【SAP-C02 模擬】200アカウント規模の組織で、S3バケットの公開設定と暗号化未設定を予防的に防ぎ、逸脱時は自動是正したい場合の設計は？
急速に成長する組織では200を超えるAWSアカウントが稼働しており、一部の開発者が誤って公開状態のS3バケットや暗号化されていないバケットを作成してしまう事故が繰り返し発生しています。セキュリティチームは、新規バケット作成時点でリスクのある設定をできる限り予防的に阻止しつつ、万一発生した逸脱についても自動的に検知して是正したいと考えています。新規に発行するアカウントにも自動的に同じ統制を適用したい要件もあります。最も適切なものはどれですか。
正解: B
Control Towerはランディングゾーンとして新規アカウントに自動的にガードレール（SCPによる予防的コントロールとConfigルールによる発見的コントロール）を適用でき、S3のパブリックアクセスブロックなどの予防的コントロールと、暗号化未設定を検知してLambda等で自動是正する仕組みを組織全体に一元的かつ継続的に展開できる。Aは個別アカウントごとの手動管理でスケールせず新規アカウントへの自動適用もできない。Cは手動運用であり予防的統制にならず監査頻度も粗い。DのMacieは機密データ検出が主目的で、公開設定や暗号化設定自体の予防・自動是正機能ではなく通知のみでは是正が実行されない。