アクセスを有効にすると、最小特権のプリンシパルを遵守するのに役立ちます。このオプションにより、明示的な読み取り/書き込み権限がない場合にはコンテナインスタンスのファイルシステムを変更できないため、攻撃ベクトルを減らすことができます。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	ssm-document-not-public	AWS Systems Manager (SSM) ドキュメントへの意図しないアクセスが許可される可能性があるため、SSM ドキュメントが公開されていないことを確認します。パブリック SSM ドキュメントにより、お客様のアカウント、リソース、内部プロセスに関する情報が公開される可能性があります。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	s3-bucket-acl-prohibited	このルールでは、アクセスコントロールリスト (ACL) が Amazon S3 バケットのアクセスコントロールに使用されているかどうかを確認します。ACL は、AWS Identity and Access Management (IAM) より前の Amazon S3 バケットのレガシーアクセスコントロールメカニズムです。ベストプラクティスは、ACL の代わりに、IAM ポリシーまたは S3 バケットポリシーを使用して、S3 バケットへのアクセスをより簡単に管理することです。
164.308 (a)(4)(ii)(C)	(C) アクセスの確立と変更 (アドレス指定可能) エンティティのアクセス認可ポリシーに基づいて、ワークステーション、トランザクション、プログラム、またはプロセスへのユーザーのアクセス権を確立、ドキュメント化、確認、および変更するポリシーと手順を実装します。	opensearch-in-vpc-only	Amazon OpenSearch Service のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の Amazon OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイス、そして VPN 接続を必要とせずに、Amazon OpenSearch と Amazon VPC 内にある他のサービスの間での安全な通信が可能になります。
164.308 (a)(5)(ii)(A)	(A) セキュリティリマインダー (アドレス指定可能) 定期的なセキュリティ更新プログラム	ec2-managedinstance-patch-compliance-status-check	このルールを有効にすると、Amazon Elastic Compute Cloud (Amazon EC2) の脆弱性の特定とドキュメント化ができます。このルールにより、AWS Systems Manager で、Amazon EC2 インスタンスのパッチコンプライアンスが組織のポリシーや手順で要求されているかどうかをチェックします。
164.308 (a)(5)(ii)(A)	(A) セキュリティリマインダー (アドレス指定可能) 定期的なセキュリティ更新プログラム	elastic-beanstalk-managed-updates-enabled	Amazon Elastic Beanstalk 環境でマネージドプラットフォームの更新を有効にすると、利用可能なプラットフォームの最新の修正、更新と、環境のための機能がインストールされます。パッチのインストールを最新の状態に保つことは、システムのセキュリティ保護のベストプラクティスです。
164.308 (a)(5)(ii)(A)	(A) セキュリティリマインダー (アドレス指定可能) 定期的なセキュリティ更新プログラム	redshift-cluster-maintenancesettings-check	このルールにより、Amazon Redshift クラスターで組織に適した設定が行われるようになります。具体的には、データベースの任意のメンテナンスウインドウと自動スナップショットの保持期間を設定します。このルールでは、allowVersionUpgrade を設定する必要があります。デフォルトは true です。必要に応じて、「preferredMaintenanceWindow (デフォルトは「sat: 16:00-sat: 16:30」) と automatedSnapshotRetentionPeriod (デフォルトは 1) を設定することもできます。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(5)(ii)(A)	(A) セキュリティリマインダー (アドレス指定可能) 定期的なセキュリティ更新プログラム	rds-automatic-minor-version-upgrade-enabled	Amazon Relational Database Service (RDS) インスタンスで自動マイナーバージョンアップグレードを有効にすると、セキュリティパッチやバグ修正を含むリレーショナルデータベース管理システム (RDBMS) の最新のマイナーバージョンアップデートをインストールできます。
164.308 (a)(5)(ii)(B)	(B) 悪意のあるソフトウェアからの保護 (アドレス指定可能) 悪意のあるソフトウェアに対する防御、検出、および報告の手順です。	ec2-instance-managed-by-systems-manager	AWS Systems Manager を使用して Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを管理することで、組織内のソフトウェアプラットフォームやアプリケーションのインベントリを作成できます。AWS Systems Manager を使用して、詳細なシステム設定、オペレーティングシステムのパッチレベル、サービス名とタイプ、ソフトウェアのインストール、アプリケーション名、パブリッシャーとバージョン、および環境に関するその他の詳細を提供します。
164.308 (a)(5)(ii)(B)	(B) 悪意のあるソフトウェアからの保護 (アドレス指定可能) 悪意のあるソフトウェアに対する防御、検出、および報告の手順です。	ec2-managedinstance-association-compliance-status-check	AWS Systems Manager Association を使用することで、組織内でソフトウェアプラットフォームやアプリケーションのインベントリを作成できます。AWSSystems Manager では、マネージドインスタンスに設定のステータスを割り当て、オペレーティングシステムのパッチレベル、ソフトウェアのインストール、アプリケーション設定、環境に関するその他の詳細のベースラインを設定できます。
164.308 (a)(5)(ii)(B)	(B) 悪意のあるソフトウェアからの保護 (アドレス指定可能) 悪意のあるソフトウェアに対する防御、検出、および報告の手順です。	ec2-managedinstance-patch-compliance-status-check	このルールを有効にすると、Amazon Elastic Compute Cloud (Amazon EC2) の脆弱性の特定とドキュメント化ができます。このルールにより、AWS Systems Manager で、Amazon EC2 インスタンスのパッチコンプライアンスが組織のポリシーや手順で要求されているかどうかをチェックします。
164.308 (a)(5)(ii)(C)	(C) ログインのモニタリング (アドレス指定可能) ログインの試行をモニタリングし、不一致を報告する手順です。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。
164.308 (a)(5)(ii)(C)	(C) ログインのモニタリング (アドレス指定可能) ログインの試行をモニタリングし、不一致を報告する手順です。	cloudtrail-enabled	AWS CloudTrail は、AWS マネジメントコンソールのアクションと API コールを記録するため、非否認の際に役立ちます。AWS のサービスを呼び出したユーザーと AWS アカウント、通話が発生した送信元 IP アドレス、通話のタイミングを特定できます。取得したデータの詳細は、AWS CloudTrail レコードの内容で確認することができます。
164.308 (a)(5)(ii)(C)	(C) ログインのモニタリング (アドレス指定可能) ログインの試行をモニタリングし、不一致を報告する手順です。	rds-logging-enabled	環境内でログ記録とモニタリングを行うため、Amazon Relational Database Service (Amazon RDS) でログ記録を有効にします。Amazon RDS のログ記録を使用すると、接続、切断、クエリ、クエリされたテーブルなどのイベントをキャプチャできます。
164.308 (a)(5)(ii)(D)	(D) パスワード管理 (アドレス指定可能) パスワードの作成、変更、および保護の手順です。	iam-password-policy	ID と認証情報は、組織の IAM パスワードポリシーに基づいて発行、管理、検証されます。これらの ID と認証情報は、NIST SP 800-63 および AWS の基本的なセキュリティのベストプラクティス標準で規定されているパスワード強度の要件を満たしています。このルールでは、必要に応じて RequireUppercaseCharacters (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireLowercaseCharacters (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireSymbols (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireNumbers (AWS の基本的なセキュリティのベストプラクティスの値: true)、MinimumPasswordLength (AWS の基本的なセキュリティのベストプラクティスの値: 14)、PasswordReusePrevention (AWS の基本的なセキュリティのベストプラクティスの値: 24)、および MaxPasswordAge (AWS の基本的なセキュリティのベストプラクティスの値: 90) を、IAM パスワードポリシーに設定できます。実際の値には、組織のポリシーを反映する必要があります。
164.308(a)(6)(i)	(6)(i) 標準: セキュリティインシデントの手順セキュリティインシデントに対処するためのポリシーと手順を実装します。	securityhub-enabled	AWS Security Hub は、権限のない人員、接続、デバイス、ソフトウェアのモニタリングに役立ちます。AWSSecurity Hub によって、複数の AWS のサービスからのセキュリティアラート (検出結果) が集計、整理、優先順位付けされます。対象のサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager、AWS パートナーソリューションなどがあります。
164.308 (a)(6)(ii)	(ii) 実装仕様: 対応と報告 (必須) 疑わしいまたは既知のセキュリティインシデントを特定して対応し、対象となるエンティティに知られているセキュリティインシデントの実用可能な範囲で有害な影響を軽減し、セキュリティインシデントとその結果を文書化します。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling は AWS Application Auto Scaling サービスを使用し、ユーザーに代わって、実際のトラフィックパターンに自動的に応答するプロビジョンドスループットキャパシティを調節します。これにより、テーブルまたはグローバルセカンダリインデックスで、プロビジョンされた読み取りおよび書き込みの容量が拡張され、トラフィックの急激な増加をスロットリングなしで処理できるようになります。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	elb-cross-zone-load-balancing-enabled	Elastic Load Balancing (ELB) のクロスゾーン負荷分散を有効にして、十分な容量と可用性を維持します。クロスゾーン負荷分散により、有効な各アベイラビリティーゾーンで同じインスタンス数を維持する必要性が軽減されます。また、1 つ以上のインスタンスの消失を処理するアプリケーションの能力が向上します。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	elb-deletion-protection-enabled	このルールにより、Elastic Load Balancing で削除保護が有効になっているかどうかを確認します。この機能を使用すると、ロードバランサーが誤って削除されたり悪意を持って削除されることで、アプリケーションの可用性が失われることを防ぐことができます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	rds-cluster-deletion-protection-enabled	Amazon Relational Database Service (Amazon RDS) インスタンスで、削除保護が有効になっていることを確認します。削除保護を使用すると、Amazon RDS インスタンが誤って削除されたり、悪意を持って削除されることでアプリケーションの可用性が失われることを防ぐことができます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) のマルチ AZ のサポートにより、データベースインスタンスの可用性と耐久性が強化されます。マルチ AZ のデータベースインスタンスをプロビジョニングすると、Amazon RDS はプライマリデータベースのインスタンスを自動的に作成し、別のアベイラビリティーゾーンのスタンバイインスタンスにデータを同期的にレプリケートします。各アベイラビリティーゾーンは、物理的に独立した独自のインフラストラクチャで実行されますが、高度な信頼性を実現できるよう設計されています。インフラストラクチャに障害が発生した場合、Amazon RDS ではスタンバイへの自動フェイルオーバーが実行されるため、フェイルオーバーが完了するとすぐにデータベース運用を再開できます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	vpc-vpn-2-tunnels-up	冗長な Site-to-Site VPN トンネルを実装することで、回復性の要件を満たすことができます。2 つのトンネルを使用することで、Site-to-Site VPN 接続の 1 つが使用できなくなった場合の接続を確保します。カスタマーゲートウェイが使用できなくなった場合に接続が失われるのを防ぐために、2 つ目のカスタマーゲートウェイを使用して Amazon Virtual Private Cloud (Amazon VPC) および仮想プライベートゲートウェイへの 2 つ目の Site-to-Site VPN 接続を設定できます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	db-instance-backup-enabled	Amazon RDS のバックアップ機能では、データベースとトランザクションログのバックアップが作成されます。Amazon RDS により、DB インスタンスクラスターのストレージボリュームのスナップショットが自動的に作成され、DB インスタンス全体がバックアップされます。このシステムでは、回復性の要件を満たす特定の保持期間を設定できます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	dynamodb-in-backup-plan	データのバックアッププロセスを実行するため、Amazon DynamoDB テーブルが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	dynamodb-pitr-enabled	このルールを有効にして、情報がバックアップされているかどうかをチェックします。また、Amazon DynamoDB でポイントインタイムリカバリが有効になっているかどうかを確認することで、バックアップを維持します。リカバリによって、過去 35 日間のテーブルの継続的なバックアップが維持されます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	ebs-in-backup-plan	データのバックアッププロセスを実行するには、Amazon Elastic Block Store (Amazon EBS) ボリュームが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	efs-in-backup-plan	データのバックアッププロセスを実行するには、Amazon Elastic File System (Amazon EFS) ファイルシステムが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	elasticache-redis-cluster-automatic-backup-check	自動バックアップが有効になっている場合、Amazon ElastiCache はクラスターのバックアップを毎日作成します。バックアップは、組織の指定により数日間、保持することができます。自動バックアップは、データ損失を防ぐのに役立ちます。障害が発生した場合は、新しいクラスターを作成して、最新のバックアップからデータを復元できます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	rds-in-backup-plan	データのバックアッププロセスを実行するには、Amazon Relational Database Service (Amazon RDS) インスタンスが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	redshift-backup-enabled	データのバックアッププロセスを実行するため、Amazon Redshift クラスターで自動スナップショットが設定されていることを確認します。クラスターの自動スナップショットを有効にすると、Amazon Redshift はそのクラスターのスナップショットを定期的に作成します。デフォルトでは、Redshift は 8 時間ごと、または各ノードの 5 GB ごとのデータ変更、またはそのいずれか早い方のタイミングでスナップショットを作成します。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) クロスリージョンレプリケーション (CRR) は、十分な容量と可用性の維持をサポートします。CRR により、Amazon S3 バケット間でオブジェクトを自動的に非同期コピーできるため、データの可用性が維持されます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) バケットのバージョニングは、同じ Amazon S3 バケットでオブジェクトの複数のバリアントを保持するのに役立ちます。バージョニングを使用すると、Amazon S3 バケットに保存されたあらゆるオブジェクトのすべてのバージョンを、保存、取得、復元することができます。バージョニングによって、意図しないユーザーアクションやアプリケーション障害から簡単に復旧できます。
164.308 (a)(7)(i)	(7)(i) 標準: 緊急時対応計画電子的に保護された医療情報を含むシステムに損害を与える緊急事態またはその他の出来事 (火災、破壊行為、システム障害、自然災害など) に対応するためのポリシーと手順を確立し、必要に応じて実装します。	s3-version-lifecycle-policy-check	Amazon S3 のライフサイクルポリシーが、オブジェクトのライフタイム中に Amazon S3 が実行するアクションの定義に役立つように設定されていることを確認します (他のストレージクラスへのオブジェクトの移行や指定した期間後のオブジェクトのアーカイブや削除など)。
164.308 (a)(7)(ii)(A)	(A) データのバックアップ計画 (必須) 電子的に保護された医療情報の正確なコピーを作成して維持するための手順を確立し、実装します。	db-instance-backup-enabled	Amazon RDS のバックアップ機能では、データベースとトランザクションログのバックアップが作成されます。Amazon RDS により、DB インスタンスクラスターのストレージボリュームのスナップショットが自動的に作成され、DB インスタンス全体がバックアップされます。このシステムでは、回復性の要件を満たす特定の保持期間を設定できます。
164.308 (a)(7)(ii)(A)	(A) データのバックアップ計画 (必須) 電子的に保護された医療情報の正確なコピーを作成して維持するための手順を確立し、実装します。	dynamodb-in-backup-plan	データのバックアッププロセスを実行するため、Amazon DynamoDB テーブルが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.308 (a)(7)(ii)(A)	(A) データのバックアップ計画 (必須) 電子的に保護された医療情報の正確なコピーを作成して維持するための手順を確立し、実装します。	dynamodb-pitr-enabled	このルールを有効にして、情報がバックアップされているかどうかをチェックします。また、Amazon DynamoDB でポイントインタイムリカバリが有効になっているかどうかを確認することで、バックアップを維持します。リカバリによって、過去 35 日間のテーブルの継続的なバックアップが維持されます。
164.308 (a)(7)(ii)(A)	(A) データのバックアップ計画 (必須) 電子的に保護された医療情報の正確なコピーを作成して維持するための手順を確立し、実装します。	ebs-in-backup-plan	データのバックアッププロセスを実行するには、Amazon Elastic Block Store (Amazon EBS) ボリュームが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.308 (a)(7)(ii)(A)	(A) データのバックアップ計画 (必須) 電子的に保護された医療情報の正確なコピーを作成して維持するための手順を確立し、実装します。	efs-in-backup-plan	データのバックアッププロセスを実行するには、Amazon Elastic File System (Amazon EFS) ファイルシステムが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.308 (a)(7)(ii)(A)	(A) データのバックアップ計画 (必須) 電子的に保護された医療情報の正確なコピーを作成して維持するための手順を確立し、実装します。	elasticache-redis-cluster-automatic-backup-check	自動バックアップが有効になっている場合、Amazon ElastiCache はクラスターのバックアップを毎日作成します。バックアップは、組織の指定により数日間、保持することができます。自動バックアップは、データ損失を防ぐのに役立ちます。障害が発生した場合は、新しいクラスターを作成して、最新のバックアップからデータを復元できます。
164.308 (a)(7)(ii)(A)	(A) データのバックアップ計画 (必須) 電子的に保護された医療情報の正確なコピーを作成して維持するための手順を確立し、実装します。	rds-in-backup-plan	データのバックアッププロセスを実行するには、Amazon Relational Database Service (Amazon RDS) インスタンスが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.308 (a)(7)(ii)(A)	(A) データのバックアップ計画 (必須) 電子的に保護された医療情報の正確なコピーを作成して維持するための手順を確立し、実装します。	redshift-backup-enabled	データのバックアッププロセスを実行するため、Amazon Redshift クラスターで自動スナップショットが設定されていることを確認します。クラスターの自動スナップショットを有効にすると、Amazon Redshift はそのクラスターのスナップショットを定期的に作成します。デフォルトでは、Redshift は 8 時間ごと、または各ノードの 5 GB ごとのデータ変更、またはそのいずれか早い方のタイミングでスナップショットを作成します。
164.308 (a)(7)(ii)(A)	(A) データのバックアップ計画 (必須) 電子的に保護された医療情報の正確なコピーを作成して維持するための手順を確立し、実装します。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) クロスリージョンレプリケーション (CRR) は、十分な容量と可用性の維持をサポートします。CRR により、Amazon S3 バケット間でオブジェクトを自動的に非同期コピーできるため、データの可用性が維持されます。
164.308 (a)(7)(ii)(A)	(A) データのバックアップ計画 (必須) 電子的に保護された医療情報の正確なコピーを作成して維持するための手順を確立し、実装します。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) バケットのバージョニングは、同じ Amazon S3 バケットでオブジェクトの複数のバリアントを保持するのに役立ちます。バージョニングを使用すると、Amazon S3 バケットに保存されたあらゆるオブジェクトのすべてのバージョンを、保存、取得、復元することができます。バージョニングによって、意図しないユーザーアクションやアプリケーション障害から簡単に復旧できます。
164.308 (a)(7)(ii)(A)	(A) データのバックアップ計画 (必須) 電子的に保護された医療情報の正確なコピーを作成して維持するための手順を確立し、実装します。	s3-version-lifecycle-policy-check	Amazon S3 のライフサイクルポリシーが、オブジェクトのライフタイム中に Amazon S3 が実行するアクションの定義に役立つように設定されていることを確認します (他のストレージクラスへのオブジェクトの移行や指定した期間後のオブジェクトのアーカイブや削除など)。
164.308 (a)(7)(ii)(A)	(A) データのバックアップ計画 (必須) 電子的に保護された医療情報の正確なコピーを作成して維持するための手順を確立し、実装します。	redshift-cluster-maintenancesettings-check	このルールにより、Amazon Redshift クラスターで組織に適した設定が行われるようになります。具体的には、データベースの任意のメンテナンスウインドウと自動スナップショットの保持期間を設定します。このルールでは、allowVersionUpgrade を設定する必要があります。デフォルトは true です。必要に応じて、「preferredMaintenanceWindow (デフォルトは「sat: 16:00-sat: 16:30」) と automatedSnapshotRetentionPeriod (デフォルトは 1) を設定することもできます。実際の値には、組織のポリシーを反映する必要があります。
164.308 (a)(7)(ii)(B)	(B) 災害対策計画 (必須) データ損失からの復旧のための手順を確立し、必要に応じて実装します。	db-instance-backup-enabled	Amazon RDS のバックアップ機能では、データベースとトランザクションログのバックアップが作成されます。Amazon RDS により、DB インスタンスクラスターのストレージボリュームのスナップショットが自動的に作成され、DB インスタンス全体がバックアップされます。このシステムでは、回復性の要件を満たす特定の保持期間を設定できます。
164.308 (a)(7)(ii)(B)	(B) 災害対策計画 (必須) データ損失からの復旧のための手順を確立し、必要に応じて実装します。	dynamodb-in-backup-plan	データのバックアッププロセスを実行するため、Amazon DynamoDB テーブルが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.308 (a)(7)(ii)(B)	(B) 災害対策計画 (必須) データ損失からの復旧のための手順を確立し、必要に応じて実装します。	dynamodb-pitr-enabled	このルールを有効にして、情報がバックアップされているかどうかをチェックします。また、Amazon DynamoDB でポイントインタイムリカバリが有効になっているかどうかを確認することで、バックアップを維持します。リカバリによって、過去 35 日間のテーブルの継続的なバックアップが維持されます。
164.308 (a)(7)(ii)(B)	(B) 災害対策計画 (必須) データ損失からの復旧のための手順を確立し、必要に応じて実装します。	ebs-in-backup-plan	データのバックアッププロセスを実行するには、Amazon Elastic Block Store (Amazon EBS) ボリュームが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.308 (a)(7)(ii)(B)	(B) 災害対策計画 (必須) データ損失からの復旧のための手順を確立し、必要に応じて実装します。	efs-in-backup-plan	データのバックアッププロセスを実行するには、Amazon Elastic File System (Amazon EFS) ファイルシステムが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.308 (a)(7)(ii)(B)	(B) 災害対策計画 (必須) データ損失からの復旧のための手順を確立し、必要に応じて実装します。	elasticache-redis-cluster-automatic-backup-check	自動バックアップが有効になっている場合、Amazon ElastiCache はクラスターのバックアップを毎日作成します。バックアップは、組織の指定により数日間、保持することができます。自動バックアップは、データ損失を防ぐのに役立ちます。障害が発生した場合は、新しいクラスターを作成して、最新のバックアップからデータを復元できます。
164.308 (a)(7)(ii)(B)	(B) 災害対策計画 (必須) データ損失からの復旧のための手順を確立し、必要に応じて実装します。	rds-in-backup-plan	データのバックアッププロセスを実行するには、Amazon Relational Database Service (Amazon RDS) インスタンスが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.308 (a)(7)(ii)(B)	(B) 災害対策計画 (必須) データ損失からの復旧のための手順を確立し、必要に応じて実装します。	redshift-backup-enabled	データのバックアッププロセスを実行するため、Amazon Redshift クラスターで自動スナップショットが設定されていることを確認します。クラスターの自動スナップショットを有効にすると、Amazon Redshift はそのクラスターのスナップショットを定期的に作成します。デフォルトでは、Redshift は 8 時間ごと、または各ノードの 5 GB ごとのデータ変更、またはそのいずれか早い方のタイミングでスナップショットを作成します。
164.308 (a)(7)(ii)(B)	(B) 災害対策計画 (必須) データ損失からの復旧のための手順を確立し、必要に応じて実装します。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) クロスリージョンレプリケーション (CRR) は、十分な容量と可用性の維持をサポートします。CRR により、Amazon S3 バケット間でオブジェクトを自動的に非同期コピーできるため、データの可用性が維持されます。
164.308 (a)(7)(ii)(B)	(B) 災害対策計画 (必須) データ損失からの復旧のための手順を確立し、必要に応じて実装します。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) バケットのバージョニングは、同じ Amazon S3 バケットでオブジェクトの複数のバリアントを保持するのに役立ちます。バージョニングを使用すると、Amazon S3 バケットに保存されたあらゆるオブジェクトのすべてのバージョンを、保存、取得、復元することができます。バージョニングによって、意図しないユーザーアクションやアプリケーション障害から簡単に復旧できます。
164.308 (a)(7)(ii)(B)	(B) 災害対策計画 (必須) データ損失からの復旧のための手順を確立し、必要に応じて実装します。	s3-version-lifecycle-policy-check	Amazon S3 のライフサイクルポリシーが、オブジェクトのライフタイム中に Amazon S3 が実行するアクションの定義に役立つように設定されていることを確認します (他のストレージクラスへのオブジェクトの移行や指定した期間後のオブジェクトのアーカイブや削除など)。
164.308 (a)(7)(ii)(C)	(C) 緊急時のオペレーション計画 (必須) 緊急時の運用において、電子的に保護された医療情報のセキュリティを保護するための重要なビジネスプロセスの継続を可能にする手順を確立し、必要に応じて実装します。	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling は AWS Application Auto Scaling サービスを使用し、ユーザーに代わって、実際のトラフィックパターンに自動的に応答するプロビジョンドスループットキャパシティを調節します。これにより、テーブルまたはグローバルセカンダリインデックスで、プロビジョンされた読み取りおよび書き込みの容量が拡張され、トラフィックの急激な増加をスロットリングなしで処理できるようになります。
164.308 (a)(7)(ii)(C)	(C) 緊急時のオペレーション計画 (必須) 緊急時の運用において、電子的に保護された医療情報のセキュリティを保護するための重要なビジネスプロセスの継続を可能にする手順を確立し、必要に応じて実装します。	elb-cross-zone-load-balancing-enabled	Elastic Load Balancing (ELB) のクロスゾーン負荷分散を有効にして、十分な容量と可用性を維持します。クロスゾーン負荷分散により、有効な各アベイラビリティーゾーンで同じインスタンス数を維持する必要性が軽減されます。また、1 つ以上のインスタンスの消失を処理するアプリケーションの能力が向上します。
164.308 (a)(7)(ii)(C)	(C) 緊急時のオペレーション計画 (必須) 緊急時の運用において、電子的に保護された医療情報のセキュリティを保護するための重要なビジネスプロセスの継続を可能にする手順を確立し、必要に応じて実装します。	elb-deletion-protection-enabled	このルールにより、Elastic Load Balancing で削除保護が有効になっているかどうかを確認します。この機能を使用すると、ロードバランサーが誤って削除されたり悪意を持って削除されることで、アプリケーションの可用性が失われることを防ぐことができます。
164.308 (a)(7)(ii)(C)	(C) 緊急時のオペレーション計画 (必須) 緊急時の運用において、電子的に保護された医療情報のセキュリティを保護するための重要なビジネスプロセスの継続を可能にする手順を確立し、必要に応じて実装します。	rds-cluster-deletion-protection-enabled	Amazon Relational Database Service (Amazon RDS) インスタンスで、削除保護が有効になっていることを確認します。削除保護を使用すると、Amazon RDS インスタンが誤って削除されたり、悪意を持って削除されることでアプリケーションの可用性が失われることを防ぐことができます。
164.308 (a)(7)(ii)(C)	(C) 緊急時のオペレーション計画 (必須) 緊急時の運用において、電子的に保護された医療情報のセキュリティを保護するための重要なビジネスプロセスの継続を可能にする手順を確立し、必要に応じて実装します。	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) のマルチ AZ のサポートにより、データベースインスタンスの可用性と耐久性が強化されます。マルチ AZ のデータベースインスタンスをプロビジョニングすると、Amazon RDS はプライマリデータベースのインスタンスを自動的に作成し、別のアベイラビリティーゾーンのスタンバイインスタンスにデータを同期的にレプリケートします。各アベイラビリティーゾーンは、物理的に独立した独自のインフラストラクチャで実行されますが、高度な信頼性を実現できるよう設計されています。インフラストラクチャに障害が発生した場合、Amazon RDS ではスタンバイへの自動フェイルオーバーが実行されるため、フェイルオーバーが完了するとすぐにデータベース運用を再開できます。
164.308 (a)(7)(ii)(C)	(C) 緊急時のオペレーション計画 (必須) 緊急時の運用において、電子的に保護された医療情報のセキュリティを保護するための重要なビジネスプロセスの継続を可能にする手順を確立し、必要に応じて実装します。	vpc-vpn-2-tunnels-up	冗長な Site-to-Site VPN トンネルを実装することで、回復性の要件を満たすことができます。2 つのトンネルを使用することで、Site-to-Site VPN 接続の 1 つが使用できなくなった場合の接続を確保します。カスタマーゲートウェイが使用できなくなった場合に接続が失われるのを防ぐために、2 つ目のカスタマーゲートウェイを使用して Amazon Virtual Private Cloud (Amazon VPC) および仮想プライベートゲートウェイへの 2 つ目の Site-to-Site VPN 接続を設定できます。
164.308(a)(8)	(8) 標準: 評価当初はこのルールに基づいて実装された標準に基づいて、その後、電子的な保護対象保健情報のセキュリティに影響を与える環境または運用の変化に応じて、定期的に技術的および非技術的評価を実施し、エンティティのセキュリティポリシーと手順がこのサブパートの要件をどの程度満たしているかを確定します。	securityhub-enabled	AWS Security Hub は、権限のない人員、接続、デバイス、ソフトウェアのモニタリングに役立ちます。AWSSecurity Hub によって、複数の AWS のサービスからのセキュリティアラート (検出結果) が集計、整理、優先順位付けされます。対象のサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager、AWS パートナーソリューションなどがあります。
164.308(a)(8)	(8) 標準: 評価当初はこのルールに基づいて実装された標準に基づいて、その後、電子的な保護対象保健情報のセキュリティに影響を与える環境または運用の変化に応じて、定期的に技術的および非技術的評価を実施し、エンティティのセキュリティポリシーと手順がこのサブパートの要件をどの程度満たしているかを確定します。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	ec2-imdsv2-check	Instance Metadata Service Version 2 (IMDSv2) メソッドが有効になっていることを確認することで、Amazon Elastic Compute Cloud (Amazon EC2) のインスタンスメタデータのアクセスとコントロールを保護します。IMDSv2 メソッドでは、セッションベースのコントロールを使用します。IMDSv2 を使用すると、インスタンスメタデータへの変更を制限するためのコントロールを実装できます。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	emr-kerberos-enabled	Amazon EMR クラスターで Kerberos を有効にすることで、最小特権と職務の分離の原則に基づいてアクセス許可と認可を管理して組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。この領域内では、Kerberos サーバーを KDC (キー配布センター) と呼びます。これは、プリンシパルが認証を行うための手段を提供するものです。KDC は、チケットを発行して認証を行います。KDC は、領域内にあるプリンシパルのデータベースに加え、プリンシパルのパスワードや、各プリンシパルに関するその他の管理情報を保持しています。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) は、アクセス許可や認可に最小特権と職務分離の原則を組み込むことにより、すべての AWS Key Management Service のキーでブロックされたアクションを含むポリシーを制限できます。タスク完了のために必要以上の特権を持つことは、最小特権と職務分離の原則に反する可能性があります。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	iam-inline-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、すべての AWS Key Management Service キーでブロックされたアクションを許可するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーでは、再利用可能性、バージョニング、ロールバック、アクセス許可の管理を委任できます。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	iam-no-inline-policy-check	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムやアセットへのアクセスを管理するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「」に対して「Action」:「」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	iam-root-access-key-check	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーが割り当てられていないことを確認することにより、システムとアセットへのアクセスをコントロールできます。root アクセスキーが削除されていることを確認します。代わりにロールベースの AWS アカウントを作成して使用し、最小限の機能の原則を組み込みます。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	iam-user-no-policies-check	このルールにより、AWS Identity and Access Management (IAM) ポリシーがグループまたはロールのみにアタッチされ、システムとアセットへのアクセスがコントロールされるようになります。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	iam-user-unused-credentials-check	AWS Identity and Access Management (IAM) では、指定した期間に使用されていない IAM パスワードとアクセスキーをチェックすることにより、アクセスの許可と認証を行うことができます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、maxCredentialUsageAge (Config デフォルト: 90) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	iam-policy-no-statements-with-full-access	IAM アクションが、必要なアクションのみに制限されていることを確認します。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	ec2-instance-profile-attached	EC2 インスタンスプロファイルによって、IAM ロールが EC2 インスタンスに渡されます。インスタンスプロファイルをインスタンスにアタッチすることで、最小特権とアクセス許可を管理できます。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	dms-replication-not-public	DMS レプリケーションインスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。DMS レプリケーションインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	ebs-snapshot-public-restorable-check	EBS スナップショットがパブリックで復元されないようにすることにより、AWS クラウドへのアクセスを管理します。EBS ボリュームスナップショットには機密情報が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	ec2-instance-no-public-ip	Amazon Elastic Compute Cloud (Amazon EC2) インスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。Amazon EC2 インスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	elasticsearch-in-vpc-only	Amazon OpenSearch Service (OpenSearch Service) のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイスや VPN 接続なしで、OpenSearch Service と他のサービス間に Amazon VPC 内で安全な通信ができるようになります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	emr-master-no-public-ip	Amazon EMR クラスターマスターノードにパブリックにアクセスできないようにすることにより、AWS クラウドへのアクセスを管理します。Amazon EMR クラスターのマスターノードには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	ec2-instances-in-vpc	Amazon Virtual Private Cloud (Amazon VPC) 内に Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを展開し、Amazon VPC 内でのインスタンスとサービス間の安全な通信を、インターネットゲートウェイ、NAT デバイス、VPN 接続を必要とせず可能にします。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。Amazon EC2 インスタンスを Amazon VPC に割り当て、アクセスを適切に管理します。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	internet-gateway-authorized-vpc-only	インターネットゲートウェイが、認可された Amazon Virtual Private Cloud (Amazon VPC) にのみアタッチされるようにして、AWS クラウドのリソースへのアクセスを管理します。インターネットゲートウェイは、Amazon VPC との間の双方向インターネットアクセスを可能にしますが、これにより Amazon VPC リソースへの不正アクセスが発生する可能性があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	lambda-function-public-access-prohibited	AWS Lambda 関数へのパブリックアクセスができないようにして、AWS クラウドのリソースへのアクセスを管理します。パブリックアクセスにより、リソースの可用性の低下を招く可能性があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	rds-instance-public-access-check	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	rds-snapshots-public-prohibited	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報と原則が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	redshift-cluster-public-access-check	Amazon Redshift クラスターが公開されないようにすることで、AWS クラウドのリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service (Amazon S3) バケットにパブリックにアクセスできないようにすることで、AWS クラウドのリソースへのアクセスを管理します。このルールは、パブリックアクセスを防止することで、権限のないリモートユーザーから機密データを保護するのに役立ちます。このルールでは、ignorePublicAcls (Config デフォルト: True)、blockPublicPolicy (Config デフォルト: True)、blockPublicAcls (Config デフォルト: True)、および restrictPublicBuckets (Config デフォルト: True) の各パラメータを必要に応じて設定できます。実際の値には、組織のポリシーを反映する必要があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	s3-bucket-public-read-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	s3-bucket-public-write-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	sagemaker-notebook-no-direct-internet-access	Amazon SageMaker ノートブックがインターネットからの直接アクセスを許可しないことにより、AWS クラウド内のリソースへのアクセスを管理します。インターネットからの直接アクセスを防止することで、権限のないユーザーが機密データにアクセスするのを防ぐことができます。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	subnet-auto-assign-public-ip-disabled	Amazon Virtual Private Cloud (Amazon VPC) サブネットにパブリック IP アドレスが自動的に割り当てられないようにすることで、AWS クラウドへのアクセスを管理します。この属性が有効になっているサブネットで起動される Amazon Elastic Compute Cloud (EC2) インスタンスでは、プライマリネットワークインターフェイスにパブリック IP アドレスが割り当てられています。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	ecs-task-definition-user-for-host-mode-check	タスク定義に昇格した権限がある場合は、お客様がそれらの設定に特別にオプトインしていることが原因です。このコントロールでは、タスク定義でホストネットワークが有効になっており、お客様が昇格した権限にオプトインしていない場合に、予期しない権限の昇格が発生しないかどうかを確認します。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	codebuild-project-envvar-awscred-check	AWS Codebuild プロジェクト環境内に、認証情報である AWS_ACCESS_KEY_ID および AWS_SECRET_ACCESS_KEY が存在しないことを確認します。これらの変数をクリアテキストで保存しないでください。これらの変数をクリアテキストで保存すると、意図しないデータ漏えいや不正アクセスを招く可能性があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	codebuild-project-source-repo-url-check	GitHub または Bitbucket のソースレポジトリの URL に、AWS Codebuild プロジェクト環境内の個人用のアクセストークン、サインイン認証情報が含まれていないことを確認します。GitHub または Bitbucket リポジトリへのアクセス認可を付与するには、個人のアクセストークンまたはサインイン認証情報ではなく、OAuth を使用します。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	restricted-common-ports	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。ポートへのアクセスを信頼できるソースに制限しなければ、システムの可用性、完全性、機密性に対する脅威を招く可能性があります。このルールでは、blockedPort1 - blockedPort5 パラメータを必要に応じて設定できます (Config デフォルト: 20、21、3389、3306、4333)。実際の値には、組織のポリシーを反映する必要があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスの管理ができます。リソースで 0.0.0.0/0 からポート 22 への入力 (またはリモート) トラフィックを許可しないようにすることで、リモートアクセスを制限できます。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	autoscaling-launch-config-public-ip-disabled	パブリック IP アドレスを使用してネットワークインターフェイスを設定すると、それらのネットワークインターフェイスに関連付けられたリソースにインターネットからアクセスできます。EC2 リソースが、アプリケーションやサーバーへの意図しないアクセスを許可する可能性があるため、パブリックにアクセスできないようにする必要があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	ecs-containers-readonly-access	Amazon Elastic Container Service (Amazon ECS) コンテナへの読み取り専用アクセスを有効にすると、最小特権のプリンシパルを遵守するのに役立ちます。このオプションにより、明示的な読み取り/書き込み権限がない場合にはコンテナインスタンスのファイルシステムを変更できないため、攻撃ベクトルを減らすことができます。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	ssm-document-not-public	AWS Systems Manager (SSM) ドキュメントへの意図しないアクセスが許可される可能性があるため、SSM ドキュメントが公開されていないことを確認します。パブリック SSM ドキュメントにより、お客様のアカウント、リソース、内部プロセスに関する情報が公開される可能性があります。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール 164.308 (a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的に保護された医療情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	s3-bucket-acl-prohibited	このルールでは、アクセスコントロールリスト (ACL) が Amazon S3 バケットのアクセスコントロールに使用されているかどうかを確認します。ACL は、AWS Identity and Access Management (IAM) より前の Amazon S3 バケットのレガシーアクセスコントロールメカニズムです。ベストプラクティスは、ACL の代わりに、IAM ポリシーまたは S3 バケットポリシーを使用して、S3 バケットへのアクセスをより簡単に管理することです。
164.312 (a)(1)	(a)(1) 標準: アクセスコントロール § 164.308(a)(4) の規定に従って、アクセス権限を付与された個人またはソフトウェアプログラムにのみアクセスを許可するための、電子的な保護対象保健情報を維持する電子情報システムの技術的なポリシーと手順を実装します。	opensearch-in-vpc-only	Amazon OpenSearch Service のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の Amazon OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイス、そして VPN 接続を必要とせずに、Amazon OpenSearch と Amazon VPC 内にある他のサービスの間での安全な通信が可能になります。
164.312 (a)(2)(i)	(2) 実装仕様: (i) 一意のユーザー ID (必須)。ユーザー ID を識別し追跡するため、一意の名前または番号を割り当てます。	iam-root-access-key-check	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーが割り当てられていないことを確認することにより、システムとアセットへのアクセスをコントロールできます。root アクセスキーが削除されていることを確認します。代わりにロールベースの AWS アカウントを作成して使用し、最小限の機能の原則を組み込みます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	db-instance-backup-enabled	Amazon RDS のバックアップ機能では、データベースとトランザクションログのバックアップが作成されます。Amazon RDS により、DB インスタンスクラスターのストレージボリュームのスナップショットが自動的に作成され、DB インスタンス全体がバックアップされます。このシステムでは、回復性の要件を満たす特定の保持期間を設定できます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	dynamodb-pitr-enabled	このルールを有効にして、情報がバックアップされているかどうかをチェックします。また、Amazon DynamoDB でポイントインタイムリカバリが有効になっているかどうかを確認することで、バックアップを維持します。リカバリによって、過去 35 日間のテーブルの継続的なバックアップが維持されます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	elasticache-redis-cluster-automatic-backup-check	自動バックアップが有効になっている場合、Amazon ElastiCache はクラスターのバックアップを毎日作成します。バックアップは、組織の指定により数日間、保持することができます。自動バックアップは、データ損失を防ぐのに役立ちます。障害が発生した場合は、新しいクラスターを作成して、最新のバックアップからデータを復元できます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	s3-bucket-replication-enabled	Amazon Simple Storage Service (Amazon S3) クロスリージョンレプリケーション (CRR) は、十分な容量と可用性の維持をサポートします。CRR により、Amazon S3 バケット間でオブジェクトを自動的に非同期コピーできるため、データの可用性が維持されます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) バケットのバージョニングは、同じ Amazon S3 バケットでオブジェクトの複数のバリアントを保持するのに役立ちます。バージョニングを使用すると、Amazon S3 バケットに保存されたあらゆるオブジェクトのすべてのバージョンを、保存、取得、復元することができます。バージョニングによって、意図しないユーザーアクションやアプリケーション障害から簡単に復旧できます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	dynamodb-in-backup-plan	データのバックアッププロセスを実行するため、Amazon DynamoDB テーブルが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	ebs-in-backup-plan	データのバックアッププロセスを実行するには、Amazon Elastic Block Store (Amazon EBS) ボリュームが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	efs-in-backup-plan	データのバックアッププロセスを実行するには、Amazon Elastic File System (Amazon EFS) ファイルシステムが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	redshift-backup-enabled	データのバックアッププロセスを実行するため、Amazon Redshift クラスターで自動スナップショットが設定されていることを確認します。クラスターの自動スナップショットを有効にすると、Amazon Redshift はそのクラスターのスナップショットを定期的に作成します。デフォルトでは、Redshift は 8 時間ごと、または各ノードの 5 GB ごとのデータ変更、またはそのいずれか早い方のタイミングでスナップショットを作成します。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	rds-in-backup-plan	データのバックアッププロセスを実行するには、Amazon Relational Database Service (Amazon RDS) インスタンスが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	EC2-バックアップ計画によって保護されるリソース	データのバックアッププロセスを支援するために、Amazon Elastic Compute Cloud (Amazon EC2) ボリュームが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	バックアップ計画によって保護された aurora リソース	データのバックアッププロセスを実行するため、Amazon Aurora リソースが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	バックアップ計画-分-頻度と分保持チェック	データのバックアッププロセスを支援するには、AWS Backup プランが最小頻度と保持期間に設定されていることを確認してください。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。このルールでは、requiredFrequencyValue (デフォルト Config: 1)、requiredretentionDays (デフォルト Config: 35)、および requiredFrequencyUnit (デフォルト Config: 日) パラメータを設定することができます。実際の値には、組織の要件を反映する必要があります。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	バックアップ/リカバリ・ポイントの手動削除/無効化	AWS Backup リカバリポイントに、リカバリポイントの削除を防止するリソースベースのポリシーが添付されていることを確認します。リソースベースのポリシーを使用してリカバリポイントの削除を防止すると、偶発的または意図的な削除を防ぐのに役立ちます。
164.312(a)(2)(ii)	(ii) 緊急アクセス手順 (必須) 緊急時に必要な電子的な保護対象保健情報を取得する手順を確立し、必要に応じて実装します。	バックアップ/リカバリ・ポイント暗号化	AWS Backup リカバリポイントの暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	alb-http-to-https-redirection-check	転送中のデータを保護するため、暗号化されていない HTTP リクエストを Application Load Balancer が HTTPS に自動的にリダイレクトするようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	api-gw-ssl-enabled	Amazon API Gateway REST API ステージで SSL 証明書を設定して、バックエンドシステムが API Gateway からのリクエストを認証できるようにします。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	cloud-trail-encryption-enabled	機密データが含まれている可能性があるため、AWS CloudTrail の証跡で暗号化を有効にして、保管中のデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	ec2-ebs-encryption-by-default	保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	efs-encrypted-check	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic File System (EFS) で暗号化が有効になっていることを確認します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	elasticsearch-encrypted-at-rest	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service (OpenSearch Service) ドメインで暗号化が有効になっていることを確認します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	elasticsearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	elb-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。AWS Certificate Manager を使用して、AWS のサービスと内部リソースによってパブリックおよびプライベートの SSL/TLS 証明書を管理、プロビジョニング、およびデプロイします。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	elb-predefined-security-policy-ssl-check	転送中のデータを保護するため、Classic Elastic Load Balancing のリスナーがカスタムセキュリティポリシーを使用していることを確認します。Elastic Load Balancing には、クライアントとロードバランサーの間に接続が確立されたときに SSL ネゴシエーションに使用される定義済み SSL ネゴシエーション設定があります。SSL ネゴシエーション設定は幅広いクライアントとの互換性を提供し、暗号という強力な暗号アルゴリズムを使用します。このルールでは、SSL リスナーにカスタムセキュリティポリシーを設定する必要があります。デフォルトのセキュリティポリシーは ELBSecurityPolicy-TLS-1-2-2017-0 です。実際の値には、組織のポリシーを反映する必要があります。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	elb-tls-https-listeners-only	Elastic Load Balancing (ELB) が、SSL または HTTPS リスナーを使用して設定されるようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	encrypted-volumes	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	rds-snapshot-encrypted	Amazon Relational Database Service (Amazon RDS) スナップショットで、暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	rds-storage-encrypted	保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDS インスタンスには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、clusterDbEncrypted (Config デフォルト: TRUE) と loggingEnabled (Config デフォルト:TRUE) の値が設定されている必要があります。実際の値には、組織のポリシーを反映する必要があります。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	redshift-require-tls-ssl	Amazon Redshift クラスターで、SQL クライアントに接続するために TLS/SSL 暗号化が必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	s3-bucket-server-side-encryption-enabled	保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	s3-bucket-ssl-requests-only	転送中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで、Secure Sockets Layer (SSL) を使用するためのリクエストが必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	s3-default-encryption-kms	Amazon Simple Storage Service (Amazon S3) バケットで、暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、保管中のデータの暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	sagemaker-endpoint-configuration-kms-key-configured	保管中のデータを保護するため、SageMaker エンドポイントで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker エンドポイントには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	sagemaker-notebook-instance-kms-key-configured	保管中のデータを保護するため、SageMaker ノートブックで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker ノートブックには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	sns-encrypted-kms	保管中のデータを保護するため、Amazon Simple Notification Service (Amazon SNS) トピックで AWS Key Management Service (AWS KMS) を使用する暗号化が必要かどうかを確認します。公開されたメッセージには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	secretsmanager-using-cmk	保管中のデータを保護するため、AWS Secrets Manager のシークレットに対して AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。保管中の Secrets Manager のシークレットに機密データが存在する可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	elbv2-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。AWS Certificate Manager を使用して、AWS のサービスと内部リソースによってパブリックおよびプライベートの SSL/TLS 証明書を管理、プロビジョニング、およびデプロイします。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	opensearch-encrypted-at-rest	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	opensearch-https-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (a)(2)(iv)	(iv) 暗号化と復号 (アドレス指定可能) 電子的に保護された医療情報を暗号化および復号化するメカニズムを実装します。	kinesis-stream-encrypted	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Kinesis Streams で暗号化が有効になっていることを確認します。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	api-gw-execution-logging-enabled	API Gateway のログ記録では、API にアクセスしたユーザーと API にアクセスした方法に関する詳細ビューが表示されます。このインサイトにより、ユーザーアクティビティを可視化することができます。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	autoscaling-group-elb-healthcheck-required	Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling グループの Elastic Load Balancing (ELB) ヘルスチェックは、十分な容量と可用性の維持をサポートします。ロードバランサーは、定期的に ping の送信、接続の試行、リクエストの送信を実行し、Auto scaling グループ内の Amazon EC2 インスタンスのヘルスステータスをテストします。インスタンスによってレポートが返されない場合、新しい Amazon EC2 インスタンスにトラフィックが送信されます。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	cloud-trail-cloud-watch-logs-enabled	Amazon CloudWatch を使用して、イベントのアクティビティログを一元的に収集および管理します。AWS CloudTrail データを含めることで、お客様の AWS アカウント内の API コールのアクティビティの詳細を提供します。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	cloudtrail-enabled	AWS CloudTrail は、AWS マネジメントコンソールのアクションと API コールを記録するため、非否認の際に役立ちます。AWS のサービスを呼び出したユーザーと AWS アカウント、通話が発生した送信元 IP アドレス、通話のタイミングを特定できます。取得したデータの詳細は、AWS CloudTrail レコードの内容で確認することができます。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	cloudtrail-s3-dataevents-enabled	Simple Storage Service (Amazon S3) のデータイベントを収集することで、異常性の高いアクティビティを検出できます。詳細には、Amazon S3 バケットにアクセスした AWS アカウントの情報、IP アドレス、イベント発生時刻が含まれます。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	cloudwatch-alarm-action-check	Amazon CloudWatch アラームは、メトリクスが指定された評価期間数のしきい値を超えたときにアラームで警告します。アラームは、複数の期間にわたる閾値に対するメトリックまたはメートルの値に基づいて、1つまたは複数のアクションを実行します。このルールには、alarmActionRequired (Config デフォルト: True)、insufficientDataActionRequired (Config デフォルト: True)、okActionRequired (Config デフォルト: False) の値が必要です。実際の値には、環境に合わせたアラームのアクションを反映する必要があります。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	dynamodb-throughput-limit-check	このルールを有効にすると、Amazon DynamoDB テーブルでのプロビジョンドスループットキャパシティがチェックされるようになります。これは、各テーブルがサポートできる読み取りおよび書き込みアクティビティの量です。DynamoDB はこの情報を使用して、スループット要件を満たすのに十分なシステムリソースを予約します。このルールでは、スループットがお客様のアカウントの最大限度に近づいたときにアラートが生成されます。このルールでは、accountRCUThresholdPercentage (Config デフォルト: 80) および accountWCUThresholdPercentage (Config デフォルト: 80) のパラメータを必要に応じて設定できます。実際の値には、組織のポリシーを反映する必要があります。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	elb-logging-enabled	Elastic Load Balancing でのアクティビティは、環境内の通信の中心となるポイントです。ELB ログ記録が有効になっていることを確認します。収集されたデータから、ELB に送信されるリクエストについての詳細情報が得られます。各ログには、リクエストを受け取った時刻、クライアントの IP アドレス、レイテンシー、リクエストのパス、サーバーレスポンスなどの情報が含まれます。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	guardduty-enabled-centralized	Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	multi-region-cloudtrail-enabled	AWS CloudTrail は、AWS マネジメントコンソールのアクションと API コールを記録します。AWS を呼び出したユーザーとアカウント、呼び出し元の IP アドレス、および呼び出し日時を特定できます。MULTI_REGION_CLOUD_TRAIL_ENABLED が有効になっている場合、CloudTrail はすべての AWS リージョンから S3 バケットにログファイルを配信します。さらに、AWS が新しいリージョンを作成すると、CloudTrail はそのリージョンに同じ証跡を作成します。その結果、アクションを実行しなくても、新しいリージョンの API アクティビティを含むログファイルを受け取ることができるようになります。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	rds-enhanced-monitoring-enabled	Amazon Relational Database Service (Amazon RDS) を有効にすると、Amazon RDS の可用性をモニタリングできます。これにより、Amazon RDS データベースインスタンスのヘルスステータスの詳細が可視化されます。Amazon RDS ストレージが、複数の基盤となる物理デバイスを使用している場合、拡張モニタリングによって各デバイスのデータが収集されます。また、Amazon RDS データベースインスタンスがマルチ AZ 配置で実行されている場合、セカンダリホスト上の各デバイスのデータと、セカンダリホストのメトリクスが収集されます。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	rds-logging-enabled	環境内でログ記録とモニタリングを行うため、Amazon Relational Database Service (Amazon RDS) でログ記録を有効にします。Amazon RDS のログ記録を使用すると、接続、切断、クエリ、クエリされたテーブルなどのイベントをキャプチャできます。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	s3-bucket-logging-enabled	Amazon Simple Storage Service (Amazon S3) サーバーアクセスのログ記録によって、ネットワークをモニタリングし、潜在的なサイバーセキュリティイベントに対応することができます。Amazon S3 バケットに対して行われたリクエストの詳細な記録をキャプチャすることで、イベントをモニタリングします。各アクセスのログレコードから、1 つのアクセスリクエストについての詳細情報を取得できます。詳細情報には、リクエスタ、バケット名、リクエスト時刻、リクエストアクション、レスポンスのステータス、エラーコード (該当する場合) などの情報が含まれます。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	securityhub-enabled	AWS Security Hub は、権限のない人員、接続、デバイス、ソフトウェアのモニタリングに役立ちます。AWSSecurity Hub によって、複数の AWS のサービスからのセキュリティアラート (検出結果) が集計、整理、優先順位付けされます。対象のサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager、AWS パートナーソリューションなどがあります。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	vpc-flow-logs-enabled	VPC フローログでは、Amazon Virtual Private Cloud (Amazon VPC) 内のネットワークインターフェイス間で送受信される IP トラフィックに関する情報の詳細な記録を提供します。フローログレコードには、送信元、送信先、プロトコルなど、IP フローのさまざまなコンポーネントの値がデフォルトで含まれています。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	wafv2-logging-enabled	環境内でログ記録とモニタリングを実行するには、リージョンおよびグローバルウェブ ACL で AWS WAF (V2) のログ記録を有効にします。 AWSWAF のログ記録によって、ウェブ ACL で分析されるトラフィックに関する詳細情報を取得できます。このログレコードには、AWS WAF が AWS リソースからリクエストを受信した時間、リクエストに関する情報、各リクエストが一致させるルールのアクションが含まれます。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	elasticsearch-logs-to-cloudwatch	Amazon OpenSearch Service のドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。ドメインのエラーログは、セキュリティとアクセス監査や、可用性の問題の診断に役立ちます。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、clusterDbEncrypted (Config デフォルト: TRUE) と loggingEnabled (Config デフォルト:TRUE) の値が設定されている必要があります。実際の値には、組織のポリシーを反映する必要があります。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	s3-event-notifications-enabled	Amazon S3 イベント通知により、バケットオブジェクトに対する偶発的または意図的な変更について、関連する担当者に警告できます。アラートの例としては、新しいオブジェクトの作成、オブジェクトの削除、オブジェクトの復元、オブジェクトの紛失およびレプリケートなどが含まれます。
164.312 (b)	(b) 標準: 監査のコントロール電子的に保護された医療情報を含む、または使用する情報システムにおけるアクティビティを記録および調査するハードウェア、ソフトウェア、または手続き型メカニズムを実装します。	opensearch-logs-to-cloudwatch	Amazon OpenSearch Service のドメインでエラーログが有効になっており、保持と応答のために Amazon CloudWatch Logs にストリーミングされていることを確認します。OpenSearch Service のエラーログは、セキュリティとアクセス監査や可用性の問題の診断に役立ちます。
164.312 (c)(1)	(c)(1) 標準: 完全性電子的に保護された医療情報を、不適切な改ざんや破壊から保護するためのポリシーと手順を実装します。	s3-bucket-default-lock-enabled	Amazon Simple Storage Service (Amazon S3) バケットで、デフォルトでロックが有効になっていることを確認します。S3 バケットには機密データが含まれている可能性があるため、保管時にオブジェクトロックを適用してデータを保護します。
164.312 (c)(1)	(c)(1) 標準: 完全性電子的に保護された医療情報を、不適切な改ざんや破壊から保護するためのポリシーと手順を実装します。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) バケットのバージョニングは、同じ Amazon S3 バケットでオブジェクトの複数のバリアントを保持するのに役立ちます。バージョニングを使用すると、Amazon S3 バケットに保存されたあらゆるオブジェクトのすべてのバージョンを、保存、取得、復元することができます。バージョニングによって、意図しないユーザーアクションやアプリケーション障害から簡単に復旧できます。
164.312 (c)(1)	(c)(1) 標準: 完全性電子的に保護された医療情報を、不適切な改ざんや破壊から保護するためのポリシーと手順を実装します。	cloud-trail-log-file-validation-enabled	AWS CloudTrail のログファイルの検証を使用して、CloudTrail ログの整合性をチェックします。ログファイルの検証は、CloudTrail がログファイルを配信した後に変更されたか、削除されたか、変更されていないかを判断するのに役立ちます。この機能は、業界標準のアルゴリズムを使用して構築されています。ハッシュ用の SHA-256 とデジタル署名用の RSA を備えた SHA-256。これにより、CloudTrail ログファイルを検出せずに変更、削除、または偽造することは計算上実行不可能になります。
164.312 (c)(1)	(c)(1) 標準: 完全性電子的に保護された医療情報を、不適切な改ざんや破壊から保護するためのポリシーと手順を実装します。	opensearch-https-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
164.312 (c)(1)	(c)(1) 標準: 完全性電子的に保護された医療情報を、不適切な改ざんや破壊から保護するためのポリシーと手順を実装します。	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (c)(2)	(2) 実装仕様: 電子的に保護された医療情報を認証するメカニズム (アドレス指定可能) 電子的に保護された医療情報が、不正な方法で改ざんまたは破壊されていないことを証明する電子的メカニズムを実装します。	cloud-trail-log-file-validation-enabled	AWS CloudTrail のログファイルの検証を使用して、CloudTrail ログの整合性をチェックします。ログファイルの検証は、CloudTrail がログファイルを配信した後に変更されたか、削除されたか、変更されていないかを判断するのに役立ちます。この機能は、業界標準のアルゴリズムを使用して構築されています。ハッシュ用の SHA-256 とデジタル署名用の RSA を備えた SHA-256。これにより、CloudTrail ログファイルを検出せずに変更、削除、または偽造することは計算上実行不可能になります。
164.312 (c)(2)	(2) 実装仕様: 電子的に保護された医療情報を認証するメカニズム (アドレス指定可能) 電子的に保護された医療情報が、不正な方法で改ざんまたは破壊されていないことを証明する電子的メカニズムを実装します。	s3-bucket-default-lock-enabled	Amazon Simple Storage Service (Amazon S3) バケットで、デフォルトでロックが有効になっていることを確認します。S3 バケットには機密データが含まれている可能性があるため、保管時にオブジェクトロックを適用してデータを保護します。
164.312 (c)(2)	(2) 実装仕様: 電子的に保護された医療情報を認証するメカニズム (アドレス指定可能) 電子的に保護された医療情報が、不正な方法で改ざんまたは破壊されていないことを証明する電子的メカニズムを実装します。	s3-bucket-server-side-encryption-enabled	保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。
164.312 (c)(2)	(2) 実装仕様: 電子的に保護された医療情報を認証するメカニズム (アドレス指定可能) 電子的に保護された医療情報が、不正な方法で改ざんまたは破壊されていないことを証明する電子的メカニズムを実装します。	s3-bucket-ssl-requests-only	転送中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで、Secure Sockets Layer (SSL) を使用するためのリクエストが必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (c)(2)	(2) 実装仕様: 電子的に保護された医療情報を認証するメカニズム (アドレス指定可能) 電子的に保護された医療情報が、不正な方法で改ざんまたは破壊されていないことを証明する電子的メカニズムを実装します。	s3-bucket-versioning-enabled	Amazon Simple Storage Service (Amazon S3) バケットのバージョニングは、同じ Amazon S3 バケットでオブジェクトの複数のバリアントを保持するのに役立ちます。バージョニングを使用すると、Amazon S3 バケットに保存されたあらゆるオブジェクトのすべてのバージョンを、保存、取得、復元することができます。バージョニングによって、意図しないユーザーアクションやアプリケーション障害から簡単に復旧できます。
164.312 (d)	(d) 標準: 個人またはエンティティの認証電子的に保護された健康情報へのアクセスを求めている個人またはエンティティが、主張されるとおりのものであることを確認する手順を実装します。	iam-password-policy	ID と認証情報は、組織の IAM パスワードポリシーに基づいて発行、管理、検証されます。これらの ID と認証情報は、NIST SP 800-63 および AWS の基本的なセキュリティのベストプラクティス標準で規定されているパスワード強度の要件を満たしています。このルールでは、必要に応じて RequireUppercaseCharacters (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireLowercaseCharacters (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireSymbols (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireNumbers (AWS の基本的なセキュリティのベストプラクティスの値: true)、MinimumPasswordLength (AWS の基本的なセキュリティのベストプラクティスの値: 14)、PasswordReusePrevention (AWS の基本的なセキュリティのベストプラクティスの値: 24)、および MaxPasswordAge (AWS の基本的なセキュリティのベストプラクティスの値: 90) を、IAM パスワードポリシーに設定できます。実際の値には、組織のポリシーを反映する必要があります。
164.312 (d)	(d) 標準: 個人またはエンティティの認証電子的に保護された健康情報へのアクセスを求めている個人またはエンティティが、主張されるとおりのものであることを確認する手順を実装します。	iam-user-mfa-enabled	AWS クラウド内のリソースへのアクセスを制限するには、このルールを有効にします。このルールにより、すべてのユーザーの多要素認証 (MFA) が有効になります。MFA は、サインイン認証情報に加えて更なる保護手段を追加します。ユーザーに MFA を要求することで、アカウントが侵害されるインシデントを減らします。
164.312 (d)	(d) 標準: 個人またはエンティティの認証電子的に保護された健康情報へのアクセスを求めている個人またはエンティティが、主張されるとおりのものであることを確認する手順を実装します。	mfa-enabled-for-iam-console-access	コンソールのパスワードを所有するすべての AWS Identity and Access Management (IAM) ユーザーに対して MFA が有効になっているかを確認することにより、AWS クラウド内のリソースへのアクセスを管理します。MFA は、サインイン認証情報に加えて更なる保護手段を追加します。ユーザーに MFA を要求することで、アカウントが侵害されるインシデントを減らし、権限のないユーザーが機密データにアクセスできないようにすることができます。
164.312 (d)	(d) 標準: 個人またはエンティティの認証電子的に保護された健康情報へのアクセスを求めている個人またはエンティティが、主張されるとおりのものであることを確認する手順を実装します。	root-account-hardware-mfa-enabled	ルートユーザーに対してハードウェア MFA を有効にすることで、AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。MFA は、サインイン認証情報に更なる保護手段を追加します。ルートユーザーに MFA を要求することにより、AWS アカウントが侵害されるインシデントを減らすことができます。
164.312 (d)	(d) 標準: 個人またはエンティティの認証電子的に保護された健康情報へのアクセスを求めている個人またはエンティティが、主張されるとおりのものであることを確認する手順を実装します。	root-account-mfa-enabled	ルートユーザーに対して MFA を有効にすることにより、AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウントのユーザーです。MFA は、サインイン認証情報に更なる保護手段を追加します。ルートユーザーに MFA を要求することにより、AWS アカウントが侵害されるインシデントを減らすことができます。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	alb-http-to-https-redirection-check	転送中のデータを保護するため、暗号化されていない HTTP リクエストを Application Load Balancer が HTTPS に自動的にリダイレクトするようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	api-gw-ssl-enabled	Amazon API Gateway REST API ステージで SSL 証明書を設定して、バックエンドシステムが API Gateway からのリクエストを認証できるようにします。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	elasticsearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	elb-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。AWS Certificate Manager を使用して、AWS のサービスと内部リソースによってパブリックおよびプライベートの SSL/TLS 証明書を管理、プロビジョニング、およびデプロイします。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	elb-predefined-security-policy-ssl-check	転送中のデータを保護するため、Classic Elastic Load Balancing のリスナーがカスタムセキュリティポリシーを使用していることを確認します。Elastic Load Balancing には、クライアントとロードバランサーの間に接続が確立されたときに SSL ネゴシエーションに使用される定義済み SSL ネゴシエーション設定があります。SSL ネゴシエーション設定は幅広いクライアントとの互換性を提供し、暗号という強力な暗号アルゴリズムを使用します。このルールでは、SSL リスナーにカスタムセキュリティポリシーを設定する必要があります。デフォルトのセキュリティポリシーは ELBSecurityPolicy-TLS-1-2-2017-0 です。実際の値には、組織のポリシーを反映する必要があります。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	elb-tls-https-listeners-only	Elastic Load Balancing (ELB) が、SSL または HTTPS リスナーを使用して設定されるようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	redshift-require-tls-ssl	Amazon Redshift クラスターで、SQL クライアントに接続するために TLS/SSL 暗号化が必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	s3-bucket-ssl-requests-only	転送中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで、Secure Sockets Layer (SSL) を使用するためのリクエストが必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	dms-replication-not-public	DMS レプリケーションインスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。DMS レプリケーションインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	ebs-snapshot-public-restorable-check	EBS スナップショットがパブリックで復元されないようにすることにより、AWS クラウドへのアクセスを管理します。EBS ボリュームスナップショットには機密情報が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	ec2-instance-no-public-ip	Amazon Elastic Compute Cloud (Amazon EC2) インスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。Amazon EC2 インスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	elasticsearch-in-vpc-only	Amazon OpenSearch Service (OpenSearch Service) のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイスや VPN 接続なしで、OpenSearch Service と他のサービス間に Amazon VPC 内で安全な通信ができるようになります。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	emr-master-no-public-ip	Amazon EMR クラスターマスターノードにパブリックにアクセスできないようにすることにより、AWS クラウドへのアクセスを管理します。Amazon EMR クラスターのマスターノードには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	ec2-instances-in-vpc	Amazon Virtual Private Cloud (Amazon VPC) 内に Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを展開し、Amazon VPC 内でのインスタンスとサービス間の安全な通信を、インターネットゲートウェイ、NAT デバイス、VPN 接続を必要とせず可能にします。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。Amazon EC2 インスタンスを Amazon VPC に割り当て、アクセスを適切に管理します。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	internet-gateway-authorized-vpc-only	インターネットゲートウェイが、認可された Amazon Virtual Private Cloud (Amazon VPC) にのみアタッチされるようにして、AWS クラウドのリソースへのアクセスを管理します。インターネットゲートウェイは、Amazon VPC との間の双方向インターネットアクセスを可能にしますが、これにより Amazon VPC リソースへの不正アクセスが発生する可能性があります。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	lambda-function-public-access-prohibited	AWS Lambda 関数へのパブリックアクセスができないようにして、AWS クラウドのリソースへのアクセスを管理します。パブリックアクセスにより、リソースの可用性の低下を招く可能性があります。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	no-unrestricted-route-to-igw	Amazon EC2 ルートテーブルで、インターネットゲートウェイへの無制限のルートがないことを確認します。Amazon VPC 内のワークロードのインターネットへのアクセスを削除または制限すると、環境内の意図しないアクセスを減らすことができます。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	rds-instance-public-access-check	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	rds-snapshots-public-prohibited	Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報と原則が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	redshift-cluster-public-access-check	Amazon Redshift クラスターが公開されないようにすることで、AWS クラウドのリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	restricted-common-ports	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。ポートへのアクセスを信頼できるソースに制限しなければ、システムの可用性、完全性、機密性に対する脅威を招く可能性があります。このルールでは、blockedPort1 - blockedPort5 パラメータを必要に応じて設定できます (Config デフォルト: 20、21、3389、3306、4333)。実際の値には、組織のポリシーを反映する必要があります。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	restricted-ssh	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスの管理ができます。リソースで 0.0.0.0/0 からポート 22 への入力 (またはリモート) トラフィックを許可しないようにすることで、リモートアクセスを制限できます。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	s3-account-level-public-access-blocks-periodic	Amazon Simple Storage Service (Amazon S3) バケットにパブリックにアクセスできないようにすることで、AWS クラウドのリソースへのアクセスを管理します。このルールは、パブリックアクセスを防止することで、権限のないリモートユーザーから機密データを保護するのに役立ちます。このルールでは、ignorePublicAcls (Config デフォルト: True)、blockPublicPolicy (Config デフォルト: True)、blockPublicAcls (Config デフォルト: True)、および restrictPublicBuckets (Config デフォルト: True) の各パラメータを必要に応じて設定できます。実際の値には、組織のポリシーを反映する必要があります。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	s3-bucket-public-read-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	s3-bucket-public-write-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	sagemaker-notebook-no-direct-internet-access	Amazon SageMaker ノートブックがインターネットからの直接アクセスを許可しないことにより、AWS クラウド内のリソースへのアクセスを管理します。インターネットからの直接アクセスを防止することで、権限のないユーザーが機密データにアクセスするのを防ぐことができます。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	ssm-document-not-public	AWS Systems Manager (SSM) ドキュメントへの意図しないアクセスが許可される可能性があるため、SSM ドキュメントが公開されていないことを確認します。パブリック SSM ドキュメントにより、お客様のアカウント、リソース、内部プロセスに関する情報が公開される可能性があります。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	subnet-auto-assign-public-ip-disabled	Amazon Virtual Private Cloud (Amazon VPC) サブネットにパブリック IP アドレスが自動的に割り当てられないようにすることで、AWS クラウドへのアクセスを管理します。この属性が有効になっているサブネットで起動される Amazon Elastic Compute Cloud (EC2) インスタンスでは、プライマリネットワークインターフェイスにパブリック IP アドレスが割り当てられています。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	alb-waf-enabled	ウェブアプリケーションを保護するため、Elastic Load Balancing (ELB) で AWS WAF が有効になっていることを確認します。WAF は、一般的なウェブの脆弱性からウェブアプリケーションや API を保護するのに役立ちます。これらのウェブの脆弱性は、お客様の環境で可用性に影響を与えたり、セキュリティを侵害したり、リソースを過剰に消費したりする可能性があります。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	api-gw-associated-with-waf	AWS WAF では、お客様が定義するカスタマイズ可能なウェブセキュリティルールと条件に基づいて、ウェブリクエストを許可、ブロック、またはカウントする一連のルール (ウェブアクセスコントロールリストまたはウェブ ACL と呼ばれる) を設定することができます。Amazon API Gateway のステージが WAF のウェブ ACL に関連付けられ、悪意のある攻撃から保護されていることを確認します。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	vpc-default-security-group-closed	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスを管理できます。デフォルトのセキュリティグループ上のすべてのトラフィックを制限すると、AWS リソースへのリモートアクセスを制限することができます。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	vpc-sg-open-only-to-authorized-ports	Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。信頼できるソースへのポートに対するアクセスを制限しないと、システムの可用性、完全性、機密性に対する攻撃を招く可能性があります。インターネットからのセキュリティグループ内のリソースへのアクセスを制限することで (0.0.0.0/0)、内部システムへのリモートアクセスをコントロールできます。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	autoscaling-launch-config-public-ip-disabled	パブリック IP アドレスを使用してネットワークインターフェイスを設定すると、それらのネットワークインターフェイスに関連付けられたリソースにインターネットからアクセスできます。EC2 リソースが、アプリケーションやサーバーへの意図しないアクセスを許可する可能性があるため、パブリックにアクセスできないようにする必要があります。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	opensearch-https-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	opensearch-in-vpc-only	Amazon OpenSearch Service のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の Amazon OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイス、そして VPN 接続を必要とせずに、Amazon OpenSearch と Amazon VPC 内にある他のサービスの間での安全な通信が可能になります。
164.312 (e)(1)	(e)(1) 標準: 転送のセキュリティ電子的な通信ネットワークを介して転送される電子的に保護された医療情報を、不正アクセスから保護するための技術的なセキュリティ対策を実装します。	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(i)	(i) 完全性の管理 (アドレス指定可能) 電子的に送信される電子的に保護された医療情報が、破棄されるまで、発見され不適切に変更されないようにするためのセキュリティ対策を実装します。	alb-http-to-https-redirection-check	転送中のデータを保護するため、暗号化されていない HTTP リクエストを Application Load Balancer が HTTPS に自動的にリダイレクトするようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(i)	(i) 完全性の管理 (アドレス指定可能) 電子的に送信される電子的に保護された医療情報が、破棄されるまで、発見され不適切に変更されないようにするためのセキュリティ対策を実装します。	api-gw-ssl-enabled	Amazon API Gateway REST API ステージで SSL 証明書を設定して、バックエンドシステムが API Gateway からのリクエストを認証できるようにします。
164.312 (e)(2)(i)	(i) 完全性の管理 (アドレス指定可能) 電子的に送信される電子的に保護された医療情報が、破棄されるまで、発見され不適切に変更されないようにするためのセキュリティ対策を実装します。	elasticsearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(i)	(i) 完全性の管理 (アドレス指定可能) 電子的に送信される電子的に保護された医療情報が、破棄されるまで、発見され不適切に変更されないようにするためのセキュリティ対策を実装します。	elb-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。AWS Certificate Manager を使用して、AWS のサービスと内部リソースによってパブリックおよびプライベートの SSL/TLS 証明書を管理、プロビジョニング、およびデプロイします。
164.312 (e)(2)(i)	(i) 完全性の管理 (アドレス指定可能) 電子的に送信される電子的に保護された医療情報が、破棄されるまで、発見され不適切に変更されないようにするためのセキュリティ対策を実装します。	elb-predefined-security-policy-ssl-check	転送中のデータを保護するため、Classic Elastic Load Balancing のリスナーがカスタムセキュリティポリシーを使用していることを確認します。Elastic Load Balancing には、クライアントとロードバランサーの間に接続が確立されたときに SSL ネゴシエーションに使用される定義済み SSL ネゴシエーション設定があります。SSL ネゴシエーション設定は幅広いクライアントとの互換性を提供し、暗号という強力な暗号アルゴリズムを使用します。このルールでは、SSL リスナーにカスタムセキュリティポリシーを設定する必要があります。デフォルトのセキュリティポリシーは ELBSecurityPolicy-TLS-1-2-2017-0 です。実際の値には、組織のポリシーを反映する必要があります。
164.312 (e)(2)(i)	(i) 完全性の管理 (アドレス指定可能) 電子的に送信される電子的に保護された医療情報が、破棄されるまで、発見され不適切に変更されないようにするためのセキュリティ対策を実装します。	elb-tls-https-listeners-only	Elastic Load Balancing (ELB) が、SSL または HTTPS リスナーを使用して設定されるようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(i)	(i) 完全性の管理 (アドレス指定可能) 電子的に送信される電子的に保護された医療情報が、破棄されるまで、発見され不適切に変更されないようにするためのセキュリティ対策を実装します。	redshift-require-tls-ssl	Amazon Redshift クラスターで、SQL クライアントに接続するために TLS/SSL 暗号化が必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(i)	(i) 完全性の管理 (アドレス指定可能) 電子的に送信される電子的に保護された医療情報が、破棄されるまで、発見され不適切に変更されないようにするためのセキュリティ対策を実装します。	s3-bucket-ssl-requests-only	転送中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで、Secure Sockets Layer (SSL) を使用するためのリクエストが必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(i)	(i) 完全性の管理 (アドレス指定可能) 電子的に送信される電子的に保護された医療情報が、破棄されるまで、発見され不適切に変更されないようにするためのセキュリティ対策を実装します。	opensearch-https-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
164.312 (e)(2)(i)	(i) 完全性の管理 (アドレス指定可能) 電子的に送信される電子的に保護された医療情報が、破棄されるまで、発見され不適切に変更されないようにするためのセキュリティ対策を実装します。	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	alb-http-to-https-redirection-check	転送中のデータを保護するため、暗号化されていない HTTP リクエストを Application Load Balancer が HTTPS に自動的にリダイレクトするようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	api-gw-ssl-enabled	Amazon API Gateway REST API ステージで SSL 証明書を設定して、バックエンドシステムが API Gateway からのリクエストを認証できるようにします。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	cloud-trail-encryption-enabled	機密データが含まれている可能性があるため、AWS CloudTrail の証跡で暗号化を有効にして、保管中のデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	ec2-ebs-encryption-by-default	保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	efs-encrypted-check	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic File System (EFS) で暗号化が有効になっていることを確認します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	elasticsearch-encrypted-at-rest	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service (OpenSearch Service) ドメインで暗号化が有効になっていることを確認します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	elasticsearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	elb-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。AWS Certificate Manager を使用して、AWS のサービスと内部リソースによってパブリックおよびプライベートの SSL/TLS 証明書を管理、プロビジョニング、およびデプロイします。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	elb-predefined-security-policy-ssl-check	転送中のデータを保護するため、Classic Elastic Load Balancing のリスナーがカスタムセキュリティポリシーを使用していることを確認します。Elastic Load Balancing には、クライアントとロードバランサーの間に接続が確立されたときに SSL ネゴシエーションに使用される定義済み SSL ネゴシエーション設定があります。SSL ネゴシエーション設定は幅広いクライアントとの互換性を提供し、暗号という強力な暗号アルゴリズムを使用します。このルールでは、SSL リスナーにカスタムセキュリティポリシーを設定する必要があります。デフォルトのセキュリティポリシーは ELBSecurityPolicy-TLS-1-2-2017-0 です。実際の値には、組織のポリシーを反映する必要があります。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	elb-tls-https-listeners-only	Elastic Load Balancing (ELB) が、SSL または HTTPS リスナーを使用して設定されるようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	encrypted-volumes	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	rds-snapshot-encrypted	Amazon Relational Database Service (Amazon RDS) スナップショットで、暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	rds-storage-encrypted	保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDS インスタンスには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、clusterDbEncrypted (Config デフォルト: TRUE) と loggingEnabled (Config デフォルト:TRUE) の値が設定されている必要があります。実際の値には、組織のポリシーを反映する必要があります。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	redshift-require-tls-ssl	Amazon Redshift クラスターで、SQL クライアントに接続するために TLS/SSL 暗号化が必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	s3-bucket-server-side-encryption-enabled	保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	s3-bucket-ssl-requests-only	転送中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで、Secure Sockets Layer (SSL) を使用するためのリクエストが必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	s3-default-encryption-kms	Amazon Simple Storage Service (Amazon S3) バケットで、暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、保管中のデータの暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	sagemaker-endpoint-configuration-kms-key-configured	保管中のデータを保護するため、SageMaker エンドポイントで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker エンドポイントには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	sagemaker-notebook-instance-kms-key-configured	保管中のデータを保護するため、SageMaker ノートブックで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker ノートブックには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	sns-encrypted-kms	保管中のデータを保護するため、Amazon Simple Notification Service (Amazon SNS) トピックで AWS Key Management Service (AWS KMS) を使用する暗号化が必要かどうかを確認します。公開されたメッセージには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	secretsmanager-using-cmk	保管中のデータを保護するため、AWS Secrets Manager のシークレットに対して AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。保管中の Secrets Manager のシークレットに機密データが存在する可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	elbv2-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。AWS Certificate Manager を使用して、AWS のサービスと内部リソースによってパブリックおよびプライベートの SSL/TLS 証明書を管理、プロビジョニング、およびデプロイします。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	opensearch-encrypted-at-rest	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	opensearch-https-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.312 (e)(2)(ii)	(ii) 暗号化 (アドレス指定可能) 電子的に保護された医療情報が、適切と判断された場合に必ず暗号化されるメカニズムを実装します。	kinesis-stream-encrypted	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Kinesis Streams で暗号化が有効になっていることを確認します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	cloud-trail-encryption-enabled	機密データが含まれている可能性があるため、AWS CloudTrail の証跡で暗号化を有効にして、保管中のデータを保護します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	ec2-ebs-encryption-by-default	保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	elasticsearch-encrypted-at-rest	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service (OpenSearch Service) ドメインで暗号化が有効になっていることを確認します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	elasticsearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	elb-tls-https-listeners-only	Elastic Load Balancing (ELB) が、SSL または HTTPS リスナーを使用して設定されるようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	encrypted-volumes	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	opensearch-encrypted-at-rest	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	opensearch-https-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	rds-snapshot-encrypted	Amazon Relational Database Service (Amazon RDS) スナップショットで、暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	rds-storage-encrypted	保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDS インスタンスには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	redshift-cluster-public-access-check	Amazon Redshift クラスターが公開されないようにすることで、AWS クラウドのリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	redshift-require-tls-ssl	Amazon Redshift クラスターで、SQL クライアントに接続するために TLS/SSL 暗号化が必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	s3-bucket-public-read-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	s3-bucket-public-write-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	s3-bucket-server-side-encryption-enabled	保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	s3-bucket-ssl-requests-only	転送中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで、Secure Sockets Layer (SSL) を使用するためのリクエストが必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	s3-default-encryption-kms	Amazon Simple Storage Service (Amazon S3) バケットで、暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、保管中のデータの暗号化を有効にしてデータを保護します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	sagemaker-endpoint-configuration-kms-key-configured	保管中のデータを保護するため、SageMaker エンドポイントで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker エンドポイントには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(1)	(b)(1) 標準: グループ健康保険の要件保険の管理者に開示された唯一の電子的な保護対象保健情報が § 164.504(f)(1)(ii) または (iii) に従って開示されている場合、または § 164.508 で許可されているために開示されている場合を除き、グループ健康保険では、グループ健康保険の業務として保険の管理者によって作成、受領、維持、送信、または受信された電子的な保護対象保健情報を保険の管理者が合理的かつ適切に保護することを、保険のドキュメントに必ず規定する必要があります。	sagemaker-notebook-instance-kms-key-configured	保管中のデータを保護するため、SageMaker ノートブックで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker ノートブックには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	cloud-trail-encryption-enabled	機密データが含まれている可能性があるため、AWS CloudTrail の証跡で暗号化を有効にして、保管中のデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	ec2-ebs-encryption-by-default	保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	elasticsearch-encrypted-at-rest	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service (OpenSearch Service) ドメインで暗号化が有効になっていることを確認します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	elasticsearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	elb-tls-https-listeners-only	Elastic Load Balancing (ELB) が、SSL または HTTPS リスナーを使用して設定されるようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	encrypted-volumes	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	opensearch-encrypted-at-rest	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	opensearch-https-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	rds-snapshot-encrypted	Amazon Relational Database Service (Amazon RDS) スナップショットで、暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	rds-storage-encrypted	保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDS インスタンスには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	redshift-cluster-public-access-check	Amazon Redshift クラスターが公開されないようにすることで、AWS クラウドのリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	redshift-require-tls-ssl	Amazon Redshift クラスターで、SQL クライアントに接続するために TLS/SSL 暗号化が必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	s3-bucket-public-read-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	s3-bucket-public-write-prohibited	権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	s3-bucket-server-side-encryption-enabled	保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	s3-bucket-ssl-requests-only	転送中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで、Secure Sockets Layer (SSL) を使用するためのリクエストが必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	s3-default-encryption-kms	Amazon Simple Storage Service (Amazon S3) バケットで、暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、保管中のデータの暗号化を有効にしてデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	sagemaker-endpoint-configuration-kms-key-configured	保管中のデータを保護するため、SageMaker エンドポイントで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker エンドポイントには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(2)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。(ii) § 164.504(f)(2)(iii) によって要求される適切な分離が、合理的かつ適切なセキュリティ対策によってサポートされていることを確認する。(iii) この情報が提供されるすべてのエージェント (下請業者を含む) が、情報を保護するための合理的かつ適切なセキュリティ対策を実施することに同意していることを確認する。(iv) セキュリティインシデントに気付いた場合は、グループ健康保険に報告する。	sagemaker-notebook-instance-kms-key-configured	保管中のデータを保護するため、SageMaker ノートブックで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker ノートブックには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	iam-customer-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) は、アクセス許可や認可に最小特権と職務分離の原則を組み込むことにより、すべての AWS Key Management Service のキーでブロックされたアクションを含むポリシーを制限できます。タスク完了のために必要以上の特権を持つことは、最小特権と職務分離の原則に反する可能性があります。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	iam-inline-policy-blocked-kms-actions	AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、すべての AWS Key Management Service キーでブロックされたアクションを許可するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーでは、再利用可能性、バージョニング、ロールバック、アクセス許可の管理を委任できます。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	iam-policy-no-statements-with-admin-access	AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「」に対して「Action」:「」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	iam-root-access-key-check	ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーが割り当てられていないことを確認することにより、システムとアセットへのアクセスをコントロールできます。root アクセスキーが削除されていることを確認します。代わりにロールベースの AWS アカウントを作成して使用し、最小限の機能の原則を組み込みます。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	iam-user-no-policies-check	このルールにより、AWS Identity and Access Management (IAM) ポリシーがグループまたはロールのみにアタッチされ、システムとアセットへのアクセスがコントロールされるようになります。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	iam-policy-no-statements-with-full-access	IAM アクションが、必要なアクションのみに制限されていることを確認します。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	ecs-task-definition-user-for-host-mode-check	タスク定義に昇格した権限がある場合は、お客様がそれらの設定に特別にオプトインしていることが原因です。このコントロールでは、タスク定義でホストネットワークが有効になっており、お客様が昇格した権限にオプトインしていない場合に、予期しない権限の昇格が発生しないかどうかを確認します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	ecs-containers-readonly-access	Amazon Elastic Container Service (Amazon ECS) コンテナへの読み取り専用アクセスを有効にすると、最小特権のプリンシパルを遵守するのに役立ちます。このオプションにより、明示的な読み取り/書き込み権限がない場合にはコンテナインスタンスのファイルシステムを変更できないため、攻撃ベクトルを減らすことができます。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	s3-bucket-acl-prohibited	このルールでは、アクセスコントロールリスト (ACL) が Amazon S3 バケットのアクセスコントロールに使用されているかどうかを確認します。ACL は、AWS Identity and Access Management (IAM) より前の Amazon S3 バケットのレガシーアクセスコントロールメカニズムです。ベストプラクティスは、ACL の代わりに、IAM ポリシーまたは S3 バケットポリシーを使用して、S3 バケットへのアクセスをより簡単に管理することです。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	iam-password-policy	ID と認証情報は、組織の IAM パスワードポリシーに基づいて発行、管理、検証されます。これらの ID と認証情報は、NIST SP 800-63 および AWS の基本的なセキュリティのベストプラクティス標準で規定されているパスワード強度の要件を満たしています。このルールでは、必要に応じて RequireUppercaseCharacters (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireLowercaseCharacters (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireSymbols (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireNumbers (AWS の基本的なセキュリティのベストプラクティスの値: true)、MinimumPasswordLength (AWS の基本的なセキュリティのベストプラクティスの値: 14)、PasswordReusePrevention (AWS の基本的なセキュリティのベストプラクティスの値: 24)、および MaxPasswordAge (AWS の基本的なセキュリティのベストプラクティスの値: 90) を、IAM パスワードポリシーに設定できます。実際の値には、組織のポリシーを反映する必要があります。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	acm-certificate-expiration-check	X509 証明書が AWS ACM によって発行されるようにすることにより、ネットワークの整合性を保護します。これらの証明書は有効で、期限切れではない必要があります。このルールには、daysToExpiration の値が必要です (AWS の基本的なセキュリティのベストプラクティスの値: 90)。実際の値には、組織のポリシーを反映する必要があります。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	alb-http-to-https-redirection-check	転送中のデータを保護するため、暗号化されていない HTTP リクエストを Application Load Balancer が HTTPS に自動的にリダイレクトするようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	api-gw-ssl-enabled	Amazon API Gateway REST API ステージで SSL 証明書を設定して、バックエンドシステムが API Gateway からのリクエストを認証できるようにします。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	elb-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。AWS Certificate Manager を使用して、AWS のサービスと内部リソースによってパブリックおよびプライベートの SSL/TLS 証明書を管理、プロビジョニング、およびデプロイします。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	elb-predefined-security-policy-ssl-check	転送中のデータを保護するため、Classic Elastic Load Balancing のリスナーがカスタムセキュリティポリシーを使用していることを確認します。Elastic Load Balancing には、クライアントとロードバランサーの間に接続が確立されたときに SSL ネゴシエーションに使用される定義済み SSL ネゴシエーション設定があります。SSL ネゴシエーション設定は幅広いクライアントとの互換性を提供し、暗号という強力な暗号アルゴリズムを使用します。このルールでは、SSL リスナーにカスタムセキュリティポリシーを設定する必要があります。デフォルトのセキュリティポリシーは ELBSecurityPolicy-TLS-1-2-2017-0 です。実際の値には、組織のポリシーを反映する必要があります。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	elb-tls-https-listeners-only	Elastic Load Balancing (ELB) が、SSL または HTTPS リスナーを使用して設定されるようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	s3-bucket-ssl-requests-only	転送中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで、Secure Sockets Layer (SSL) を使用するためのリクエストが必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	elbv2-acm-certificate-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。AWS Certificate Manager を使用して、AWS のサービスと内部リソースによってパブリックおよびプライベートの SSL/TLS 証明書を管理、プロビジョニング、およびデプロイします。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	cloud-trail-encryption-enabled	機密データが含まれている可能性があるため、AWS CloudTrail の証跡で暗号化を有効にして、保管中のデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	ec2-ebs-encryption-by-default	保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	efs-encrypted-check	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic File System (EFS) で暗号化が有効になっていることを確認します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	elasticsearch-encrypted-at-rest	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service (OpenSearch Service) ドメインで暗号化が有効になっていることを確認します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	elasticsearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	encrypted-volumes	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	rds-snapshot-encrypted	Amazon Relational Database Service (Amazon RDS) スナップショットで、暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	rds-storage-encrypted	保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDS インスタンスには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	redshift-cluster-configuration-check	保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、clusterDbEncrypted (Config デフォルト: TRUE) と loggingEnabled (Config デフォルト:TRUE) の値が設定されている必要があります。実際の値には、組織のポリシーを反映する必要があります。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	redshift-require-tls-ssl	Amazon Redshift クラスターで、SQL クライアントに接続するために TLS/SSL 暗号化が必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	s3-bucket-server-side-encryption-enabled	保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	s3-default-encryption-kms	Amazon Simple Storage Service (Amazon S3) バケットで、暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、保管中のデータの暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	sagemaker-endpoint-configuration-kms-key-configured	保管中のデータを保護するため、SageMaker エンドポイントで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker エンドポイントには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	sagemaker-notebook-instance-kms-key-configured	保管中のデータを保護するため、SageMaker ノートブックで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker ノートブックには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	sns-encrypted-kms	保管中のデータを保護するため、Amazon Simple Notification Service (Amazon SNS) トピックで AWS Key Management Service (AWS KMS) を使用する暗号化が必要かどうかを確認します。公開されたメッセージには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	dynamodb-autoscaling-enabled	Amazon DynamoDB Auto Scaling は AWS Application Auto Scaling サービスを使用し、ユーザーに代わって、実際のトラフィックパターンに自動的に応答するプロビジョンドスループットキャパシティを調節します。これにより、テーブルまたはグローバルセカンダリインデックスで、プロビジョンされた読み取りおよび書き込みの容量が拡張され、トラフィックの急激な増加をスロットリングなしで処理できるようになります。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	dynamodb-pitr-enabled	このルールを有効にして、情報がバックアップされているかどうかをチェックします。また、Amazon DynamoDB でポイントインタイムリカバリが有効になっているかどうかを確認することで、バックアップを維持します。リカバリによって、過去 35 日間のテーブルの継続的なバックアップが維持されます。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	elb-cross-zone-load-balancing-enabled	Elastic Load Balancing (ELB) のクロスゾーン負荷分散を有効にして、十分な容量と可用性を維持します。クロスゾーン負荷分散により、有効な各アベイラビリティーゾーンで同じインスタンス数を維持する必要性が軽減されます。また、1 つ以上のインスタンスの消失を処理するアプリケーションの能力が向上します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	elb-deletion-protection-enabled	このルールにより、Elastic Load Balancing で削除保護が有効になっているかどうかを確認します。この機能を使用すると、ロードバランサーが誤って削除されたり悪意を持って削除されることで、アプリケーションの可用性が失われることを防ぐことができます。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	rds-cluster-deletion-protection-enabled	Amazon Relational Database Service (Amazon RDS) インスタンスで、削除保護が有効になっていることを確認します。削除保護を使用すると、Amazon RDS インスタンが誤って削除されたり、悪意を持って削除されることでアプリケーションの可用性が失われることを防ぐことができます。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	rds-multi-az-support	Amazon Relational Database Service (Amazon RDS) のマルチ AZ のサポートにより、データベースインスタンスの可用性と耐久性が強化されます。マルチ AZ のデータベースインスタンスをプロビジョニングすると、Amazon RDS はプライマリデータベースのインスタンスを自動的に作成し、別のアベイラビリティーゾーンのスタンバイインスタンスにデータを同期的にレプリケートします。各アベイラビリティーゾーンは、物理的に独立した独自のインフラストラクチャで実行されますが、高度な信頼性を実現できるよう設計されています。インフラストラクチャに障害が発生した場合、Amazon RDS ではスタンバイへの自動フェイルオーバーが実行されるため、フェイルオーバーが完了するとすぐにデータベース運用を再開できます。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	s3-bucket-default-lock-enabled	Amazon Simple Storage Service (Amazon S3) バケットで、デフォルトでロックが有効になっていることを確認します。S3 バケットには機密データが含まれている可能性があるため、保管時にオブジェクトロックを適用してデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	vpc-vpn-2-tunnels-up	冗長な Site-to-Site VPN トンネルを実装することで、回復性の要件を満たすことができます。2 つのトンネルを使用することで、Site-to-Site VPN 接続の 1 つが使用できなくなった場合の接続を確保します。カスタマーゲートウェイが使用できなくなった場合に接続が失われるのを防ぐために、2 つ目のカスタマーゲートウェイを使用して Amazon Virtual Private Cloud (Amazon VPC) および仮想プライベートゲートウェイへの 2 つ目の Site-to-Site VPN 接続を設定できます。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	no-unrestricted-route-to-igw	Amazon EC2 ルートテーブルで、インターネットゲートウェイへの無制限のルートがないことを確認します。Amazon VPC 内のワークロードのインターネットへのアクセスを削除または制限すると、環境内の意図しないアクセスを減らすことができます。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	opensearch-encrypted-at-rest	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	opensearch-https-required	機密データが含まれている可能性があるため、転送中のデータを保護するために Amazon OpenSearch Service ドメインへの接続で HTTPS が有効になっていることを確認します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	opensearch-in-vpc-only	Amazon OpenSearch Service のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の Amazon OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイス、そして VPN 接続を必要とせずに、Amazon OpenSearch と Amazon VPC 内にある他のサービスの間での安全な通信が可能になります。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	opensearch-node-to-node-encryption-check	Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。
164.314(b)(2)(i)	(2) 実装仕様 (必須) グループ健康保険の保険ドキュメントは、保険の管理者に次のことを要求する規定を組み込むように修正する必要があります。(i) 保険の管理者がグループ健康保険の業務として作成、受領、維持、または送信する電子的な保護対象保健情報の機密性、完全性、および可用性を合理的かつ適切に保護する管理的、物理的、および技術的な保護手段を実施する。	kinesis-stream-encrypted	機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Kinesis Streams で暗号化が有効になっていることを確認します。

テンプレート

テンプレートは、GitHub の「Operational Best Practices for HIPAA Security」で入手できます。

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

GxP EU Annex 11 に関する運用上のベストプラクティス

IRS 1075 に関する運用上のベストプラクティス

「HIPAA Security」 の運用のベストプラクティス

テンプレート

「HIPAA Security」の運用のベストプラクティス