金融機関が顧客のPII（個人識別情報）をAmazon S3に保存しています。コンプライアンス要件として、①保存データの暗号化、
②暗号化キーの年次ローテーション、
③データアクセスの完全な監査証跡、
④暗号化キーへのアク

Question

金融機関が顧客のPII（個人識別情報）をAmazon S3に保存しています。コンプライアンス要件として、①保存データの暗号化、
②暗号化キーの年次ローテーション、
③データアクセスの完全な監査証跡、
④暗号化キーへのアクセス制御（特定のIAMロールのみ）を満たす必要があります。最もセキュアな構成はどれですか？

Accepted Answer

正解: AWS KMSのCMK（カスタマーマネージドキー）を使用したSSE-KMS暗号化を設定し、KMSキーの自動年次ローテーションを有効化する。CloudTrailでKMS APIコールを記録する。CMKはキーポリシーによるきめ細かいIAMアクセス制御（要件④）、自動年次ローテーション（要件②）、CloudTrailとの統合によるすべてのキー使用の監査ログ（要件③）という4要件すべてを満たします。

選択肢AはSSE-S3を使用するためAWS管理キーとなり、キーへのアクセス制御（要件④）や独自のローテーション制御（要件②）が不可能です。

選択肢CはSSE-S3にMFA削除とAmazon Macieを加えた構成ですが、SSE-S3はAWS管理キーのためキーアクセス制御ができず、MFA削除はデータ削除保護であり暗号化キー管理の要件（②④）を満たしません。

選択肢DのクライアントサイドとSecretsManagerの組み合わせは技術的に要件を満たせますが、実装複雑度と運用負荷が高く、最もセキュアな構成とはいえません。

Answer

S3マネージドキーによるサーバーサイド暗号化（SSE-S3）を使用し、S3バケットポリシーでIAMロールごとのアクセスを制限する — SSE-S3を使用するためAWS管理キーとなり、キーへのアクセス制御（要件④）や独自のローテーション制御（要件②）が不可能です。

Answer

SSE-S3暗号化を使用し、MFA削除を有効化した上でAmazon Macieで機密データの検出・監視を行う — SSE-S3にMFA削除とAmazon Macieを加えた構成ですが、SSE-S3はAWS管理キーのためキーアクセス制御ができず、MFA削除はデータ削除保護であり暗号化キー管理の要件（②④）を満たしません。

Answer

クライアントサイド暗号化を実装し、暗号化キーをAWS Secrets Managerに保存してアプリケーション側で管理する — AWS Secrets Managerにキーを保存するクライアントサイド暗号化は技術的に要件を満たせますが、実装複雑度と運用負荷が高く、最もセキュアな構成とはいえません。

解説

解説