鍵を渡さなくても図面は見られる
点検するには何かをインストールしなければならないと考えがちです。エージェントレスはその逆を行きます。家の中を探る代わりに図面を見ます。読み取り専用の権限ひとつで何が分かるのかを整理しました。
マンションの消防点検を考えてみましょう。点検員が一軒一軒に入ってタンスを開け、引き出しを探ることはありません。代わりに図面を見ます。非常口がどこに通じているか、階段が何段あるか、防火扉がどの壁に付いているか。それだけでも「3階の非常階段の前が塞がっている」と言うことができます。
この記事はその図面の話です。 クラウドセキュリティ点検も、家の中を探らずに図面だけでかなり多くのことが見えます。そのやり方をエージェントレス(agentless、インストールしない方式)と呼びます。
インストールするということは家に人を入れること
普通、点検ツールはエージェントを使います。エージェントはサーバーごとに入れておく小さなプログラムです。中から直接見て外へ知らせる常駐スタッフのようなものです。
推定 中に入っているので当然より多くを見ます。その代わり代償が伴います。サーバーが100台なら100回インストールしなければならず、新しいサーバーが立ち上がるたびにまたインストールしなければなりません。何より他人の家の中で動くプログラムなので、導入を決める側はそれ自体を審査対象と見なします。セキュリティ点検をするためにセキュリティレビューをもう一度受ける構造になります。
図面だけを見る側
事実 SecurityHero RMF は顧客環境に何もインストールしません。読み取り専用の IAM ロールをひとつ接続するだけです。IAM(Identity and Access Management)は AWS で「誰が何をできるか」を定める仕組みです。読み取り専用とは、見ることはできても変更はできない権限という意味です。
事実 そのロールは CloudFormation で作ります。CloudFormation は AWS の設定を文書一枚で作り出す機能です。原文基準で接続からレポートまで10分です。
鍵をコピーして渡すのではありません。図面を閲覧する資格証を渡すことに近いです。
| インストールする方式(エージェント) | インストールしない方式(エージェントレス) | |
|---|---|---|
| 入れるもの | サーバーごとにプログラム | 読み取り専用の権限ひとつ |
| 増えたとき | 新しいサーバーごとに再度 | アカウント単位なのでそのまま |
| 見えるもの | 家の中まで | 図面に書かれた構造 |
| 変更できるか | 権限によって異なる | 変更できない |
どちらが優れているという話ではありません。見ようとしているものが違います。規制の証跡で問われるのはたいてい「部屋の中に何があるか」ではなく**「扉が施錠されているか」**です。それは図面に書かれています。
図面には何が書かれているのか
事実 RMF は Prowler という点検ツールで資産・IAM・ネットワークを洗い出し、EPSS で悪用可能性を評価します。EPSS は第3回で扱った「実際に攻撃に使われる確率」のスコアです。具体的にはこういったものが出てきます。
実際に描かれる図面はこのような姿です。VPC とサブネットが部屋のように分かれ、資産どうしの接続が線でつながります。サーバーの中には一度も入らずに描いた絵です。
| 図面の項目 | 実際に見るもの |
|---|---|
| 部屋の配置 | AWS 資産の自動識別、関係グラフ |
| 出入りのルール | IAM 最小権限分析、MFA を有効にしていないユーザー |
| 廊下と通路 | ネットワークフローの可視化、外部露出経路 |
| 金庫の設定 | S3・EBS・RDS の暗号化、TLS・KMS キー設定 |
推定 逆に図面にないものもはっきりしています。これは設定を読む点検であって、ファイルの中身を覗き込む点検ではありません。「このバケットは暗号化がオフになっている」とは言えても、その中に何が入っているかは、この方式が答える質問ではありません。
それで NIS2 と何の関係があるのか
事実 NIS2 第21条はリスク管理措置を文書として備え、監督機関の監査時に立証するよう求めています。RMF は CIR 2024/2690(EU 実施規則)と ENISA 技術実施ガイドライン(2025.6)を参考に点検結果を対応根拠として整理し、PDF・DOCX で書き出します。
推定 インストールしないという点が、ここでもう一度有利に働きます。審査でよく出る質問が**「その点検自体は安全だったか」**だからです。変更する権限がそもそもなかったという事実は、その質問を短くします。
事実 図面を見たからといって図面を持ち帰ることもありません。スキャン結果とレポートは顧客が指定した S3 バケットに保存され、顧客が所有する KMS キーで暗号化されます。この話は次回の担当です。
押さえておきたいこと
- この記事は法律アドバイスではありません。 「こうすれば NIS2 を遵守できます」は私たちが言えることではありません。適用対象かどうかと義務の範囲は、各国の国内法と監督機関の判断に委ねられています。
- RMF レポートは認証書ではありません。 提出・レビューに使う根拠資料です。認証書の発行、インシデント報告(NIS2 第23条など)、法的代理はここに含まれません。
- 図面が家のすべてではありません。 設定点検で確認できる範囲と、人・手続き・物理セキュリティまで問う規制の範囲は同じではありません。どこまでが技術的証跡のレイヤーなのかは、組織ごとに異なる線引きになります。
シリーズ目次
- EU に商品を売るのになぜセキュリティ書類を出さなければならないのか
- リスク評価という言葉が難しく聞こえる理由
- 直すものが3千個あるが何から手をつけるか
- 何もインストールせずにどうやって点検するのか ← 今読んでいる記事
- 「データが国境を越えません」とはどういう意味か
- 書類ひとつで複数の国に対応する