無限ノック › DEA 練習問題一覧 › 問題DEA データのセキュリティとガバナンス
ある金融機関は、規制当局から取引ログを7年間にわたって変更・削除が一切できない状態（WORM：Write Once Read Many）で保管することを義務付けられています。セキュリティインシデントが発生した場合でも、AWSルートアカウントを含む誰も保持期間を短縮したり、オブジェクトを削除したりできないことが必須要件です。Amazon S3でこの要件を満たすための最も適切な設定はどれですか？
A S3バージョニングを有効化し、MFA Deleteを設定して不正な削除操作を防ぐ
MFA Deleteは削除操作に追加認証を要求しますが、適切なMFAデバイスを持つルートユーザーは依然として削除できるため「誰も削除できない」という絶対的な要件を満たしません。
B S3 Object Lockをガバナンスモードで設定し、保持期間を7年に設定する
ガバナンスモードではs3:BypassGovernanceRetention権限を付与されたIAMユーザーが保持期間をバイパスできるため、絶対的なWORM保証にはなりません。
C S3 Object Lockをコンプライアンスモードで設定し、保持期間を7年に設定する
✓ 正解
S3 Object Lockのコンプライアンスモードでは、設定された保持期間中はAWSルートアカウントを含む誰もオブジェクトを削除・上書きできず、保持期間の短縮も不可能です。最も厳格な規制上のWORM要件に対応しています。
D S3バケットポリシーでs3:DeleteObjectとs3:PutObjectを明示的に拒否し、S3ライフサイクルポリシーによる自動削除を無効にする
バケットポリシーはルートアカウントや十分な権限を持つ管理者によって変更される可能性があり、法的・規制上のWORM要件を確実に満たす保証にはなりません。
解説 S3 Object Lockのコンプライアンスモードでは、設定された保持期間中はAWSルートアカウントを含む誰もオブジェクトを削除・上書きできず、保持期間の短縮も不可能です。最も厳格な規制上のWORM要件に対応しています。
選択肢A の MFA Deleteは削除操作に追加認証を要求しますが、適切なMFAデバイスを持つルートユーザーは依然として削除できるため「誰も削除できない」という絶対的な要件を満たしません。
選択肢B の ガバナンスモードではs3:BypassGovernanceRetention権限を付与されたIAMユーザーが保持期間をバイパスできるため、絶対的なWORM保証にはなりません。
選択肢D の バケットポリシーはルートアカウントや十分な権限を持つ管理者によって変更される可能性があり、法的・規制上のWORM要件を確実に満たす保証にはなりません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →