解説

VPCエンドポイントポリシーにaws:ResourceOrgID条件キーを使用することで、S3ゲートウェイエンドポイントを通過するすべてのリクエストを自社AWS Organization内のバケットのみに制限できる。EC2インスタンスのIAM認証情報に関わらずネットワークレベルで機能するため、侵害されたロール以外の認証情報を使ったデータ漏洩も防止できる。設定変更はエンドポイントポリシーの追加のみで最小限かつ包括的な防御となる。 選択肢AのセキュリティグループとS3マネージドプレフィックスリストは、S3サービス全体のIPレンジ（自社・外部バケット共用）を対象とするため、自社バケットと外部バケットをIPアドレスで区別できない。S3は複数のアカウントが共有するIPインフラ上に存在するため、特定バケットのみを許可するIPベースのフィルタリングは実現不可能。 選択肢CのIAMロールポリシーへのaws:ResourceOrgID条件追加は、その特定ロールを使う場合のみ有効なアイデンティティレベルの制御。攻撃者が別の認証情報を使う場合や他のインスタンスが侵害された場合には機能せず、エンドポイントポリシーのようなネットワーク全体での包括的制御にはならない。 選択肢DのAmazon Macieはデータ検出・分類サービスであり、リアルタイムのトラフィック遮断機能を持たない。EventBridge+Lambda+SCPによる動的制御は構成が複雑で遅延が生じ、検知前にデータが一部漏洩するリスクが残る事後的対応にとどまる。