EC コマース企業のセキュリティチームは、数百の S3 バケットに顧客の氏名・クレジットカード番号・社会保障番号（SSN: Social Security Number）などの PII（個人識別情報）が意図せず保存されていないかを継続的に検出したいと考えています。検出した場合は Security Hub に統合して一元管理したいという要件もあります。最も適切なアーキテクチャはどれですか？
正解： Amazon Macie を有効化し、S3 バケットを対象とした機密データ検出ジョブを作成する。検出結果（Finding）は自動的に Security Hub に集約され、EventBridge 経由で SNS 通知を設定する。 Amazon Macie は機械学習を使用して S3 オブジェクト内の PII・クレジットカード情報・認証情報などの機密データを自動検出するサービスです。検出結果は Security Hub に自動的に送信でき、EventBridge と連携した通知・修復自動化も容易です。 選択肢BのLambda + Amazon Comprehendは新規アップロード時のみの対応となり、既存オブジェクトの継続的スキャンができません。Security Hub 統合・全バケット監視のためのカスタム開発が大量に必要で、Macie の既製機能と比べ実装・運用コストが高くなります。 選択肢CAWSConfig マネージドルールはバケットのパブリックアクセス設定などを評価するものであり、S3 オブジェクト内のデータ内容をスキャンする機能はありません。 選択肢DAmazonGuardDuty S3 保護は S3 データイベントの異常なアクセスパターンや不審操作を検出するものであり、オブジェクト内の PII 等データ内容を直接識別する機能はありません。