【SCS-C02】データ保護とコンプライアンス｜暗号化戦略と継続的モニタリング

SCS-C02ではデータのライフサイクル全体を通じた保護と、コンプライアンス状態の継続的な監視が重要テーマです。「①暗号化」「②分類・発見」「③継続監視」の3層で整理すると全体像を押さえやすくなります。

①暗号化戦略の基本

• 保管中（at rest）の暗号化：KMSによるキー管理が中心。使いどころはカスタマー管理キー（CMK）で鍵ローテーションやアクセス制御を細かく制御したい場合。S3はSSE-KMSでサーバー側暗号化する。
• 転送中（in transit）の暗号化：TLSで保護。使いどころはVPC内部の通信もPrivateLinkなどで暗号化経路を確保したい場合。

②データ分類と発見（Amazon Macie）

何をするか：S3内の個人情報などの機密データを機械学習で自動検出・分類する。使いどころは「バケットに意図せず個人情報を含むファイルが混在していないか確認したい」ケース。タグやバケットポリシーと組み合わせ、機密度に応じたアクセス制御を実施する。

③継続的なコンプライアンス監視

何をするか：AWS ConfigのマネージドルールやGuardDutyの検出結果をSecurity Hubに集約する。使いどころはPCI DSSなどのコンプライアンス基準からの逸脱を一元的に把握・対応したい場合。

チェックリスト

• 保管中と転送中、それぞれの暗号化手段（KMS／TLS）を区別できるか
• S3内の機密データ発見にMacieを使う判断ができるか
• コンプライアンス基準からの逸脱評価にConfigを使う判断ができるか
• 複数の検出結果をSecurity Hubで一元管理する構成をイメージできるか
• タグ・バケットポリシーで機密度に応じたアクセス制御を設計できるか

まとめ

データ保護は暗号化・分類・継続監視の3層で考えると整理しやすくなります。クイズで確認し、最新の出題範囲はAWS認定 公式ページをご確認ください。