ある大手小売グループは AWS Organizations を使用して管理アカウント配下に70のメンバーアカウントを保有しています。各アカウントは独立して運用されており、セキュリティチームは全社のセキュリティ状況をほぼ把握できていませんでした。最近、あるメンバーアカウントでの S3 バケット設定ミスによるデータ漏洩インシデントを受け、全社的なセキュリティ態勢の強化が急務となっています。 [要件] ① 全メンバーアカウントで発生する脅威（不審な API コール・マルウェア通信・クレデンシャル漏洩の疑い等）を一元的に検知・管理する ② S3 パブリックアクセス設定違反や CIS AWS Foundations Benchmark（CIS：Center for Internet Security が定めるセキュリティ設定のベストプラクティス標準規格）などのコンプライアンス状況を、セキュリティアカウントの単一ダッシュボードで横断的に把握する ③ 新しいメンバーアカウントが追加された際にセキュリティサービスが自動的に有効化される ④ インシデント発生時の詳細調査のため、CloudTrail・VPC フローログ・脅威検出結果を相関分析して視覚化できる調査ツールが必要 ⑤ 管理アカウントへの権限集中を避け、専用のセキュリティアカウントで集中管理する これらの要件をすべて満たすために実施すべき設定として正しいものを3つ選択してください。
選択肢AのGuardDuty委任管理者設定が正解の1つです。全メンバーアカウントの脅威検出結果をセキュリティアカウントに集約でき（要件①）、Organizations統合で新規アカウントへの自動有効化（要件③）とセキュリティアカウントへの権限委任（要件⑤）も実現します。 選択肢BのSecurity Hub委任管理者設定も正解です。CIS AWS Foundations Benchmarkなどのスタンダードを組織全体に一括適用し、コンプライアンス状況を単一ダッシュボードで可視化できます（要件②）。Organizations統合で新規アカウントへの自動有効化（要件③）も対応します。 選択肢CのConfig + QuickSight構成はSecurity Hubで代替可能であり、独自ダッシュボードの構築は実装コストが高く、管理アカウントへのConfig集約では権限委任（要件⑤）も満たしにくいため不正解です。 選択肢DのDetective委任管理者設定も正解です。GuardDuty検出結果・CloudTrailログ・VPCフローログを自動取り込みし、機械学習ベースの行動グラフで視覚化された相関分析を提供します（要件④）。DetectiveはGuardDutyの有効化を前提とするため選択肢Aとセットで使用します。 選択肢EのMacieはS3機密データ検出に特化しており、脅威検知の一元管理・コンプライアンス横断把握・相関分析という今回の主要要件を十分に満たしません。