医療機関のシステムを運営する企業が、患者の医療個人情報（PHI: Protected Health Information）をAmazon S3に保存しています。規制上のコンプライアンス要件として以下が定められています： (1) データは企業自身が管理する暗号化キーで保存時に暗号化すること (2) キーの使用履歴がすべて監査ログとして記録されること (3) S3バケットへのアクセス権限とは完全に独立した形で、セキュリティチームがキーへのアクセスを制御できること これらの要件をすべて満たすソリューションはどれですか？
選択肢AのS3 SSE-S3はAWSがキーの生成・管理をすべて担うため、企業が暗号化キーを制御できず、要件(1)「企業自身が管理するキー」と要件(3)「独立した制御」を満たしません。 選択肢BのAWSマネージドキー（aws/s3）を使用したSSE-KMSでは、キーポリシーを利用者が編集できないため、セキュリティチームがS3アクセス権限とは独立してキーへのアクセスを制御する要件(3)を満たすことができません。 選択肢C（CMKを使用したSSE-KMS）はキーポリシーをS3バケットポリシーとは独立して設定でき、セキュリティチームがKMSコンソールから直接アクセス制御できるため要件(3)を満たします。CloudTrailがKMS APIコールを記録するため要件(2)も満たし、カスタマーマネージドキーにより要件(1)も実現できます。 選択肢Dのクライアントサイド暗号化は技術的には3要件を満たす可能性がありますが、アプリケーション側に暗号化・復号ロジックの実装が必要であり、SSE-KMSと比べて開発・運用コストが大幅に増加するため最適ではありません。