SOAセキュリティとコンプライアンス

金融機関がS3に保存する顧客データについて、暗号化キーを年1回ローテーションすることとキーの利用履歴を監査ログとして保持することが規制で義務付けられている。現在SSE-S3を使用中。最小の変更で両方の要件を満たす方法はどれか。

A
SSE-KMS(カスタマー管理キー)に変更し、EventBridgeで年次ローテーションをトリガーするLambda関数を作成して手動ローテーションを管理する
KMSカスタマー管理キーにはKMS自動ローテーション機能が存在するため、EventBridge+Lambdaによる手動ローテーション管理は不要な運用負荷となる。
B
SSE-KMS(カスタマー管理キー)に変更し、KMSキーの自動年次ローテーションを有効化してCloudTrailでKMS APIを記録する
✓ 正解
KMSカスタマー管理キーの自動年次ローテーションとCloudTrailのKMS APIログにより、ローテーション制御と監査ログの両規制要件を最小の変更で満たす。
C
SSE-KMS(AWS管理キー aws/s3)に変更してCloudTrailを有効化し、AWSのキー自動ローテーションに委ねる
AWS管理キー(aws/s3)はAWSがローテーションを制御するため、組織が年次ローテーションの実施を独立して証明・制御できず金融規制のコントロール要件を満たせない。
D
SSE-S3のまま年次でS3バケットを再暗号化するLambdaをEventBridgeで実行しCloudWatch Logsに記録する
SSE-S3はAmazon S3独自の鍵管理を使用してKMSを呼び出さないため、CloudTrailにキー使用イベントが記録されず監査ログ要件を充足できない。

解説

KMSカスタマー管理キーは自動年次ローテーションをネイティブサポートし、CloudTrailがGenerateDataKey・Decrypt等のKMS API呼び出しを記録することでキーローテーションと監査ログの両要件を最小変更で充足する。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでSOAを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
SOA の問題一覧に戻る