DEA-C01：AWS Certified Data Engineer - Associate データセキュリティとガバナンス 問10
データセキュリティとガバナンス／データの暗号化とマスキングデータをクライアントから Amazon S3 や Amazon Redshift へ転送する際に、通信経路での盗聴を防ぐため、転送中の暗号化を強制したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（DEA-C01：AWS Certified Data Engineer - Associateの出題範囲「データセキュリティとガバナンス」に対応。実際の試験問題ではありません）
- A保管時の暗号化（SSE）さえ有効なら、転送中の暗号化は不要である
- BTLS（HTTPS）での接続を強制する（例: S3 はバケットポリシーで aws:SecureTransport=false を拒否、Redshift は require_ssl を有効化）
- C暗号化は一切行わず、ネットワークを信頼する
- DVPN さえあればアプリ層の TLS は不要である
正解：B
解説
転送中のデータ保護には、TLS（HTTPS）接続の強制が有効です。S3 はバケットポリシーで aws:SecureTransport が false のリクエストを拒否し、Redshift は require_ssl を有効化します。保管時暗号化（SSE）だけでは転送中は保護されず、無暗号化や「VPN があれば TLS 不要」という考えは不適切です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。SSE は保管時の保護で、転送中の盗聴は防げません。
- B正しい。TLS 接続の強制（S3 の aws:SecureTransport 拒否、Redshift の require_ssl）で転送中を暗号化できます。
- C誤り。無暗号化でネットワークを信頼するのは、転送中データ保護の要件に反します。
- D誤り。VPN があってもアプリ層の TLS 強制は多層防御として重要で、不要とは言えません。