SCSセキュリティの基盤とガバナンス
ある金融サービス企業が、PCI DSS（Payment Card Industry Data Security Standard：クレジットカード業界のデータセキュリティ基準）に準拠するため、AWS Organizations配下の30アカウントに同一のAWS Configルールセットを展開する必要があります。
以下の追加要件があります：
・新しいコンプライアンスルールを追加した際に全アカウントへ自動反映されること
・準拠状況を組織レベルで一元的に把握できること
・設定の一貫性を保ちつつ運用負荷を最小化すること
最適なアプローチはどれか？
ACloudFormation StackSetsを使用して各アカウントにConfig Rulesを個別にデプロイし、管理アカウントのS3バケットにコンプライアンスレポートを集約する
CloudFormation StackSetsも展開は可能ですが、Configに固有の集約・管理機能がなく運用負荷が高くなります。
B管理アカウントまたは委任管理者アカウントから、AWS Config 組織適合パック（Organization Conformance Packs）を使用してPCI DSS準拠パックを展開する
✓ 正解
Organization Conformance Packsは、ConfigルールをまとめてOrganizations全体または特定のOUに一括展開できる機能です。AWSが提供するPCI DSSテンプレートを利用でき、ルール追加時の自動反映と組織レベルでの準拠状況集約も実現できます。
CAWS Security HubのPCI DSS標準を有効化し、各アカウントのConfigルール設定をSecurity Hubが自動管理するよう構成する
AWS Security HubのPCI DSS標準はConfigルールを利用しますが、Configルール自体の管理・展開はSecurity Hubの役割ではありません。
DSCPs（Service Control Policies）を作成し、PCI DSS要件を満たさない構成変更をOrganizationsレベルでブロックする
SCPsは不正な変更の事前ブロックには有効ですが、既存リソースの継続評価・レポートには不向きでConfigルールの代替にはなりません。
解説
Organization Conformance Packsは、ConfigルールをまとめてOrganizations全体または特定のOUに一括展開できる機能です。AWSが提供するPCI DSSテンプレートを利用でき、ルール追加時の自動反映と組織レベルでの準拠状況集約も実現できます。
選択肢AのCloudFormation StackSetsも展開は可能ですが、Configに固有の集約・管理機能がなく運用負荷が高くなります。
選択肢CのAWS Security HubのPCI DSS標準はConfigルールを利用しますが、Configルール自体の管理・展開はSecurity Hubの役割ではありません。
選択肢DのSCPsは不正な変更の事前ブロックには有効ですが、既存リソースの継続評価・レポートには不向きでConfigルールの代替にはなりません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →