ある医療系 SaaS（Software as a Service）企業は、患者データを Amazon RDS（PostgreSQL）、Amazon S3、Amazon DynamoDB に分散して保存しています。HIPAA（Health Insurance Portability and Accountability Act：米国医療情報ポータビリティ・説明責任法）コンプライアンス要件に基づき、以下の暗号化ポリシーを実装する必要があります。 ・暗号化キーを年次で自動ローテーションすること ・セキュリティインシデント発生時に特定テナントのデータへのアクセスを即座に無効化できること ・本番環境と開発環境で異なる暗号化キーを使用すること ・キーの使用状況を監査ログとして記録すること これらの要件をすべて満たす暗号化戦略はどれですか？
AWS KMS CMK は年次自動ローテーション、詳細なキーポリシーによるアクセス制御、AWS CloudTrail によるキー使用の監査ログ記録をサポートします。テナント・環境ごとに個別の CMK を作成することで、侵害発生時に特定テナントのキーを無効化（Disable）してデータへのアクセスを即座に遮断でき、本番・開発環境の分離も実現できます。 選択肢AのAWSマネージドキーはキーポリシーのカスタマイズができず、テナント・環境ごとに個別のキーを作成・管理することができません。インシデント発生時に特定テナントのキーのみを即座に無効化する機能もないため、要件を満たせません。 選択肢CのAWS Secrets Manager はデータベースパスワードなどのシークレット管理に最適化されており、RDS・S3・DynamoDB のデータ暗号化キーを直接制御するサービスではありません。 選択肢DのSSE-S3 は S3 専用の暗号化であり、RDS や DynamoDB には適用できません。またキー管理のコントロールができないため、即座のアクセス無効化要件を満たせません。