無限ノック › SCS 練習問題一覧 › 問題SCS インシデント対応
セキュリティインシデントが発生した後、ある企業は規制当局による調査を受けています。法務チームから、過去12ヶ月分のAWS CloudTrailログおよびS3アクセスログを、AWSアカウントのルートユーザーを含む誰も保持期間中に削除・変更できない形で2年間保存するよう指示が出ました。法的手続きにおける証拠の完全性（chain of custody：証拠保管の連続性）を最も確実に保証するアプローチはどれですか？
A ログバケットにS3オブジェクトロックをガバナンス（Governance）モードで有効化し、2年間の保持期間を設定する
ガバナンスモードでは s3:BypassGovernanceRetention 権限を持つIAMユーザー（管理者を含む）がリクエストヘッダーを付与することで保護を回避しオブジェクトを削除できるため、法的証拠保全には不十分です。
B ログバケットにS3オブジェクトロックをコンプライアンス（Compliance）モードで有効化し、2年間の保持期間を設定する
✓ 正解
S3オブジェクトロックのコンプライアンスモードでは、AWSアカウントのルートユーザーを含むいかなるユーザー・ロールも、設定された保持期間中はオブジェクトを削除・上書きできず、保持モードの変更も不可能です。これにより法的証拠保全に必要な改ざん不可能性が保証されます。
C ログを含むS3バケットポリシーにExplicit Denyルールを追加し、全プリンシパルによるオブジェクト削除操作を禁止する
バケットポリシーのExplicit Denyは通常のIAMプリンシパルへの削除を禁止できますが、ルートユーザーはバケットポリシー自体を変更・削除できるため、完全な改ざん防止にはなりません。
D ログを含むS3バケットでMFA Delete（多要素認証削除）を有効化する
MFA DeleteはMFA認証なしの削除を防ぎますが、MFAデバイスを所持するルートユーザーは依然として削除でき、またMFA Delete設定自体も変更可能なため、コンプライアンスモードほど強力な法的保証はありません。
解説 S3オブジェクトロックのコンプライアンスモードでは、AWSアカウントのルートユーザーを含むいかなるユーザー・ロールも、設定された保持期間中はオブジェクトを削除・上書きできず、保持モードの変更も不可能です。これにより法的証拠保全に必要な改ざん不可能性が保証されます。
選択肢Aは、ガバナンスモードでは s3:BypassGovernanceRetention 権限を持つIAMユーザー（管理者を含む）がリクエストヘッダーを付与することで保護を回避しオブジェクトを削除できるため、法的証拠保全には不十分です。
選択肢Cは、バケットポリシーのExplicit Denyは通常のIAMプリンシパルへの削除を禁止できますが、ルートユーザーはバケットポリシー自体を変更・削除できるため、完全な改ざん防止にはなりません。
選択肢Dは、MFA DeleteはMFA認証なしの削除を防ぎますが、MFAデバイスを所持するルートユーザーは依然として削除でき、またMFA Delete設定自体も変更可能なため、コンプライアンスモードほど強力な法的保証はありません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →