ガバナンスとコンプライアンス

アーキテクチャのガバナンス、ポリシー管理、コンプライアンスフレームワーク

Policy as Code と自動化されたガバナンスにより、アーキテクチャが組織、規制、セキュリティの要件を満たすようにします。

アーキテクチャのガバナンス

ガバナンスとは

アーキテクチャのガバナンスは、インフラに関する判断が次の条件を満たすためのプロセスです。

組織の戦略に整合する
規制要件に準拠する
セキュリティとコストのポリシーに従う
運用基準を 支える

ガバナンスが重要な理由

リスク管理 — 高くつく失敗を未然に防ぐ
コンプライアンス — 規制要件を満たす（SOC2、HIPAA、PCI、GDPR）
コスト管理 — コスト最適化ポリシーを適用する
セキュリティ — 一貫したセキュリティ態勢を確保する
運用の卓越性 — 実証済みパターンで標準化する

Policy as Code

アーキテクチャの要件を、自動で適用されるポリシーとして定義します。

ポリシーの例

ポリシー：暗号化を必須にする

All databases must be encrypted at rest.
All data in transit must use TLS 1.3.

ポリシー：高可用性

All databases must be deployed in multi-AZ configuration.
All load balancers must span at least 2 availability zones.

ポリシー：セキュリティグループ

No security groups allowing inbound from 0.0.0.0/0 on port 22 or 3389.
All databases must be in private subnets (not internet-facing).

ポリシー：コスト管理

No instances larger than t3.xlarge without approval.
Maximum database storage of 1TB without approval.
All reserved instances must be 1-year or longer.

ポリシー：タグ

All resources must have:
- owner: name of responsible person
- cost-center: department paying for resource
- environment: prod, staging, dev
- data-classification: public, internal, confidential, restricted

ポリシーの実装

（近日公開：組み込みのポリシーエディターと適用エンジン）

Architecto でポリシーを定義します
組織またはチームに適用します
既存アーキテクチャを自動検証します
新しいアーキテクチャを作成時にチェックします
違反箇所と修正手順が表示されます

コンプライアンスフレームワーク

SOC 2 Type II

セキュリティ、可用性、処理の完全性、機密性、プライバシーに関する統制です。

Architecto が支援する項目:

暗号化（保存時と転送時）
アクセス制御（IAM ポリシー）
監査ログ（CloudTrail、CloudWatch）
変更管理（Infrastructure as Code）
インシデント対応（文書化された手順）

アーキテクチャレビュー:

✓ Data encrypted at rest (AES-256)
✓ Data encrypted in transit (TLS 1.3)
✓ Multi-AZ deployment (availability)
✓ Access controls configured (least privilege)
✓ Audit logging enabled
✓ Backup and recovery tested

HIPAA（医療保険の相互運用性と説明責任に関する法律）

医療データのプライバシーとセキュリティを保護します。

主な要件:

すべての保護対象保健情報（PHI）の暗号化
アクセス制御と認証
全アクセスの監査ログ
バックアップと災害復旧
インシデント対応手順
事業提携者契約

HIPAA 向け Architecto アーキテクチャパターン:

VPC (isolated network)
├─ VPN for healthcare provider access
├─ Encrypted RDS database with encryption keys in AWS KMS
├─ CloudTrail logging all access
├─ VPC Flow Logs for network monitoring
├─ S3 with encryption and versioning for backups
└─ Multi-region disaster recovery

PCI DSS（カード業界のデータセキュリティ基準）

クレジットカードと決済のデータを保護します。

主な要件:

ファイアウォールとネットワーク分割
カード会員データの暗号化
脆弱性スキャン
アクセス制御と認証
監視とログ
定期的なセキュリティテスト

PCI DSS 向け Architecto アーキテクチャパターン:

Internet-Facing Components (DMZ)
├─ WAF (Web Application Firewall)
├─ Load Balancer (all traffic encrypted)

Application Servers (separated segment)
├─ API Gateway with authentication
├─ Encryption for cardholder data (tokenization)
├─ No storage of sensitive card data

Database Servers (isolated)
├─ Never stores card numbers (only tokens)
├─ Encrypted at rest and in transit
├─ Network segmentation (private subnet)
├─ CloudTrail and database audit logs

EU 居住者の個人データを保護します。

主な権利:

アクセス権（本人がデータを請求できる）
消去権（データを削除できる）
データポータビリティー権（標準形式で出力できる）
処理への異議申立権
設計段階からのデータ保護

Architecto での考慮事項:

データ所在地（EU 内で保持する）
データ保持ポリシー（古いデータを削除する）
プライバシー・バイ・デザイン（個人データ収集を最小化する）
同意管理
ベンダーとのデータ処理契約

監視とドリフト検出

ドリフトとは

稼働中のインフラと文書化されたアーキテクチャが異なる状態です。

Designed Architecture:
- 3 EC2 instances behind load balancer
- Multi-AZ database with 2 read replicas
- CloudFront CDN for static assets

Actual Infrastructure:
- 2 EC2 instances (someone manually shut one down)
- Single database with no replicas (maintenance never done)
- No CDN (disabled to debug issue, never re-enabled)

ドリフトの防止

1. Infrastructure as Code

すべてを Terraform・CloudFormation で定義する
適用前に変更をレビュー・承認する
誤操作による変更を防ぐ

2. ドリフト検出 （近日公開）

設計と実環境を定期的に比較する
ドリフト検出時に通知する
自動修正（任意）

3. 変更管理

インフラ変更はすべて CI/CD を通す
手動変更は許可しない、または警告する
全変更の監査証跡
問題検出時の自動ロールバック

監査とコンプライアンスレポート

コンプライアンスレポートの生成

コンプライアンスの文書をエクスポートします。

✓ SOC 2 Readiness Report
✓ HIPAA Compliance Checklist
✓ PCI DSS Gap Analysis
✓ GDPR Compliance Inventory
✓ Custom Policy Compliance

監査証跡

次の完全な履歴を保持します。

アーキテクチャの作成者と変更者
変更内容と日時
承認とレビュー
各段階の分析結果
エクスポートと共有の操作

ドキュメント

必要な文書を自動生成します。

HIPAA・PCI 準拠用のデータフロー図
セキュリティアーキテクチャ文書
事業継続計画
災害復旧ランブック
リスク評価マトリクス

マルチテナントと企業のガバナンス

組織のポリシー

組織全体の標準を設定します。

承認されたクラウドプロバイダー（AWS、GCP、Azure）
承認されたパターンと技術
コスト上限と予算管理
必須タグと命名規則
必須のコンプライアンスフレームワーク

チーム単位のガバナンス

チームは次の方法で組織ポリシーの例外を適用できます。

例外と適用免除
一時承認
期限付きの逸脱

監査とログ

完全な監査証跡:

Organization Level:
- Organization created/modified
- Members added/removed
- Policies created/changed
- Budget alerts triggered

Team Level:
- Architectures created/deleted
- Analysis results
- Shares and exports
- Comments and reviews

User Level:
- Login/logout
- API calls
- Document edits
- Settings changes