Audit Manager は、 Google Cloudでのコンプライアンス監査プロセスを簡素化するコンプライアンス監査ソリューションです。Audit Manager を使用すると、Compliance Manager または Assured Workloads フレームワーク（プレビュー）を使用して定義した組み込みフレームワークとカスタム フレームワークに対して監査を実行できます。
Audit Manager には次の機能があります。
- 職務分掌と、責任を管理するための推奨事項を示す責任の共有マトリックス。
- Google Cloudのコンプライアンス ドキュメント。
- ワークロードのコンプライアンス管理を評価して、コンプライアンスの状態を把握するための自動コンプライアンス評価。
- コンプライアンス監査のための証拠収集。
- 生成された違反の修正に役立つギャップの特定。
- 監査を定期的に実行するようにスケジュールを設定する機能。
Audit Manager は、任意の Google Cloud組織、フォルダ、プロジェクトの評価を提供できます。
サポートされているフレームワーク
Audit Manager は、次の組み込みフレームワークのクラウド コントロールとコントロールに照らし合わせてリソースを評価できます。
Security Command Center Premium または Enterprise のサブスクリプションを購入するか、Assured Workloads を有効にする場合、次のようになります。
コンプライアンス マネージャーまたは Assured Workloads フレームワーク（プレビュー）を使用して作成したカスタム フレームワーク。
次の組み込みフレームワーク:
- Google おすすめの AI 活用の基本 - Gemini Enterprise Agent Platform [1]
- CIS GCP Foundations Benchmark v3.0
- CIS GKE 1.7 [1]
- CIS Critical Security Controls v8
- CSA Cloud Controls Matrix v4.0.11
- Compute Engine Security Essentials [1]
- GKE Essentials [1]
- ISO 27001:2022
- カタール国家情報保証基準 v2.1
- NIST 800-53 Revision 5
- NIST サイバーセキュリティ フレームワーク 1.1
- PCI DSS v4.0.1
次の組み込みの Assured Workloads フレームワーク:
1 組織レベルで監査を実行する場合、これらのフレームワークは一般提供されています。他のすべてのフレームワークはプレビュー版で利用できます。
古いフレームワークからの移行
2026 年 6 月 30 日より前に監査を実行した場合は、別のフレームワークを使用しています。これらのフレームワークは、監査の実行に使用できなくなりました。次の表に、古いフレームワークと、コンプライアンス マネージャーまたは Assured Workloads フレームワーク（プレビュー）を使用してデプロイできるフレームワークのマッピングを示します。
| 古いフレームワーク | 同等の Audit Manager フレームワーク | 同等のコンプライアンス マネージャー フレームワーク | （プレビュー）同等の Assured Workloads フレームワーク |
|---|---|---|---|
| NIST 800-53 Revision 4 | — | NIST 800-53 Revision 5 | NIST 800-53 Revision 5 |
| Google 推奨の AI コントロール | — | —[2] | —[2] |
| SOC2 2017 | SOC2 2017 | SOC2 2017 | SOC2 2017 |
| CIS Controls v8 | — | CIS Critical Security Controls v8 | CIS Critical Security Controls v8 |
| PCI DSS 4.0 | — | PCI DSS v4.0.1 | PCI DSS v4.0.1 |
| Cloud Controls Matrix 4.0 | — | CSA Cloud Controls Matrix v4.0.11 | CSA Cloud Controls Matrix v4.0.11 |
| NIST CSF v1 | — | NIST サイバーセキュリティ フレームワーク 1.1 | NIST サイバーセキュリティ フレームワーク 1.1 |
| CIS Google Cloud Foundation Benchmark 2.0 | — | CIS GCP Foundations Benchmark v3.0 | CIS GCP Foundations Benchmark v3.0 |
| ISO 27001 2022 | — | ISO 27001:2022 | ISO 27001:2022 |
古いフレームワークを使用して監査を実行した場合は、[評価を表示] ページと、レポートを保存した Cloud Storage バケットで監査レポートを引き続き表示できます。
2 Compliance Manager と Assured Workloads フレームワーク（プレビュー）の両方に、Google おすすめの AI 活用の基本 - Gemini Enterprise Agent Platform の組み込みフレームワークが含まれています。このフレームワークは、以前の Google 推奨の AI コントロール フレームワークの代わりに使用できますが、環境の評価には異なるコントロールを使用します。
カスタム フレームワーク
2026 年 6 月 30 日より前、Audit Manager にはカスタム フレームワークを作成できるプレビュー機能が含まれていました。そのプレビュー機能を使用してカスタム フレームワークを作成した場合は、カスタム フレームワークに対して監査を実行し、作成したレポートを表示できます。ただし、カスタム フレームワークを表示または編集することはできません。
Audit Manager の組み込みフレームワークが環境に適用されない場合は、次のオプションを使用できます。
コンプライアンス マネージャーでカスタム フレームワークを作成します。コンプライアンス マネージャーには、組み込みのクラウド コントロールのライブラリが含まれており、必要に応じてカスタム クラウド コントロールを作成できます。このフレームワークを作成したら、Audit Manager または Compliance Manager を使用して環境で監査を実行できます。
カスタム フレームワークを作成する（Assured Workloads フレームワーク（プレビュー））。Assured Workloads フレームワークの組み込みクラウド コントロールには、クラウド コントロールのコンプライアンス マネージャー ライブラリと、規制ワークロードに固有の予防的なクラウド コントロールのライブラリが含まれています。必要に応じて、Assured Workloads フレームワークを使用してカスタム クラウド コントロールを作成することもできます。予防管理を含むフレームワークを作成する場合は、Audit Manager を使用して環境で監査を実行することしかできません。
コントロールとクラウド コントロール
Audit Manager には、フレームワーク内にコントロールとクラウド コントロールが含まれています。次の点を考慮してください。
コントロールは、資産保護、リスク軽減、ビジネス規制の目標を評価するための一般的な目標です。コントロールは、技術的なクラウド コントロールと非技術的なクラウド コントロールで構成できます。
クラウド コントロールは、 Google Cloud 環境の特定の構成をチェックするソフトウェア定義のコントロールです。ほとんどのクラウド コントロールは技術的なものです。たとえば、コントロールは環境を監査するための規制要件であり、クラウド コントロールはさまざまな API で Cloud Audit Logs が有効になっていることを確認するための特定のメカニズムです。
フレームワークは、特定の規制基準を満たすのに役立つコントロールとクラウド コントロールのコレクションです。たとえば、Audit Manager には ISO 27001 2022 のフレームワークが含まれています。クラウド コントロールと技術的なコントロールには、Audit Manager が監査中にチェックして証拠を収集できる 1 つ以上のルールが含まれています。
コントロールとクラウド コントロールの監査方法
Audit Manager がコントロールまたはクラウド コントロールを監査する方法は、Audit Manager がコントロールまたはクラウド コントロールを技術的に評価できるかどうかによって異なります。次の点を考慮してください。
一部のコントロールまたはクラウド コントロールでは、Audit Manager が検証のために実行できる API 呼び出しがないため、手動レビューが必要です。たとえば、Google Cloudにないアクセス システムの確認を求められる場合があります。コントロールまたはクラウド コントロールで手動レビューが必要な場合、Audit Manager は、レビューを自分で完了する必要があることを示すオブザベーションを作成します。技術的な証拠が生成される可能性があります。コントロールまたはクラウド コントロールの状態が [オプション: 手動確認が必要] である。
一部のコントロールまたはクラウド コントロールは、Google Cloudの特定の値に直接適用されます。たとえば、クラウド コントロールでは、Cloud Storage バケットで CMEK を有効にすることが求められます。このシナリオでは、Audit Manager が API 呼び出しを行って特定の設定を確認できます。返される値はエビデンスです。Audit Manager は、エビデンスが想定されるルールを満たしているかどうかを評価できます。Audit Manager は、証拠と評価を含む観察結果を作成します。コントロールまたはクラウド コントロールの状態は、次のいずれかになります。
Audit Manager がエビデンスをルールに準拠していると評価した場合、コントロールまたはクラウド コントロールの状態はコンプライアンスになります。
Audit Manager が証拠をルールに違反していると評価した場合、コントロールまたはクラウド コントロールの状態は違反になります。複数のルールを含むコントロールまたはクラウド コントロールの場合、いずれかのルールが失敗すると、状態は失敗になります。
このプロセス中に Audit Manager でエラー（API 呼び出しのタイムアウトなど）が発生した場合、コントロールまたはクラウド コントロールの状態は [スキップ] になります。
監査マネージャーのワークフロー
Audit Manager の大まかなワークフローには、Audit Manager へのアクセスの設定と監査の管理が含まれます。
- Audit Manager へのアクセスを設定するには、Audit Manager 管理者（
roles/auditmanager.admin）であり、監査対象のリソースを登録する必要があります。 - 監査を管理するには、管理者または監査者として次の操作を行います。
- 監査をスケジュール設定し、オンデマンド監査を実行する。
- 監査ステータスを取得します。
- 詳細な Audit Manager レポートを表示します。