金融サービス企業がAWSで新しい顧客ポータルアプリケーションを設計しています。このアプリケーションは個人識別情報（PII）および金融データを扱い、高いセキュリティ要件があります。 【セキュリティ要件】 - SOC2 Type II※およびISO 27001準拠（※Service Organization Control 2：サービス組織の内部統制に関する監査報告フレームワーク） - 全データの暗号化（転送中・保存中）、暗号鍵はお客様が管理 - 最小権限の原則に基づいたアクセス制御 - すべてのAPIコールの監査ログ、データアクセスの追跡 - WAF（Webアプリケーションファイアウォール）によるアプリケーション層の保護 - DDoS攻撃への対策 - 不審なアクティビティの自動検知と対応 【アプリケーション要件】 - フロントエンド：React SPAをグローバルに低レイテンシで配信 - バックエンドAPI：マイクロサービスアーキテクチャ、1,000 RPS（Requests Per Second）を処理 - データベース：顧客データの強整合性読み取りが必要、マルチリージョン対応 - 認証：MFA必須、企業顧客はSAML 2.0フェデレーション対応 【インシデント対応要件】 - セキュリティアラートから30分以内に自動的に脅威を隔離すること - セキュリティイベントを一元管理できる単一ダッシュボード これらすべての要件を満たすアーキテクチャを選択してください。（2つ選択）
AとBが要件を網羅します。AはWAF+Shield AdvancedによるDDoS・アプリケーション層防御、CognitoによるMFA・SAMLフェデレーション、Aurora Global DatabaseとKMS CMKによるマルチリージョン強整合性と暗号化、CloudTrailによる完全監査ログを提供します。BはGuardDutyによる脅威検知、Security Hubによる一元ダッシュボード、EventBridge+Step FunctionsによるSOAR（Security Orchestration, Automation and Response）パターン（30分以内の自動隔離）、MacieによるPII検出でインシデント対応要件と規制準拠を実現します。 選択肢CのAPI Gateway+LambdaオーソライザーはバックエンドのAPI管理として有効ですが、コア要件を単独では満たしません。 選択肢DのAWS Network Firewallはレイヤー3-4防御で有用ですが、必須のアプリケーション層防御要件を単独では満たしません。 選択肢EのAmazon InspectorはDevSecOps観点で補完的ですが、30分以内の自動隔離要件には対応しません。