AWS Europe (London) リージョンは、英国のPolice-Assured Secure Facilities（PASF）認定を2026年も更新しました。Police Digital Service（PDS）が更新を確認した日は、2026年5月28日です。

英国の法執行機関にとっては、PASFを必要とするワークロードをロンドンリージョンで継続するための大切な更新です。ただし、「PASF認定済みリージョン」という言葉だけで、そこで動くシステム全体が適合済みと判断してよいのでしょうか。

結論を先に置くと、PASFが確かめる施設レイヤーと、利用組織が担うデータ・ID・アプリケーションの管理策は分けて考える必要があります。その境界が分かると、今回の更新を移行ニュースではなく、継続的な保証の材料として読めます。

PASF監査が保証するのはロンドンリージョンの施設レイヤー

PASFは、警察が保有するデータや警察業務で使う情報を置く場所・施設をリスク評価する仕組みです。PDSのThird Party Assurance for Policing（TPAP）の説明では、セキュリティに関する質問群、現地検査、施設の所有者または管理者への監査インタビューで構成されるとしています。

評価の目的には、現地のセキュリティ、事業継続性、所有関係、施設所有者・管理者のセキュリティ態勢を把握することが含まれます。つまり、単なる書面確認ではなく、警察データを置く物理的な基盤を対象にした保証です。

AWSの一般資料では、Europe (London) はリージョンコード eu-west-2、3つのAvailability Zoneを持つリージョンとして掲載されています。ただし、AWS Regionsの一覧はリージョン構成を示す資料であり、PASFの対象施設や個別コントロールを示す監査証跡ではありません。公開された更新記事も対象施設を列挙していないため、契約や審査で正確な範囲が必要なら確認書まで見る必要があります。

OFFICIAL-SENSITIVEは「このシステムなら一律に扱える」という認証ラベルではない

今回の認定はOfficial-Sensitiveデータを対象にしています。ここでのSENSITIVEは独立した分類階層ではなく、OFFICIALに付ける取扱上の注意表示です。GOV.UKのガイダンスは、情報を取り巻くリスクに応じた対策が必要であり、すべての機微情報を同じように扱うべきではないと説明しています。

同ガイダンスはさらに、システムを一括して「OFFICIAL-SENSITIVEに適する」と保証するものを探すのではなく、手続き・要員の管理策を整え、アクセス制御や監査ログなどの技術的管理策も含めてリスクベースで判断するよう求めています。PASF認定は重要な土台ですが、それだけで個々のシステムの取扱判断が完了するわけではない、と分かります。

PASFとAWS共有責任モデルを重ねると残る作業が見える

AWS共有責任モデルでは、AWSが設備を含むクラウド基盤の保護を担い、利用者は選択したサービスに応じてデータ、権限、OS、アプリケーション、ネットワーク設定などを管理します。物理・環境コントロールは継承できる一方、設定管理やパッチ管理には利用者側の責任も残ります。

このモデルとPASFの施設監査を重ねると、2026年の更新から読み取れることと、読み取れないことを次のように切り分けられます。

観点	2026年PASF更新から読み取れること	利用組織に残る判断
施設・環境	Europe (London) の施設保証が継続した	現行確認書の対象範囲を自組織の要件と照合する
データ・アクセス	認定更新だけでは設計内容は決まらない	データ分類、IAM、暗号化、ログ、共有範囲を設計・証明する
アプリケーション運用	サービスやAPIの変更は告知されていない	OSや依存関係の更新、アプリ設定、運用手順を管理する

これは「認定の価値が小さい」という話ではありません。施設側の管理策を監査証跡として継承できるからこそ、利用組織は自分たちが所有する管理策へ評価を集中できます。境界を曖昧にしないことがポイントですね。

2026年の更新は新機能ではなく2017年から続く保証の継続

Europe (London) は2017年からPASFプログラムの認定を受けています。2024年の更新は2024年5月24日、2025年の更新は2025年5月27日にPDSが確認しており、2026年も継続して再評価された流れです。

そのため、一般的なAWS利用者にコード変更やリージョン移行を求める更新ではありません。読者への直接的な意味が大きいのは、英国法執行機関、そこへサービスを提供する組織、監査でPASFの証跡を必要とする担当者です。

一方で、毎年の確認は「過去に認定されたから現在も同じ」と仮定せず、現行証跡を使う理由にもなります。コンプライアンス文書は一度集めて終わりではなく、設計審査や監査の時点に合った版を参照したいところです。

採用判断ではArtifactの確認書と自組織の管理策を並べる

2026年の確認書はAWS Artifactで提供されます。AWS Artifactの公式ドキュメントでは、コンソールからセキュリティ・コンプライアンス報告書をダウンロードできると説明されています。PASFを要件に含む案件では、公開ブログだけでなく確認書を取得し、対象範囲や審査時点を内部の管理策一覧へひも付けるのが実務的です。

次の順で整理すると、認定を設計判断へ落とし込みやすくなります。

1. 取り扱う情報と組織内ポリシーから、PASFを必要とするワークロードを特定する
2. AWS Artifactの2026年確認書またはPDSへの照会で、使うリージョンと証跡の範囲を確かめる
3. 施設側から継承する管理策と、IAM・暗号化・ログ・アプリ運用など自組織が担う管理策を分ける
4. 未充足の管理策とリスク受容を、システムの保証プロセスへ戻す

施設認定とは別に、PDSはPolice Assured Landing Zone（PALZ）を、セキュリティ・監視・管理サービスを組み合わせたマルチアカウント環境の設計基盤として説明しています。それでも最終ソリューションとの差分について、各組織が独自の保証を行う必要があると明記されています。施設、クラウド基盤、ワークロードの3層を混同しない姿勢はここでも同じです。

PASF更新はクラウド利用判断の土台であって完了条件ではない

2026年のPASF更新が意味するのは、英国の法執行機関が必要とする施設レイヤーの保証を、AWS Europe (London) が継続したことです。PASF対象ワークロードにとって、利用候補を維持する重要な材料になります。

ただし、冒頭の問いへの答えは「認定だけでシステム全体の適合が決まるわけではない」です。現行の確認書で継承可能な範囲を確かめ、OFFICIAL-SENSITIVEのリスクに合わせて、利用組織側のデータ・権限・技術・運用の管理策を完成させる。そこまでつないで初めて、更新情報が実際の採用判断に変わります。

出典

• Title: AWS completes the 2026 Police-Assured Secure Facilities (PASF) audit in Europe (London)
• URL: https://aws.amazon.com/blogs/security/aws-completes-the-2026-police-assured-secure-facilities-pasf-audit-in-europe-london/