コンプライアンスチームがAWS Audit Managerを使用してISO 27001の年次審査に向けた評価を実施している。財務部門の管理者に対して、財務関連コントロールセットのエビデンスレビューのみを委任したい。財務管理者にはITセキュリティコントロールなど他のコントロールセットへのアクセス権を付与しないことが要件である。最も適切な実装方法はどれか？
正解： Audit Managerの委任（Delegation）機能を使用して、財務コントロールセットを財務管理者のIAMユーザーまたはロールに割り当てる。 AWS Audit Managerの委任（Delegation）機能を使用すると、評価オーナーが特定のコントロールセットを指定したIAMユーザーまたはロールに割り当てられます。委任されたユーザーは割り当てられたコントロールセットのみを操作でき、他のコントロールセットには一切アクセスできません。Audit Managerの設計された委任ワークフローにより、最小権限の原則に沿ったコントロールセット単位のアクセス制御が実現します。 選択肢Aは AuditManagerAdministratorAccess はAudit Manager全体への管理アクセスを付与するため、コントロールセット単位での制限ができません。S3バケットポリシーではAudit Manager内のコントロールアクセスを制御できません。 選択肢Cは 別評価を作成するとエビデンス収集の重複が生じ、本来の評価との整合性管理が困難になります。また本来の評価へのアクセスを完全に遮断できません。 選択肢Dは Config RulesはAudit Managerの委任ワークフローとは独立したサービスであり、Audit Manager上でのコントロールセット単位のアクセス管理要件を代替できません。