DEA-C01：AWS Certified Data Engineer - Associate データセキュリティとガバナンス 問3
データセキュリティとガバナンス／データの暗号化とマスキングAmazon S3 や Amazon Redshift に保管するデータを暗号化し、暗号化キーの作成・ローテーション・アクセス権限を自分で管理したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（DEA-C01：AWS Certified Data Engineer - Associateの出題範囲「データセキュリティとガバナンス」に対応。実際の試験問題ではありません）
- Aデータは暗号化せず、アクセスログの取得だけで代替する
- BAWS KMS のキーを用いてサーバー側暗号化（SSE-KMS）を構成し、キーポリシーで権限を管理し自動ローテーションを有効にする
- C暗号化キーをアプリの設定ファイルに平文で保存して使う
- DAmazon CloudWatch でデータを暗号化する
正解：B
解説
AWS KMS のキーを使ったサーバー側暗号化（SSE-KMS）では、暗号化キーの作成・アクセス権限（キーポリシー）・自動ローテーションを自分で管理でき、S3 や Redshift の保管データを保護できます。無暗号化や設定ファイルへの平文保存は不適切で、CloudWatch は暗号化サービスではありません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。暗号化しないのは保管データ保護の要件に反します。
- B正しい。SSE-KMS で保管データを暗号化し、キーポリシーによる権限管理と自動ローテーションを行えます。
- C誤り。キーの平文保存は重大な漏えいリスクで不適切です。
- D誤り。CloudWatch は監視サービスで、データの暗号化は行いません。