ある大手金融機関は、AWS Organizationsを使用して5つのリージョン（us-east-1、us-west-2、eu-west-1、ap-northeast-1、ap-southeast-1）にわたる120のAWSアカウントを管理しています。セキュリティ運用チーム（SOC：Security Operations Center）は専用の「SecurityOps」アカウントを持ち、以下の要件を実装する必要があります： ①GuardDuty・Amazon Inspector・Amazon Macieのセキュリティ検出結果をAWS Security Hubに集約して単一ダッシュボードで確認する ②5つのすべてのリージョンの検出結果をホームリージョン（us-east-1）に集約する ③SecurityOpsアカウントが管理アカウントを使用せずに全アカウントのセキュリティ状況を確認・管理する ④新しいメンバーアカウントが追加された際にSecurity HubとGuardDutyが自動的に有効化される ⑤PCI DSS・NIST CSF・CIS AWS Foundationsのコンプライアンス標準に対するスコアを確認する 要件を満たす実装として正しいものを2つ選択してください。
選択肢Aが正解の理由：Security HubとGuardDutyはどちらもAWS Organizations統合と委任管理者機能をサポートしています。委任管理者（SecurityOpsアカウント）は全メンバーアカウントのセキュリティ状況を管理アカウント不要で確認でき、「自動有効化」設定により新規アカウントへの自動適用が実現します。Security Hubのクロスリージョン集約機能を使用することで、複数リージョンの検出結果を単一のホームリージョンに集約できます。 選択肢Bが誤りの理由：120アカウントへの手動招待と独自の集約パイプライン構築は運用負荷が高く、委任管理者機能を活用していません。 選択肢Cが正解の理由：GuardDuty・Security Hub・Macie・InspectorはそれぞれOrganizations委任管理者機能を持っています。委任管理者の設定は管理アカウントからのみ実行可能であり、設定後はSecurityOpsアカウントが各サービスを一元管理できます。 選択肢Dが誤りの理由：Security HubのCIS・PCI DSS・NIST CSF等のコンプライアンス標準はすべて追加料金なくSecurity Hubの標準料金の範囲内で利用できます。本質的な問題は、委任管理者機能による自動有効化と一元管理を活用していない点です。