Audit Manager は、 Google Cloudでのコンプライアンス監査プロセスを簡素化するのに役立つコンプライアンス監査ソリューションです。Audit Manager を使用すると、Compliance Manager または Assured Workloads フレームワーク（プレビュー）を使用して定義した組み込みフレームワークとカスタム フレームワークに対して監査を実行できます。
監査マネージャー には次の機能があります。
- 職務分掌と責任を管理するための推奨事項を示す共有責任マトリックス。
- Google Cloudのコンプライアンス ドキュメント
- ワークロードのコンプライアンス コントロールを評価して、コンプライアンスの状態を把握するための自動コンプライアンス評価。
- コンプライアンス監査の証拠収集。
- ギャップを特定して、生成された違反を修正する。
- 定期的に実行されるように監査をスケジュールする機能（プレビュー）。
監査マネージャー は、任意の Google Cloud組織（プレビュー）、フォルダ、プロジェクトの評価を提供できます。
サポートされているフレームワーク
監査マネージャーは、次の組み込みフレームワークのクラウド コントロールとコントロールに照らし合わせてリソースを評価できます。
Security Command Center Premium または Enterprise のサブスクリプションを購入するか、Assured Workloads を有効にすると、次のようになります。
コンプライアンス マネージャーまたは Assured Workloads フレームワーク（プレビュー）を使用して作成したフレームワーク。
次の組み込みフレームワーク:
古いフレームワークからの移行
2026 年 6 月 30 日より前に監査を実施した場合は、別のフレームワークを使用しました。これらのフレームワークは、監査の実行には使用できなくなりました。次の表は、以前のフレームワークを、コンプライアンス マネージャーまたは Assured Workloads フレームワーク（プレビュー）を使用してデプロイできるフレームワークにマッピングしています。
| 古いフレームワーク | 同等の監査マネージャー フレームワーク | 同等のコンプライアンス マネージャーのフレームワーク | （プレビュー）同等の Assured Workloads フレームワーク |
|---|---|---|---|
| NIST 800-53 Revision 4 | — | NIST 800-53 Revision 5 | NIST 800-53 Revision 5 |
| Google 推奨の AI コントロール | — | —[1] | —[1] |
| SOC2 2017 | SOC2 2017 | SOC2 2017 | SOC2 2017 |
| CIS Controls v8 | — | CIS Critical Security Controls v8 | CIS Critical Security Controls v8 |
| PCI DSS 4.0 | — | PCI DSS v4.0.1 | PCI DSS v4.0.1 |
| Cloud Controls Matrix 4.0 | — | CSA Cloud Controls Matrix v4.0.11 | CSA Cloud Controls Matrix v4.0.11 |
| NIST CSF v1 | — | NIST サイバーセキュリティ フレームワーク 1.1 | NIST サイバーセキュリティ フレームワーク 1.1 |
| CIS Google Cloud Foundation Benchmark 2.0 | — | CIS GCP Foundations Benchmark v3.0 | CIS GCP Foundations Benchmark v3.0 |
| ISO 27001 2022 | — | ISO 27001:2022 | ISO 27001:2022 |
以前のフレームワークを使用して監査を実行した場合は、[評価を表示] ページと、レポートを保存した Cloud Storage バケットで監査レポートを引き続き表示できます。
1 コンプライアンス マネージャーと Assured Workloads の両方のフレームワーク（プレビュー）に、Google おすすめの AI 活用の基本 - Gemini Enterprise Agent Platform の組み込みフレームワークが含まれています。このフレームワークは、以前の Google 推奨の AI コントロール フレームワークの代わりに使用できますが、環境の評価には異なるコントロールが使用されます。
カスタム フレームワーク
2026 年 6 月 30 日より前、監査マネージャーにはカスタム フレームワークを作成できるプレビュー機能がありました。このプレビュー機能を使用してカスタム フレームワークを作成した場合は、カスタム フレームワークに対して監査を実行し、作成したレポートを引き続き表示できます。ただし、カスタム フレームワークの表示や編集はできません。
監査マネージャー の組み込みフレームワークが環境に適用されない場合は、次のオプションを使用できます。
コンプライアンス マネージャーでカスタム フレームワークを作成します。コンプライアンス マネージャーには、組み込みのクラウド コントロールのライブラリが含まれています。必要に応じて、カスタム クラウド コントロールを作成することもできます。このフレームワークを作成したら、Audit Manager または Compliance Manager を使用して環境で監査を実行できます。
Assured Workloads フレームワーク（プレビュー）でカスタム フレームワークを作成します。Assured Workloads フレームワークの組み込みクラウド コントロールには、コンプライアンス マネージャーのクラウド コントロール ライブラリと、規制ワークロードに固有の予防的クラウド コントロールのライブラリが含まれています。必要に応じて、Assured Workloads フレームワークを使用してカスタム クラウド コントロールを作成することもできます。予防コントロールを含むフレームワークを作成した場合、監査マネージャー を使用して環境で監査を実行することしかできません。
コントロールとクラウド コントロール
監査マネージャーのフレームワークには、コントロールとクラウド コントロールが含まれています。次の点を考慮してください。
コントロールは、アセット保護、リスク軽減、ビジネス規制の目標を評価できる一般的な目標です。コントロールは、技術的なクラウド コントロールと技術的でないクラウド コントロールで構成できます。
クラウド制御は、 Google Cloud 環境の特定の構成をチェックするソフトウェア定義の制御です。ほとんどのクラウド コントロールは技術的なものです。たとえば、制御は環境を監査するための規制要件であり、クラウド制御はさまざまな API で Cloud Audit Logs が有効になっていることを確認するための特定のメカニズムです。
フレームワークは、特定の規制基準を満たすのに役立つコントロールとクラウド コントロールのコレクションです。たとえば、監査マネージャー には ISO 27001 2022 のフレームワークが含まれています。クラウド コントロールと技術的なコントロールには、監査中に監査マネージャーが確認して証拠を収集できる 1 つ以上のルールが含まれています。
コントロールとクラウド コントロールの監査方法
監査マネージャー がコントロールまたはクラウド コントロールを監査する方法は、監査マネージャー がコントロールまたはクラウド コントロールを技術的に評価できるかどうかによって異なります。次の点を考慮してください。
Audit Manager が検証のために行う API 呼び出しがないため、一部のコントロールまたはクラウド コントロールでは手動レビューが必要です。たとえば、Google Cloudにないアクセス システムを確認する必要がある場合があります。コントロールまたはクラウド コントロールで手動による確認が必要な場合、監査マネージャー は、確認を完了する必要があることを示すオブザベーションを作成します。技術的な証拠が生成されることがあります。コントロールまたはクラウド コントロールの状態が [省略可: 個別審査が必要] になっています。
一部のコントロールまたはクラウド コントロールは、Google Cloudの特定の値に直接適用されます。たとえば、クラウド制御では、Cloud Storage バケットの CMEK を有効にする必要があります。このシナリオでは、監査マネージャー は API 呼び出しを行って特定の設定を確認できます。返される値は証拠です。監査マネージャー は、証拠が想定されるルールを満たしているかどうかを評価します。監査マネージャーは、証拠と評価を含む観察結果を作成します。コントロールまたはクラウド コントロールの状態は次のいずれかになります。
監査マネージャー が証拠をルールを満たしていると評価した場合、コントロールまたはクラウド コントロールの状態は「準拠」になります。
監査マネージャー が証拠をルール違反と評価した場合、コントロールまたはクラウド コントロールの状態は [違反] になります。複数のルールを含むコントロールまたはクラウド コントロールの場合、いずれかのルールが失敗すると、状態は [失敗] になります。
このプロセス中に監査マネージャーで何らかのエラー（API 呼び出しのタイムアウトなど）が発生した場合、コントロールまたはクラウド コントロールの状態は [スキップ] になります。
監査マネージャーのワークフロー
Audit Manager の大まかなワークフローには、Audit Manager のアクセス権の設定と監査の管理が含まれます。
- 監査マネージャーのアクセス権を設定するには、監査マネージャー管理者（
roles/auditmanager.admin）である必要があります。また、監査対象のリソースを登録する必要があります。 - 監査を管理するには、管理者または監査担当者として次の操作を行います。
- 監査を実施する。
- 監査ステータスを取得します。
- 監査マネージャー の詳細なレポートを表示します。