あるヘルスケア企業がHIPAA（米国の医療情報保護法）規制に基づき、患者データのアクセスログをAmazon S3に保存しています。コンプライアンス監査チームから以下の要件が提示されました。
①ログファイルは保存後7年間、

Question

あるヘルスケア企業がHIPAA（米国の医療情報保護法）規制に基づき、患者データのアクセスログをAmazon S3に保存しています。コンプライアンス監査チームから以下の要件が提示されました。
①ログファイルは保存後7年間、いかなるユーザー（AWS管理者・rootアカウントを含む）も削除・上書きできないこと
②万が一、管理者の認証情報が漏えいした場合でも保護期間中のデータが改ざんされないこと
③法的証拠能力を満たすWORM（Write Once Read Many：一度書き込んだら変更できない不変ストレージ）として機能すること。これらすべての要件を満たす最も適切な設定はどれですか？

Accepted Answer

正解: S3 Object Lockをコンプライアンスモード（Compliance mode）で有効化し、デフォルトの保持期間を7年に設定する。S3 Object Lockのコンプライアンスモードでは、保持期間中はAWS rootアカウントを含むいかなるユーザーもオブジェクトを削除・上書きできません。保持期間やモード自体を短縮・変更することも不可能であり、HIPAA・SEC 17a-4(f)などの厳格な規制要件を満たす完全なWORMを実現します。

ガバナンスモードでは`s3:BypassGovernanceRetention`権限を持つユーザー（通常は管理者）が保持設定を上書き・削除できます。管理者の認証情報が漏えいした場合にデータを保護できないため、要件②を満たしません。

MFA Deleteは削除操作にMFAデバイスの認証を要求しますが、MFAデバイスを持つ管理者は削除可能であり「誰も削除できない」という要件①を満たしません。S3 Object Lockとは異なり、真のWORM保護を提供しません。

Glacier Vault LockはGlacierアーカイブに対するWORM機能を提供しますが、S3バケット内のオブジェクトには直接適用できません。またGlacierはコールドストレージ（低頻度アクセス向け長期保存）であり、監査目的で随時参照されるアクセスログには適切ではありません。

Answer

S3 Object Lockをガバナンスモード（Governance mode）で有効化し、デフォルトの保持期間を7年に設定する — S3 Object Lock ガバナンスモードは、s3:BypassGovernanceRetention権限を持つユーザー（通常は管理者）が保持設定を上書き・削除できます。管理者の認証情報が漏えいした場合にデータを保護できないため、「誰も削除できない」という要件①②を満たしません。

Answer

S3バージョニングを有効化し、バケットにMFA Deleteを設定して削除操作にMFAデバイスを要求する — MFA Deleteは、S3バケットの削除操作にMFAデバイス認証を要求する追加保護機能です。ただしMFAデバイスを保有する管理者や権限を持つユーザーは削除が可能であり、「いかなるユーザーも削除できない」という完全なWORM要件①を満たしません。

Answer

S3ライフサイクルポリシーでAmazon S3 Glacier Deep Archiveに移行し、Glacier Vault Lockポリシーを設定する — Glacier Vault LockはAmazon S3 Glacierアーカイブへのアクセスを制限するWORM機能ですが、通常のS3バケット内オブジェクトには直接適用できません。また低頻度アクセス向けのコールドストレージのため、監査目的で随時参照されるアクセスログには不適切です。

解説

解説