DEAデータのセキュリティとガバナンス
ある金融サービス企業は、SEC規則17a-4(f)に準拠するため、Amazon S3に保存される取引記録を6年間、書き換えも削除もできないWORM形式で保持する義務があります。AWS管理者であっても保持期間中の削除・上書きが禁止される必要があります。最小の運用負荷でこのコンプライアンス要件を満たす最適な構成はどれですか？
AS3 Object Lock をコンプライアンスモードで有効化し、デフォルト保持期間を 6 年に設定する
✓ 正解
S3 Object Lock のコンプライアンスモードは保持期間中、ルートユーザーを含む全プリンシパルによる削除・上書きを禁止します。保持期間の変更・削除も不可のため、管理者でも変更不可を要求する SEC 規則 17a-4(f) の WORM 要件を直接満たします。
BS3 バージョニングと MFA Delete を有効化し、バケットポリシーで DeleteObject を Deny する
MFA Delete とバケットポリシーの Deny は有効な削除防止手段ですが、MFA デバイスを持つ管理者やルートアカウントが設定を無効化できるため、管理者を含む全員に対する削除禁止という SEC 規則の要件を満たせません。
CS3 Glacier Deep Archive にデータを移行し、Glacier Vault Lock ポリシーで保持期間を制限する
Glacier Vault Lock は Glacier アーカイブのWORMを実現できますが、既存の S3 データ取り込みフローから Glacier へのデータ移行が必要となり運用負荷が増加します。S3 上のデータを直接 WORM 保護するには S3 Object Lock が適切です。
DAWS Backup でバックアップルールを作成し、保持期間 6 年でバックアップボルトロックを有効化する
AWS Backup のバックアップボルトロックはバックアップコピーの削除保護に機能しますが、元の S3 バケット内のオブジェクトに対する書き換え・削除を防止するWORM機能ではなく、SEC規則が求める要件に直接対応しません。
解説
選択肢Aの S3 Object Lock コンプライアンスモードは、保持期間中はルートユーザーを含む一切のプリンシパルによるオブジェクトの削除・上書きを禁止します。ガバナンスモードと異なり保持期間の短縮や保持設定の削除も不可能なため、SEC 規則 17a-4(f) が求める「管理者でも変更不可の WORM」要件を直接満たします。
選択肢Bの S3 バージョニングと MFA Delete は通常ユーザーの誤削除には有効ですが、MFA デバイスを持つ管理者やルートアカウントが設定を無効化できるため、管理者を含む全員に対する削除禁止の要件を満たしません。
選択肢Cの Glacier Vault Lock は Glacier ストレージの WORM を実現できますが、S3 からのデータ移行が必要となり既存の取り込みパイプラインの変更が発生します。
選択肢Dの AWS Backup のバックアップボルトロックはバックアップコピーの削除保護に限定されており、元の S3 バケット上のオブジェクトを書き換えられないようにする機能ではありません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →