SCSデータ保護
あるフィンテック企業が、PCI DSS Level 1準拠の決済処理システムをAWS上に構築しています。規制要件として以下をすべて満たす必要があります。
・暗号化キー管理を専用のシングルテナントHSM（ハードウェアセキュリティモジュール）上で行うこと
・他のAWSカスタマーとHSMを共有しないこと
・HSMがFIPS 140-2 Level 3で検証済みであること
・アプリケーションがPKCS#11ライブラリを使用してHSMと直接通信し、RSA-4096によるデジタル署名操作を実行できること
これらの要件をすべて満たすAWSサービスはどれですか？
AAWS KMS のカスタマー管理キー（CMK）でRSA_4096キースペックを使用し、CloudTrailでKMS APIの呼び出しログを記録する
AWS KMSはFIPS 140-2 Level 3のHSMを内部で利用しますが、マルチテナント構成で他のAWSカスタマーと共有されます。またPKCS#11による直接アクセスはサポートされておらず、専用シングルテナントHSMの要件を満たしません。
BAWS CloudHSM クラスターを構成し、PKCS#11ライブラリを介してアプリケーションから直接HSMにアクセスしてRSA-4096署名操作を実行する
✓ 正解
AWS CloudHSMは専用シングルテナントHSMクラスターを提供し、FIPS 140-2 Level 3で検証済みです。PKCS#11ライブラリを介してHSMに直接アクセスでき、RSA-4096によるカスタム署名操作が可能なため、すべての要件を満たします。
CAWS Secrets Manager でRSAキーペアを生成・暗号化して保存し、Lambda関数を用いた自動ローテーションポリシーを設定する
AWS Secrets Managerはパスワード・APIキー・DB認証情報などのシークレット管理サービスであり、HSMによるカスタム暗号演算やPKCS#11インターフェースの提供を目的としていません。専用HSMの要件を満たしません。
DAWS Private Certificate Authority（AWS Private CA）でRSA-4096のルートCAを構築し、PKIインフラとして証明書の発行・管理を一元化する
AWS Private Certificate Authority（AWS Private CA）はプライベートPKIインフラの構築サービスです。アプリケーションからPKCS#11で直接操作できるHSMではなく、専用HSMによるカスタム暗号操作の要件を満たしません。
解説
AWS CloudHSMは専用のシングルテナントHSMクラスターを提供するサービスです。FIPS 140-2 Level 3で検証済みのハードウェアをAWSカスタマーが独占的に使用でき、他のカスタマーとHSMを共有しません。PKCS#11・JCE・CNGなどのインターフェース経由でアプリケーションからHSMに直接アクセスでき、RSA-4096によるデジタル署名・検証などのカスタム暗号操作を実行できます。
選択肢AのAWS KMSはFIPS 140-2 Level 3検証済みHSMを内部で使用しますが、マルチテナント（共有）構成であり、PKCS#11による直接アクセスもサポートしていません。
選択肢CのAWS Secrets Managerはシークレット（パスワード・APIキー・DB認証情報等）の保管・ローテーション向けサービスであり、PKCS#11によるHSM直接接続やカスタム暗号操作には対応していません。
選択肢DのAWS Private Certificate Authority（AWS Private CA）はプライベートPKIの構築に使用しますが、アプリケーションからPKCS#11で直接操作できるHSMではなく、専用HSMとカスタム暗号操作の要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →