グローバルな金融サービス企業がAWS Organizationsで60のAWSアカウントを管理しています。現在はGuardDutyを各アカウントで個別に有効化していますが、セキュリティチームは各アカウントにログインして個別に調査を行っており、S3バケットのパブリックアクセス有効化などのセキュリティ違反の検出から修復までに平均48時間かかっています。AWS Configルールは一部のアカウントにしか設定されておらず、組織全体での一貫したコンプライアンス状態の把握ができていません。SOC 2（Service Organization Control 2：サービス組織のセキュリティ・可用性・機密性に関する監査基準）とPCI DSS（Payment Card Industry Data Security Standard：クレジットカード業界のデータセキュリティ基準）への継続的な準拠が義務付けられており、セキュリティチーム5名での手動対応が限界に達しています。以下の要件をすべて満たすために最も適切なソリューションの組み合わせを2つ選んでください。 【要件】 ・全アカウントの脅威検出結果を一元管理する。 ・重大なセキュリティ違反のMTTR（Mean Time To Remediate：平均修復時間）を1時間以内にする。 ・SOC 2とPCI DSSに対応したコンプライアンス状態を継続的に可視化する。
正解： AWS Organizations統合を使用してGuardDutyの委任管理者（Delegated Administrator）を専用セキュリティアカウントに設定し、全60アカウントの脅威検出結果を一元集約する。Security Hubも同様に委任管理者を設定して全アカウントのFindingsを統合管理し、重大度「HIGH」以上のFindingsをEventBridgeルールでトリガーしてLambda関数による自動修復（例：S3パブリックアクセスブロックの強制適用、不審なセキュリティグループルールの削除）を実行する。AWS Config Conformance PacksのPCI DSS・SOC 2対応マネージドテンプレートを使用し、AWS CloudFormation StackSetsで全60アカウントに一括デプロイする。設定ルール違反の検出時にはConfig修復アクション（Remediation Action）でSystems Manager Automation Runbookを自動実行して非準拠リソースを修復する。修復ステータスはSecurity Hubに集約してコンプライアンスダッシュボードで継続的に可視化する。 1つ目の回答はGuardDuty・Security HubのOrganizations委任管理者機能で60アカウントの脅威検出を一元化し、EventBridge+Lambdaによる自動修復でMTTR1時間以内を実現します。2つ目の回答はConfig Conformance PacksをStackSetsで全アカウントに展開することでPCI DSS・SOC 2への継続的なコンプライアンス監視と自動修復の両方を実現します。 選択肢CのDetectiveは脅威調査を深化させるツールであり自動修復機能を持たず、MTTRの根本改善にはなりません。 選択肢DのFirewall ManagerはWAF・ネットワークポリシー管理に特化しており、S3やIAMなど広範なセキュリティ違反の自動修復には対応できません。 選択肢EのMacieはデータ分類・保護に特化しており、脅威検出の一元管理には対応しません。