【SCS対策】セキュリティ − 専門知識 合格ガイド｜出題範囲と検知・保護の勘所

AWS認定 セキュリティ − 専門知識（SCS）は、データ保護・インシデント対応・IAM設計・ログ監視など、クラウドセキュリティの専門性を問う資格です。なお試験バージョンは更新されることがあり、最新版（例：SCS-C03）では脅威検出・インシデント対応の比重や生成AI/MLのセキュリティ観点が強化されています。申込前に必ず最新の試験ガイドを確認してください。

試験概要

セキュリティ実務やSAA相当の基礎があると理解が早い専門知識（Specialty）試験です。覚え方のフレームは「①記録する（監査ログ）」「②検知する（脅威検出）」「③守る（暗号化・アクセス制御）」の3点です。

出題ドメイン（例）

• 脅威検出とインシデント対応 ― GuardDuty、Security Hub、Detective、自動対応
• セキュリティのログとモニタリング ― CloudTrail、CloudWatch、VPCフローログ
• インフラストラクチャセキュリティ ― ネットワーク保護、WAF、Shield
• IDおよびアクセス管理 ― IAM、ロール、フェデレーション、最小権限
• データ保護 ― KMS、暗号化（保管中／転送中）、Secrets Manager
• 管理とセキュリティガバナンス ― Organizations、Config、SCP

頻出サービス・テーマ

• 監査・検知：CloudTrail（API監査証跡）、GuardDuty（脅威検知）、Config（構成評価）の役割の違い
• 鍵と機密情報：KMS（CMK、キーポリシー）、SSE-KMS、Secrets Manager の自動ローテーション
• アクセス管理：IAMポリシーの評価論理、ロールの一時認証（STS）、フェデレーション
• 保護：WAF、Shield、Network Firewall、セキュリティグループ／NACL

合格までの学習ステップ

1. IAMのポリシー評価（許可／明示的拒否の優先順位）を確実に理解する
2. 暗号化（保管中／転送中）とKMSの鍵管理を整理する
3. 検知・監査系サービスを目的別に対比して覚える
4. インシデント対応のシナリオ問題で、最適な初動と自動化を学ぶ

チェックリスト

• CloudTrail・GuardDuty・Config・Macieの目的の違いを説明できるか
• IAMポリシー評価の優先順位（明示的拒否が最強）を理解しているか
• 保管中（KMS）と転送中（TLS）の暗号化を区別できるか
• EventBridge起点の自動インシデント対応パターンを描けるか
• 最新の試験バージョン（SCS-C02／C03）の出題範囲を確認したか

まとめ

SCSは"検知・保護・対応"の役割整理が合否を分けます。サービスの目的をはっきり区別しましょう。クイズで確認できます。バージョン（SCS-C02／C03）や配点は変わることがあるため、申込前にAWS認定 公式ページで最新情報をご確認ください。