SCS検出
ある医療機関はHIPAAコンプライアンス要件の下、複数のS3バケットに患者の医療記録・保険情報・社会保障番号などの機密データを保存しています。セキュリティチームは、どのS3バケットとオブジェクトに機密データ（PII・PHI）が含まれるかを定期的に自動検出し、承認済みバケット外に機密データが存在する場合にセキュリティチームへ通知する仕組みが必要です。この要件を満たす最も適切なAWSサービスはどれですか？
AAmazon Inspectorを有効化し、S3バケットを対象にした機密データスキャンを設定する。調査結果をEventBridgeルールでSNSに転送して、自動通知の仕組みを構築する。
Amazon InspectorはEC2インスタンス・Lambdaコード・コンテナイメージのソフトウェア脆弱性とネットワーク到達可能性を評価するサービスです。S3オブジェクト内のPII・PHIといった機密データを検出・分類する機能を持ちません。
BAmazon Macieを有効化し、機密データ検出ジョブを対象バケットに対してスケジュール実行するよう設定する。調査結果をEventBridgeルールでSNSに転送し、通知を自動化する。
✓ 正解
Amazon Macieは機械学習とパターンマッチングでS3オブジェクト内のPII・PHIを200種類以上のデータタイプで検出・分類する専用サービスです。スケジュール実行の検出ジョブとEventBridgeを組み合わせることで、自動検出・通知の要件を最小の運用負荷で満たします。
CAmazon GuardDutyのS3保護機能を有効化し、S3データイベントを継続監視してアクセスパターンの異常を検出し、機密データへの不正アクセスを通知する。
GuardDuty S3保護は、S3へのAPIコールパターンを監視して不審なアクセス（異常なデータ取得・外部アクター等）を検出しますが、オブジェクトコンテンツを解析してPII・PHIが含まれるかを特定する機能はありません。
DAWS Configマネージドルール「s3-bucket-server-side-encryption-enabled」を有効化し、非準拠バケットを自動検出してEventBridgeでSNS通知を設定する。
AWS ConfigのS3暗号化コンプライアンスルールは、S3バケットのサーバーサイド暗号化設定を評価するものです。バケット内オブジェクトに含まれる機密データの種別を検出・分類する機能を持ちません。
解説
Amazon Macieは、機械学習とパターンマッチングを組み合わせてS3に保存されたデータを自動的に分類するマネージドサービスです。PII（氏名・住所・社会保障番号等）やPHI（医療情報）など200種類以上の機密データタイプを検出できます。機密データ検出ジョブを定期実行するようスケジュール設定でき、調査結果（Findings）をEventBridgeルールでSNSやLambdaに連携することで自動通知が可能です。どのバケット・オブジェクトに機密データが含まれるかを正確に特定できるため、HIPAAコンプライアンスのデータ検出要件を満たします。
選択肢AのAmazon Inspectorは、EC2インスタンスやコンテナイメージのソフトウェア脆弱性とネットワーク到達可能性を評価するサービスです。S3オブジェクト内の機密データ（PII・PHI）を検出・分類する機能を持ちません。
選択肢CのGuardDuty S3保護は、S3データイベントを監視して不審なAPIアクセスパターン（外部からの大量取得等）を検出しますが、オブジェクトコンテンツを分析して機密データの種類を特定する機能はありません。
選択肢Dのs3-bucket-server-side-encryption-enabledルールは、暗号化設定の有無を評価するConfig規則であり、バケット内オブジェクトに含まれる機密データを検出する機能を持ちません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →