SCSデータ保護
ある政府系企業が、機密度の高い防衛関連データをAmazon S3に保管しています。同社は、独立した2つの暗号化レイヤーを使用する二重暗号化を義務付ける政府セキュリティ基準に準拠する必要があります。暗号化キーの管理はAWSに委任し、運用コストを最小化したいと考えています。AWS管理のキーを使用しながらS3ネイティブの二重暗号化レイヤーを実現する最も適切な設定はどれですか？
AS3のDSSE-KMS（Dual-layer Server-Side Encryption with KMS keys）をバケットのデフォルト暗号化として有効化し、AWS管理キーを使用する
✓ 正解
DSSE-KMSはS3ネイティブの二重暗号化機能で、独立した2つのKMSデータキーによる2層のサーバー側暗号化を実現します。AWS管理キーを使用できるためキー管理の運用負荷がなく、政府の二重暗号化要件を満たす唯一のS3ネイティブ暗号化オプションです。
Bバケットのデフォルト暗号化をSSE-S3（AES-256）に設定し、追加でオブジェクトごとにSSE-KMSを適用するマルチレイヤー構成にする
S3では1つのオブジェクトに対してSSE-S3とSSE-KMSを同時適用する機能は存在せず、バケットまたはオブジェクト単位でいずれか1つの暗号化タイプのみ指定可能なため、この構成は実現できません。
Cアップロード前にKMSカスタマーマネージドキーでクライアント側暗号化を実施し、S3のSSE-KMSと組み合わせてサーバー側でも暗号化する
クライアント側暗号化とSSE-KMSの組み合わせは技術的に2層の保護を提供しますが、アプリケーション側でのCSE実装が必要となり運用負荷が高く、AWS管理キーのみで実現するという要件を満たしません。
DS3 SSE-KMSとAmazon Macieを組み合わせ、機密データを二重に保護して暗号化されていないオブジェクトを自動再暗号化する
Amazon Macieは機密データの検出・分類・モニタリングサービスであり、暗号化や再暗号化の機能は持ちません。SSE-KMSと組み合わせても独立した二重暗号化レイヤーは実現できず、要件を満たしません。
解説
DSSE-KMS（Dual-layer Server-Side Encryption with AWS KMS keys）は、S3がネイティブに提供する二重暗号化機能で、同一オブジェクトを2つの独立したKMSデータキーで順次暗号化します。各レイヤーはAWS KMSで独立して管理されるため、1つのキーレイヤーが侵害されても残りのレイヤーが保護を維持します。DSSE-KMS専用のAWS管理キーを使用できるため、キー管理の運用負荷なしに二重暗号化を実現でき、NIST SP 800-57等の多層防衛要件を満たします。バケットのデフォルト暗号化として設定することで、すべての新規オブジェクトに自動適用されます。
選択肢BのSSE-S3とSSE-KMSの組み合わせは、S3では1つのオブジェクトに対して複数のサーバー側暗号化方式を同時適用できないため実現不可能です。
選択肢Cのクライアント側暗号化（CSE）とSSE-KMSの組み合わせは技術的に2層の保護となりますが、アプリケーション側でのCSE実装が必要で運用負荷が高く、AWS管理キーのみという要件にも合致しません。
選択肢DのAmazon Macieは機密データの検出・分類サービスであり、暗号化や再暗号化の機能は持たず、二重暗号化レイヤーを提供しません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →