SCSデータ保護
ある金融機関が、規制要件として次の2点を要求しています。
1. 暗号鍵のキーマテリアルは自社のオンプレミスHSM（ハードウェアセキュリティモジュール）で生成・管理し、AWSには預けない
2. コンプライアンス違反が発覚した場合、7〜30日の待機期間なしに数分以内で暗号化データへのアクセスをすべて無効化できること
AWS KMSを使ってAmazon S3上の機密データを暗号化しながら、これらの要件を同時に満たすアプローチはどれですか？
AAWS KMS カスタマー管理キー（CMK）の削除待機期間を最小の7日間に設定する。緊急時はすぐに削除スケジュールを実行し、復元手順をあらかじめ整備しておく
AWS KMS CMK の削除には最低7日間の待機期間があり、数分以内に暗号化データへのアクセスを無効化する要件を満たしません。
Bキーマテリアルのオリジンを「EXTERNAL」に設定した AWS KMS CMK を作成し、オンプレミス HSM で生成したキーマテリアルをインポートする。緊急時は CMK 自体を削除せずにインポート済みキーマテリアルのみを削除することで、即座にすべての復号操作を不能にする
✓ 正解
KMS 外部キーマテリアル（BYOK）ではオンプレミス生成のキーマテリアルをインポートし、DeleteImportedKeyMaterial API で待機期間なしに即座に削除できます。
CAWS CloudHSM を KMS カスタムキーストアとして構成して CMK を作成する。緊急時は CloudHSM クラスターを削除することでデータへのアクセスを即座に無効化する
CloudHSM カスタムキーストアはAWS上で稼働するサービスであり「AWSに預けない」要件を満たさず、クラスター削除による無効化は即時性が保証されず手順も複雑です。
DAWS KMS マルチリージョンキーをすべてのリージョンで作成し、緊急時にすべてのレプリカキーを同時に削除スケジュール（最小待機期間7日）に設定する
KMS マルチリージョンキーにもCMK削除時の最低7日間の待機期間が適用されるため、数分以内に暗号化データへのアクセスを無効化することはできません。
解説
KMS 外部キーマテリアル（BYOK: Bring Your Own Key）では、オリジンを EXTERNAL に設定することでオンプレミス生成のキーマテリアルをインポートできます。ImportKeyMaterial でインポートしたキーマテリアルは DeleteImportedKeyMaterial API で即座に削除でき、CMK 削除の 7〜30 日待機を経ずに復号操作をすべて不能にします。キーマテリアルを自社 HSM で管理するためAWS非預けの要件も満たします。
選択肢Aは最低 7 日間の待機期間があり「数分以内」の要件を満たせません。
選択肢Cの CloudHSM カスタムキーストアは AWS 上のサービスであり「AWSに預けない」要件を満たさず、またクラスター削除による無効化は即時性が保証されず手順も複雑です。
選択肢DはマルチリージョンキーにもCMK削除の7日間以上の待機期間が適用されるため、即座に無効化は不可能です。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →