金融企業は S3 バケットに保存された顧客の個人情報（PII）が意図せずパブリックにアクセス可能になった場合、5 分以内に自動でプライベートに戻し、セキュリティチームとコンプライアンスチームの両方に通知する必要があります。最も適切な自動化ソリューションはどれですか？
正解： Amazon Macie で PII を含む S3 バケットを識別してタグ付けし、AWS Config ルール s3-bucket-public-read-prohibited でパブリックアクセスを検出する。SSM Automation AWSConfigRemediation-ConfigureS3BucketPublicAccessBlock で修復し、SNS トピックでセキュリティ・コンプライアンスチームに通知する。 選択肢Aは、AWS ConfigはS3バケットのパブリックアクセスブロック設定変更をほぼリアルタイム（5分以内）で検出し、SSM Automation（AWSConfigRemediation-ConfigureS3BucketPublicAccessBlock）による自動修復とSNS通知を組み合わせることで要件を満たせます。MacieでPIIバケットを事前にタグ付けすることでConfigルールのスコープをPIIバケットに限定できます。 選択肢Bは、GuardDuty S3保護は異常アクセスパターン検出が主目的であり、バケット設定変更の即時検出には不向きです。 選択肢Cは、S3イベント通知はオブジェクト操作（PUT/DELETE等）を対象としており、バケットのパブリックアクセスブロック設定変更は検出できません。またCloudWatchアラームはメトリクス監視用途であり、構成変更の検出手段として不適切です。 選択肢Dは、Macieポリシー発見事項（Policy:IAMUser/S3BucketPublic）は検出に数時間の遅延が生じる場合があり、5分以内の要件を安定的に満たせません。