ある製造業企業がランサムウェア攻撃を受け、攻撃者はIAM権限を悪用してAWS Backupのリカバリポイントをすべて削除しました。その結果、本番環境の復旧ポイントが失われ、業務が長時間停止しました。 セキュリティチームは今後の同様の攻撃に対して、たとえIAM権限が侵害された場合でもバックアップのリカバリポイントを削除できないようにする仕組みを構築することにしました。 最も効果的な対策はどれですか？
AWS Backup Vault Lockは、バックアップボールトにWORM（Write Once, Read Many：一度書き込んだら変更・削除できない）保護を適用する機能です。「Compliance（準拠）」モードで設定すると、設定後はAWSサポートもrootユーザーもロックを解除・削除できなくなるため、IAM権限を侵害した攻撃者によるリカバリポイントの削除を確実に防止できます。「Governance（ガバナンス）」モードは特定の管理者権限で解除できますが、Complianceモードは不可逆です。 選択肢BのSCPは強力な制御手段ですが、管理アカウントにも侵害が及んだ場合にSCP自体を変更される可能性があります。またVault Lockのような不可逆的な保護効果は得られません。 選択肢Cのクロスリージョンコピーはデータ分散として有効ですが、IAM権限を持つ攻撃者が各リージョンのリカバリポイントも削除できるため、根本的な解決にはなりません。 選択肢DのIAMポリシーによる明示的拒否は、侵害された権限でポリシー自体を変更されたり、IAMポリシーが適用されないrootアカウントで操作されたりすることで迂回可能です。