無限ノック › SCS 練習問題一覧 › 問題
SCSデータ保護

金融機関がSEC Rule 17a-4に基づき、取引記録をAmazon S3に最低10年間保存する規制義務を負っています。保持期間中はデータの変更・削除を一切禁じており、AWSアカウントのルートユーザーやAWSサポートを含むいかなる主体も記録を変更できないことが求められます。セキュリティエンジニアは新しいアーカイブ用S3バケットを設計しており、規制要件を最も厳格に満たす実装方法を選択する必要があります。

A
バケット作成時にオブジェクトロックを有効化し、COMPLIANCEモード・保持期間3650日のデフォルト保持設定を構成する。バージョニングはオブジェクトロック有効化により自動的に有効になり、保持期間中は全プリンシパルからの削除・上書きが拒否される。
✓ 正解
S3オブジェクトロックCOMPLIANCEモードは保持期間中、ルートユーザーやAWSサポートを含むいかなるプリンシパルも削除・上書きできず、SEC Rule 17a-4のWORM要件を完全に満たす。
B
バケット作成時にオブジェクトロックを有効化し、GOVERNANCEモード・保持期間3650日のデフォルト保持設定を構成する。コンプライアンス担当者のIAMロールに限定してs3:BypassGovernanceRetention権限を付与し、CloudTrailでバイパス操作をすべて記録して規制当局への説明責任を担保する。
GOVERNANCEモードはs3:BypassGovernanceRetention権限を付与されたユーザーが保持設定を無効化できるため、「いかなる主体も変更不可」という絶対的な要件を満たせない。
C
バケットにS3バージョニングとMFADeleteを有効化し、バケットポリシーで全プリンシパルのs3:DeleteObjectとs3:PutObjectをDenyする。ルートアカウントのMFAデバイスを管理し、削除操作にMFA認証を必須化してデータ変更から保護する。
バケットポリシーのDenyはルートユーザーがポリシー自体を変更することで迂回可能であり、MFADeleteもルートが操作できるため規制が求める絶対的不変性を保証できない。
D
バケットにS3バージョニングを有効化し、AWS Backupボールトロックを使用して10年保持のバックアップポリシーを設定する。バケットポリシーでs3:DeleteObjectをDenyしてデータを多層的に保護する。
AWS Backupボールトロックはバックアップコピーを保護するが、元のS3オブジェクトへの直接アクセスによる削除・変更は防止できないため規制要件を満たさない。

解説

S3オブジェクトロックのCOMPLIANCEモードは保持期間中、ルートユーザー・AWSサポートを含む全プリンシパルが削除・上書きできないため、改ざん不可能なWORM要件を持つSEC規制に完全適合する。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
← SCS の問題一覧に戻る