ある金融機関では、独自フォーマット（"ACC-[0-9]{4}-[A-Z]{2}-[0-9]{6}"）の口座番号を含む機密ファイルがAmazon S3バケット全体で適切に管理されているかを継続的に監視する必要があります。この口座番号フォーマットはAmazon Macieの標準マネージドデータ識別子に含まれておらず、PCI DSSコンプライアンスの要件から誤った配置を自動的に検出する仕組みの整備が急務となっています。追加の開発・運用作業を最小限に抑えながら、カスタムパターンを継続的かつ自動的に検出できる最適な構成はどれですか？
Amazon Macieはカスタムデータ識別子機能により、正規表現と補足キーワードを組み合わせた独自の機密データパターンを定義できる。Automated Sensitive Data Discoveryを有効化すると、すべての対象S3バケットを継続的にサンプリングスキャンし、マネージドデータ識別子とカスタムデータ識別子の両方を使った機密データ検出が自動的に行われる。検出結果はEventBridgeおよびSecurity Hubに自動転送されるため、アラートや自動対応Playbookとの統合が容易であり、新規バケットや追加されたオブジェクトも継続的にカバーできる。 選択肢AのAWS Lambdaは、オブジェクトごとにLambdaを起動してS3オブジェクト全文を読み取るアーキテクチャであり機能するが、Lambda実行コスト・S3読み取りコスト・IAM権限設計の複雑性が増大し、既存オブジェクトへの遡及スキャンには別途バッチ処理が必要であるためMacieより運用負荷が高い。 選択肢CのAmazon GuardDuty S3 Protectionは、S3への不審なアクセスパターン（異常なIPや操作タイプ等）を機械学習で検出するサービスであり、S3オブジェクトのコンテンツを解析してカスタムデータパターンを識別する機能は持っていない。 選択肢DのAWS Configカスタムルールは、S3バケットの暗号化・バージョニング・パブリックアクセスブロックなどのリソース設定評価が目的であり、バケット内オブジェクトのコンテンツを解析してカスタムデータパターンを検出することはできない。