大手金融サービス企業は AWS Organizations 配下に 130 のAWSアカウントを保有し、us-east-1、eu-west-1、ap-northeast-1 の 3 リージョンで事業を展開しています。現在の構成と課題は以下の通りです。 【現在の構成】 ・GuardDuty は全アカウントで有効だが、各アカウントが独立した管理者として設定されており、セキュリティチームは各アカウントのコンソールに個別ログインして脅威を確認している ・AWS Config はリソース変更を記録しているが、アカウント単位でのみ確認可能で集中管理されていない ・重大インシデントの検知から対応開始まで平均 4 時間を要している ・新規アカウント作成後、セキュリティサービスの有効化が完了するまで最大 1 週間かかる場合がある ・PCI DSS（クレジットカード業界のデータセキュリティ標準）および SOC 2 Type II（サービス組織の内部統制に関する第三者監査フレームワーク）の準拠状況を毎月コンプライアンスレポートとして提出する義務がある 【CISO（最高情報セキュリティ責任者）の要件】 ・全 130 アカウントのセキュリティ検出結果を単一のダッシュボードで一元可視化する ・重大な脅威の検出から 15 分以内に自動対応を開始する仕組みを整備する ・新規アカウント作成時にセキュリティサービスを自動的に有効化する ・PCI DSS 準拠状況をリアルタイムで把握できるようにする これらの要件を最も効果的に満たすために実施すべき変更を 2 つ選んでください。
選択肢Aは正解です。全130アカウントの検出結果が単一ダッシュボードに集約され、PCI DSS標準との準拠状況をリアルタイムで把握できます。Organizations統合により新規アカウントへも自動適用され、EventBridge + Lambdaで重大検出結果に対する15分以内の自動修復ワークフローを実現します。 選択肢Bは正解です。GuardDutyの脅威検出を一元管理し、新規メンバーアカウントへの自動有効化を実現します。管理アカウントで全メンバーの脅威インテリジェンスフィードと検出結果を集中管理し、EventBridge経由でSNSに転送することで重大な脅威を即時通知できます。 選択肢CのCloudWatch Logsエージェントと中央OpenSearch Serviceクラスターへのカスタムストリーミング構成は、構築・運用コストが高くAWSネイティブ統合のSecurity Hubと比べて信頼性・保守性で劣ります。 選択肢DのAWS Config アグリゲーターはリソース構成変更の集中監視とPCI DSS準拠パックによるコンプライアンス確認には有効ですが、GuardDutyのような脅威検出の一元化はできず全要件を単独では満たしません。 選択肢Eのサードパーティ製SIEMソリューションは既存のAWSネイティブサービスで実現可能な要件に対して、ベンダー依存・追加コスト・運用複雑性が増大するため最適ではありません。