無限ノック › SOA 練習問題一覧 › 問題SOA セキュリティとコンプライアンス
大規模な金融企業が AWS Organizations で 50 以上のアカウントを管理しています。CIS（Center for Internet Security：情報セキュリティのベストプラクティスを策定する非営利団体）AWS ベンチマークへの準拠状況を全アカウントで継続的に評価し、非準拠リソースのレポートを一元管理したいと考えています。最小の運用負荷で実現できる方法はどれですか？
A 各アカウントに個別に AWS Config Rules を手動で設定し、毎週 CloudWatch Logs Insights でクエリしてレポートを生成する
各アカウントでの個別設定とCloudWatch Logs Insightsでの手動クエリ・レポート生成は、運用負荷が極めて大きく、スケーラビリティに欠けます。
B Organizations の委任管理者アカウントから CIS ベンチマーク対応コンフォーミティパックを全メンバーアカウントへ一括デプロイする
✓ 正解
AWS ConfigのコンフォーミティパックはCIS AWS Foundations Benchmarkなどの主要標準に対応したテンプレートをAWS提供で用意し、Organizations委任管理者アカウントから全メンバーアカウントへの一括デプロイをサポートしています。
C Amazon Inspector v2 を全アカウントで有効化し、EC2 インスタンスの脆弱性スキャン結果を S3 にエクスポートして手動集計する
Amazon Inspector v2は脆弱性スキャン（EC2/コンテナイメージの脆弱性検出）に特化しており、CISベンチマーク全体の評価には対応していません。目的に適しません。
D AWS Audit Manager でカスタム評価フレームワークを一から作成し、毎月担当者が手動でエビデンスを収集・レビューする
AWS Audit Managerでのカスタムフレームワーク構築と毎月の手動エビデンス収集・レビューは対応コストが極めて大きく、自動化の利点がありません。
解説 AWS Config のコンフォーミティパックは、CIS AWS Foundations Benchmark など主要な標準に対応したテンプレートを AWS が提供しており、Organizations 全体への一括デプロイをサポートしています。委任管理者アカウントから全メンバーアカウントに適用でき、コンプライアンス状況を集中管理コンソールで確認できます。個別設定や手動集計が不要なため運用負荷が最も低くなります。
選択肢Aは、AWS Config Rules を各アカウントに個別に手動設定する方法は50以上のアカウントに対して煩雑な作業が発生し、CloudWatch Logs Insights による週次クエリも自動化されていないため運用負荷が高くなります。
選択肢Cは、Amazon Inspector v2 は EC2 インスタンスやコンテナの脆弱性スキャン専用サービスであり、CIS ベンチマーク全体（IAM 設定・CloudTrail・S3 バケットポリシーなど）の評価には適しません。
選択肢Dは、AWS Audit Manager のカスタム評価フレームワークをゼロから作成すると時間コストが高く、担当者による手動エビデンス収集・レビューも運用負荷が大きく、最小の運用負荷という要件を満たしません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →