金融サービス企業が、SEC Rule 17a-4などの規制要件によりCloudTrail監査ログを7年間WORM（Write Once Read Many：一度書き込んだら変更・削除不可）形式で保存する義務があります。現

Question

金融サービス企業が、SEC Rule 17a-4などの規制要件によりCloudTrail監査ログを7年間WORM（Write Once Read Many：一度書き込んだら変更・削除不可）形式で保存する義務があります。現在ログはS3バケットに保存されていますが、外部監査で「管理者権限を持つユーザーがオブジェクトを削除できる」という脆弱性が指摘されました。規制機関が求める改ざん不可能な証跡として認められる、最も適切な解決策はどれですか？

Accepted Answer

正解: S3 Object LockをComplianceモードで有効化し、7年間の保持期間（Retention Period）を設定する。SEC Rule 17a-4のようなWORM規制要件にはS3 Object LockのComplianceモードが必須です。Complianceモードでは保持期間中はrootユーザーを含む誰も保持設定を短縮・削除できず、規制機関が求めるWORM証明を満たします。

選択肢AのMFA Delete機能は削除時の認証を強化するだけであり、保持期間中の変更・削除を物理的に不可能にするWORM要件は満たしません。

選択肢BのGlacier Vault Lockポリシーもコンプライアンス要件を満たせますが、現行のS3ベースアーキテクチャからの移行コストが発生するため、最適な解決策ではありません。

選択肢CのGovernanceモードでは「s3:BypassGovernanceRetention」権限を持つ管理者ユーザーが保持設定を変更できるため、WORM規制要件を完全には満たせません。

Answer

S3バケットのMFA Delete機能を有効化し、オブジェクトのバージョン削除にはMFAデバイスによる認証を必須とする — MFA Deleteを有効化しても削除時の認証を強化するだけで、改ざん不可能なWORM証跡にはなりません。規制要件を満たしません。

Answer

CloudTrailログをS3バケット経由でAmazon S3 Glacier Vaultにアーカイブし、Vault Lockポリシーでアーカイブの削除を永続的に禁止する — S3 Glacier Vault Lockは有効な選択肢ですが、現行S3アーキテクチャからの移行コストが発生します。同じバケット内で実現する方が簡潔です。

Answer

S3 Object LockをGovernanceモードで有効化し、7年間の保持期間（Retention Period）を設定する — Governanceモードの「s3:BypassGovernanceRetention」権限を持つユーザーが設定変更できるため、SEC Rule 17a-4のWORM要件を満たせません。

解説

解説