DEAデータのセキュリティとガバナンス
あるヘルスケア企業は患者の診療記録を Amazon DynamoDB に保管しています。HIPAA 監査要件として以下が求められています。
・暗号化キーの使用履歴をすべて記録すること
・コンプライアンス違反発生時には DynamoDB データへのアクセスを即座に無効化できること
・承認されたシステムのみがデータを復号できるようキーポリシーで制限すること
最小の実装でこれらの要件を満たす構成はどれですか？
ADynamoDB テーブルでカスタマーマネージドキー（CMK）を指定し、KMS キーポリシーで承認システムを制限。CMK の無効化でアクセスを即座に遮断する
✓ 正解
CMK を使用することで KMS キーポリシーによる復号許可プリンシパルの制限、CloudTrail による KMS API 使用履歴の自動記録、CMK の無効化によるアクセス即時遮断がすべて実現できます。コードレスで HIPAA が求める 3 要件を同時に満たします。
BDynamoDB テーブルで AWS 所有キー（デフォルト）を使用し、IAM ポリシーで DynamoDB API アクセスを制限してアカウント外への流出を防ぐ
AWS 所有キーはキーポリシーのカスタマイズが不可能で、キー使用履歴の確認や有事のキー無効化を顧客側から実施できません。HIPAA が要求する細粒度のキー制御と即時アクセス遮断の要件を満たせません。
CDynamoDB の AWS マネージドキー（aws/dynamodb）を使用し、CloudTrail データイベントを有効化してすべてのアクセス操作を監査する
AWS マネージドキー（aws/dynamodb）はキーポリシーのカスタマイズができず、AWS が管理するためキーの無効化による即時アクセス遮断も顧客側から実施できません。CloudTrail データイベントによるアクセス記録は可能ですがキー制御要件を満たしません。
Dアプリケーション側で AWS Encryption SDK を使って患者データを暗号化し、暗号化キーを AWS Secrets Manager で管理・ローテーションする
AWS Encryption SDK によるアプリ側暗号化は有効な手段ですが、暗号化・復号ロジックをアプリに実装する必要があり、DynamoDB ネイティブの CMK 暗号化に比べて開発・管理コストが高く最小実装という要件に反します。
解説
カスタマーマネージドキー（CMK）を DynamoDB の暗号化キーに指定すると、KMS キーポリシーで復号を許可するプリンシパルを明示的に制限でき、CloudTrail を通じてすべての KMS API 呼び出し（Decrypt・Encrypt）が自動的に記録されます。コンプライアンス違反発生時には CMK を無効化（disable）するだけで DynamoDB への復号アクセスを即座に遮断できます。
選択肢BのAWS 所有キーは AWS がキーを完全管理するため、顧客側でキーポリシーのカスタマイズ、キー使用履歴の確認、有事のキー無効化が実施できません。
選択肢CのAWS マネージドキー（aws/dynamodb）はキーポリシーのカスタマイズができず、AWS が管理するため顧客側からキーを無効化して即時アクセス遮断を実施することもできません。
選択肢DのAWS Encryption SDK によるアプリ側暗号化は柔軟ですが、DynamoDB ネイティブの CMK 暗号化に比べてアプリケーションコードの実装・管理が必要で運用負荷が増します。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでDEAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →