パブリッククラウドを監査する際には、アイデンティティおよびアクセス管理（IAM）やデータ保護といった領域を確認することが不可欠です。IAMとは、許可されたユーザーのみがクラウドリソースにアクセスできるようにし、そのアクセスが適切に管理・監視されていることを確認することです。これには、ユーザー認証方法、アクセス制御ポリシー、ロールベースのアクセス制御、ユーザーアクティビティ監視1の確認が含まれます。
データ保護も重要な検討事項の一つです。パブリッククラウドに保存されているデータが不正アクセス、侵害、漏洩から保護されていることを確認する必要があります。これには、データ暗号化方法、データのバックアップとリカバリのプロセス、データプライバシーポリシー、関連するデータ保護規制への準拠などが含まれます1。
他のオプションも特定の状況では関連性があるかもしれませんが、パブリッククラウドの監査において、IAMとデータ保護ほど普遍的に適用できるものではありません。ソースコードレビューとハイパーバイザー（オプションB）、パッチ適用と構成（オプションC）、脆弱性管理とサイバーセキュリティレビュー（オプションD）は重要ですが、特定の種類のクラウドサービスや導入モデルに特化しています。参考：
クラウドコンピューティング - IT監査人が本当に知っておくべきこと - ISACA

説明
ISACA CCAK 学習ガイドによれば、監査対象組織の経営陣はクラウド サービスの主要な利害関係者および意思決定者であるため、監査人は監査結果を経営陣に報告する必要があります。
経営陣は、クラウドサービスがコミュニティの要件と期待を満たし、関連する法令を遵守していることを確認する責任を負います。監査人は、クラウドサービスにおける二次的な利害関係者およびサービスプロバイダーであるクラウドサービスプロバイダーにも監査結果を伝達する必要があります。クラウドサービスプロバイダーは、監査人が特定した問題やギャップを認識し、経営陣と協力して解決に努めるべきです。監査人は、クラウドサービスやそのガバナンスに直接関与していない一般の人々、株主、利害関係者に監査結果を報告すべきではありません。監査人は、コミュニティとそのデータの機密性とプライバシーを尊重し、正当な理由がある関係者にのみ監査結果を開示する必要があります。参考文献：ISACA、「Certificate of Cloud Auditing Knowledge (CCAK) Study Guide」（2021年）、971ページ ISACA、「Cloud Auditing Knowledge: Preparing for the CCAK Certificate Exam」（2021年）、36ページ

クラウド サービス プロバイダーとクラウド カスタマー間のサプライ チェーン契約には、少なくとも、契約条件に対する監査、評価、コンプライアンス認証の独立した検証が含まれている必要があります。これは、クラウド サービスには、クラウド プロバイダー、サブプロバイダー、ブローカー、キャリア、監査人など、サプライ チェーンの複数の関係者が関与するためです。各関係者は、クラウド サービスの提供、品質、セキュリティ、コンプライアンスの確保において、それぞれ異なる役割と責任を担う場合があります。そのため、クラウド カスタマーにとって、クラウド プロバイダーとそのサブプロバイダーのパフォーマンスとコンプライアンスを可視化し、保証することが重要です。監査、評価、コンプライアンス認証の独立した検証は、クラウド プロバイダーとそのサブプロバイダーが契約条件を満たすために実装した管理策とプロセスの有効性を評価する手段です。これらの手段は、クラウド カスタマーがサプライ チェーン内のギャップやリスクを特定し、必要に応じて是正措置を講じるのに役立ちます。これは、クラウド コントロール マトリックス (CCM) ドメイン COM-04: 監査保証とコンプライアンスの一部であり、「組織は、適用される規制フレームワーク、契約上の義務、および業界標準への準拠を確認するために、クラウド サービスとデータの監査と評価を実施するためのポリシーと手順を備える必要があります。」と規定されています。12 参照:= CCAK 学習ガイド、第 3 章: クラウド コンプライアンス プログラム、551 ページ、クラウド サービス契約の実用ガイド バージョン 2.02

説明
ISO/IEC 27017:2015 は、ISO/IEC 27002 で規定された関連管理策の追加の実装ガイダンスと、クラウド サービスに特有の実装ガイダンスを備えた追加の管理策を提供することにより、クラウド サービスの提供と使用に適用可能な情報セキュリティ管理策のガイドラインを示す規格です1。 ISO/IEC 27017:2015 は、情報セキュリティ管理システムの国際規格である ISO/IEC 27001 に基づく情報セキュリティ管理システムの実装プロセス内で管理策を選択することを意図しているクラウド サービスの組織が使用できるように設計されています1。 ISO/IEC 27017:2015 は、組織がクラウド環境で情報セキュリティを確立、実装、維持、および継続的に改善し、契約上および法的義務への準拠を実証するのに役立ちます1。
ISO/IEC 27002は、情報セキュリティ管理に関する実践規範であり、情報セキュリティ管理システムの導入、実装、または維持に責任を負う者が活用するための、情報セキュリティ管理に関するベストプラクティスの推奨事項を提供しています2。しかし、ISO/IEC 27002はクラウドサービスに関する具体的なガイダンスを提供していません。そのため、ISO/IEC 27002をクラウドサービス向けに拡張したISO/IEC 27017:2015が開発されました1。
クラウド・セキュリティ・アライアンス（CSA）のクラウド・コントロール・マトリックス（CCM）は、クラウドモデルに適合したセキュリティの概念と原則を組織が詳細に理解できるようにするセキュリティ管理策のセットです。CCMは標準ではなく、クラウドプロバイダーの全体的なセキュリティリスクを評価するために使用できるフレームワークです。CCMは、ISO/IEC 27001やISO/IEC 27002などの他の標準にもマッピングできます。
27017:2015 は、コンプライアンスおよび保証活動を促進するために制定されました。
NIST SP 800-146は、米国国立標準技術研究所（NIST）が発行する規格で、クラウドコンピューティングの概要、その特徴、サービスモデル、導入モデル、メリット、課題、考慮事項について解説しています。NIST SP 800-146は規格ではなく、組織がクラウドコンピューティングの基礎と情報セキュリティへの影響を理解するのに役立つ参考資料です。
NIST SP 800-146は、クラウドサービスに関する具体的なガイダンスや管理策を規定しておらず、クラウドセキュリティに関するより詳細な情報については、ISO/IEC 27001やCSA CCMなどの他の標準規格やフレームワークを参照しています。参考文献：ISO/IEC 27017:2015 - 情報技術 - セキュリティ技術...
ISO/IEC 27017:2015(en)、情報技術 - セキュリティ技術...
ISO 27017認証 - クラウドセキュリティサービス | NQA
ISO/IEC 27017:2015入門 - 6clicks
ISO/IEC 27017:2015 - 情報技術 - セキュリティ技術...
[クラウド コントロール マトリックス | クラウド セキュリティ アライアンス]
[NIST クラウドコンピューティングの概要と推奨事項]