NZISM 3.9 の運用上のベストプラクティス (拡張機能)

コンフォーマンスパックは、マネージドルールまたはカスタム AWS Config ルールと AWS Config 修復アクションを使用して、セキュリティ、運用、またはコスト最適化のガバナンスチェックを作成できるように設計された汎用コンプライアンスフレームワークを提供します。サンプルテンプレートとしてのコンフォーマンスパックは、特定のガバナンスまたはコンプライアンス基準を準拠するようには設計されていません。お客様は、本サービスの利用が該当する法的要件および規制要件を満たしているかどうかについて、お客様自身で評価する責任を負います。

以下は、ニュージーランド政府通信セキュリティ局 (GCSB) 情報セキュリティマニュアル (NZISM) 2025-11 バージョン 3.9 と AWS Managed Config ルール間のマッピングの例です。各 Config ルールは、特定の AWS リソースタイプに適用され、1 つ以上の NZISM コントロールに関連付けられます。「ÑZISM」によるコントロールを、複数の Config ルールに関連付けることができます。これらのマッピングに関する詳細およびガイダンスについては、以下の表を参照してください。RESTRICTED 以下に分類される情報の推奨プラクティスまたはベースラインプラクティスを表すコントロールのみがマッピングに含まれます。

このコンフォーマンスパックのサンプルテンプレートは、NZISM フレームワーク内のコントロールへのマッピングを含んでおり、これは、人員、情報および物理的セキュリティの管理に対するニュージーランド政府の期待値を定めた保護セキュリティ要件 (PSR) フレームワークの不可欠な部分です。

このコンフォーマンスパックの Foundation 部分は、シドニーおよびグローバルリージョンにデプロイできます。NZ 移行パートには、ニュージーランドリージョンで現在利用可能な Foundation Config ルールのサブセットが含まれています。Foundation パートは現在、ニュージーランドリージョンにデプロイされません。このコンフォーマンスパックの拡張機能部分をシドニーおよびニュージーランドリージョンにデプロイして、 Foundation および NZ Transition パートで提供される Config ルールを強化できます。

The NZISM is licensed under the Creative Commons Attribution 4.0 New Zealand licence, available at https://creativecommons.org/licenses/by/4.0/。著作権については、「NZISM New Zealand Information Security Manual｜法律、プライバシー、著作権」に記載されています。

テンプレート

            ##################################################################################
            #
            #   Conformance Pack:
            #     Operational Best Practices for NZISM Extension
            #
            #   This conformance pack helps verify compliance with NZISM requirements.
            #
            ##################################################################################

            Resources:
              AlbWafEnabled:
                Condition: checkAlbWafEnabled
                Controls: [ '3562', '4333', '7466' ]
                Type: AWS::Config::ConfigRule
                Properties:
                  ConfigRuleName: alb-waf-enabled
                  Scope:
                    ComplianceResourceTypes:
                      - AWS::ElasticLoadBalancingV2::LoadBalancer
                  Source:
                    Owner: AWS
                    SourceIdentifier: ALB_WAF_ENABLED
                  Description: "MUST 19.1.12.C.01[CID:3562], SHOULD 20.3.7.C.02[CID:4333], MUST 23.4.10.C.01[CID:7466]| Gateway security/Gateways/Configuration of gateways and Data management/Conten..."
              ApiGwAssociatedWithWaf:
                Condition: checkApiGwAssociatedWithWaf
                Controls: [ '3562', '4333', '7466' ]
                Type: AWS::Config::ConfigRule
                Properties:
                  ConfigRuleName: api-gw-associated-with-waf
                  Source:
                    Owner: AWS
                    SourceIdentifier: API_GW_ASSOCIATED_WITH_WAF
                  Description: "MUST 19.1.12.C.01[CID:3562], SHOULD 20.3.7.C.02[CID:4333], MUST 23.4.10.C.01[CID:7466]| Gateway security/Gateways/Configuration of gateways and Data management/Conten..."
              ApiGwCacheEnabledAndEncrypted:
                Condition: checkApiGwCacheEnabledAndEncrypted
                Controls: [ '2082' ]
                Type: AWS::Config::ConfigRule
                Properties:
                  ConfigRuleName: api-gw-cache-enabled-and-encrypted
                  Scope:
                    ComplianceResourceTypes:
                      - AWS::ApiGateway::Stage
                  Source:
                    Owner: AWS
                    SourceIdentifier: API_GW_CACHE_ENABLED_AND_ENCRYPTED
                  Description: "SHOULD 17.1.53.C.04[CID:2082]| Cryptography/Cryptographic Fundamentals/Reducing storage and physical transfer requirements"
              DynamodbInBackupPlan:
                Condition: checkDynamodbInBackupPlan
                Controls: [ '4849' ]
                Type: AWS::Config::ConfigRule
                Properties:
                  ConfigRuleName: dynamodb-in-backup-plan
                  Source:
                    Owner: AWS
                    SourceIdentifier: DYNAMODB_IN_BACKUP_PLAN
                  Description: "MUST 22.1.26.C.01[CID:4849]| Enterprise systems security/Cloud Computing/Backup, Recovery Archiving and Data Remanence"
              EbsInBackupPlan:
                Condition: checkEbsInBackupPlan
                Controls: [ '4849' ]
                Type: AWS::Config::ConfigRule
                Properties:
                  ConfigRuleName: ebs-in-backup-plan
                  Source:
                    Owner: AWS
                    SourceIdentifier: EBS_IN_BACKUP_PLAN
                  Description: "MUST 22.1.26.C.01[CID:4849]| Enterprise systems security/Cloud Computing/Backup, Recovery Archiving and Data Remanence"
              EfsInBackupPlan:
                Condition: checkEfsInBackupPlan
                Controls: [ '4849' ]
                Type: AWS::Config::ConfigRule
                Properties:
                  ConfigRuleName: efs-in-backup-plan
                  Source:
                    Owner: AWS
                    SourceIdentifier: EFS_IN_BACKUP_PLAN
                  Description: "MUST 22.1.26.C.01[CID:4849]| Enterprise systems security/Cloud Computing/Backup, Recovery Archiving and Data Remanence"
              RdsClusterMultiAzEnabled:
                Condition: checkRdsClusterMultiAzEnabled
                Controls: [ '4829' ]
                Type: AWS::Config::ConfigRule
                Properties:
                  ConfigRuleName: rds-cluster-multi-az-enabled
                  Scope:
                    ComplianceResourceTypes:
                      - AWS::RDS::DBCluster
                  Source:
                    Owner: AWS
                    SourceIdentifier: RDS_CLUSTER_MULTI_AZ_ENABLED
                  Description: "MUST 22.1.23.C.01[CID:4829]| Enterprise systems security/Cloud Computing/System Availability"
              RdsInBackupPlan:
                Condition: checkRdsInBackupPlan
                Controls: [ '4849' ]
                Type: AWS::Config::ConfigRule
                Properties:
                  ConfigRuleName: rds-in-backup-plan
                  Source:
                    Owner: AWS
                    SourceIdentifier: RDS_IN_BACKUP_PLAN
                  Description: "MUST 22.1.26.C.01[CID:4849]| Enterprise systems security/Cloud Computing/Backup, Recovery Archiving and Data Remanence"
              RdsMultiAzSupport:
                Condition: checkRdsMultiAzSupport
                Controls: [ '4829' ]
                Type: AWS::Config::ConfigRule
                Properties:
                  ConfigRuleName: rds-multi-az-support
                  Scope:
                    ComplianceResourceTypes:
                      - AWS::RDS::DBInstance
                  Source:
                    Owner: AWS
                    SourceIdentifier: RDS_MULTI_AZ_SUPPORT
                  Description: "MUST 22.1.23.C.01[CID:4829]| Enterprise systems security/Cloud Computing/System Availability"
              S3BucketVersioningEnabled:
                Condition: checkS3BucketVersioningEnabled
                Controls: [ '4849' ]
                Type: AWS::Config::ConfigRule
                Properties:
                  ConfigRuleName: s3-bucket-versioning-enabled
                  Scope:
                    ComplianceResourceTypes:
                      - AWS::S3::Bucket
                  Source:
                    Owner: AWS
                    SourceIdentifier: S3_BUCKET_VERSIONING_ENABLED
                  Description: "MUST 22.1.26.C.01[CID:4849]| Enterprise systems security/Cloud Computing/Backup, Recovery Archiving and Data Remanence"
              S3DefaultEncryptionKms:
                Condition: checkS3DefaultEncryptionKms
                Controls: [ '2082' ]
                Type: AWS::Config::ConfigRule
                Properties:
                  ConfigRuleName: s3-default-encryption-kms
                  Scope:
                    ComplianceResourceTypes:
                      - AWS::S3::Bucket
                  Source:
                    Owner: AWS
                    SourceIdentifier: S3_DEFAULT_ENCRYPTION_KMS
                  Description: "SHOULD 17.1.53.C.04[CID:2082]| Cryptography/Cryptographic Fundamentals/Reducing storage and physical transfer requirements"
              SnsEncryptedKms:
                Condition: checkSnsEncryptedKms
                Controls: [ '4839' ]
                Type: AWS::Config::ConfigRule
                Properties:
                  ConfigRuleName: sns-encrypted-kms
                  Scope:
                    ComplianceResourceTypes:
                      - AWS::SNS::Topic
                  Source:
                    Owner: AWS
                    SourceIdentifier: SNS_ENCRYPTED_KMS
                  Description: "SHOULD 22.1.24.C.04[CID:4839]| Enterprise systems security/Cloud Computing/Unauthorised Access"