DEAデータのセキュリティとガバナンス
ある医療保険会社は HIPAA 準拠のため、患者の請求データが格納された Amazon S3 バケットへのすべてのオブジェクトレベル操作（GetObject・PutObject・DeleteObject など）を記録し、1 年間保持する義務があります。CloudTrail はすでに有効ですがデフォルト設定のため S3 オブジェクトへの個別アクセスが記録されていません。最小の変更で監査要件を満たすにはどれですか？
ACloudTrail トレイルのデータイベントに対象 S3 バケットを追加し、ReadWriteType を All に設定して 1 年分のログを S3 に保存する
✓ 正解
CloudTrail のデータイベントを有効化すると S3 オブジェクトへの GetObject・PutObject・DeleteObject が IAM プリンシパル・IP・タイムスタンプとともに記録されます。デフォルトの管理イベントのみの設定に追加するだけで HIPAA が求めるオブジェクトレベル監査を実現できます。
B対象 S3 バケットのサーバーアクセスログを有効化し、出力先バケットのライフサイクルポリシーで 1 年間保持を設定する
S3 サーバーアクセスログはオブジェクトレベルの HTTP リクエストを記録しますが、ベストエフォート配信のためすべての操作の記録が保証されません。HIPAA など法的監査要件には記録の完全性が保証される CloudTrail データイベントが推奨されます。
CAmazon CloudWatch Metrics で S3 の GetRequests・PutRequests を記録し、1 年間のメトリクスデータを保持設定する
CloudWatch Metrics の S3 リクエストメトリクスは集計値（リクエスト総数など）を提供するもので、誰がいつどのオブジェクトにアクセスしたかという個別イベントのログを取得する機能ではありません。
DAWS Config ルール s3-bucket-logging-enabled を適用し、S3 バケットのログ有効化状態を継続的に監視する
AWS Config の s3-bucket-logging-enabled ルールは S3 バケットのサーバーアクセスログが有効かどうかを継続評価するコンプライアンスチェックであり、個々の S3 オブジェクトアクセスイベントを記録する機能を持ちません。
解説
CloudTrail のデータイベントを有効化すると、S3 オブジェクトへの GetObject・PutObject・DeleteObject などの操作が、実行した IAM プリンシパル・IP アドレス・タイムスタンプとともに記録されます。デフォルトの CloudTrail は管理イベント（クラスター作成・ポリシー変更など）のみを記録し、S3 オブジェクトへの個別アクセスは記録しないため、データイベントの追加設定が必要です。
選択肢Bの S3 サーバーアクセスログはオブジェクトレベルの HTTP リクエストを記録しますが、ベストエフォート配信のためすべての操作が必ず記録される保証がなく、HIPAA のような法的要件には CloudTrail データイベントが推奨されます。
選択肢Cの CloudWatch Metrics はリクエスト数などの集計値を記録するもので、特定 IAM ユーザーが特定オブジェクトにアクセスした詳細なイベントログは取得できません。
選択肢Dの AWS Config ルールはバケットのロギング設定の有無を評価するコンプライアンスチェックであり、個々の S3 アクセスイベントを記録する機能ではありません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →