SCS-C03：AWS Certified Security - Specialty データ保護 問2
データ保護／保管データの保護厳格な規制要件により、暗号鍵を顧客専用（シングルテナント）の、FIPS 140-2/140-3 レベル3 認定の HSM 内で、顧客自身が完全に管理する必要があります。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「データ保護」に対応。実際の試験問題ではありません）
- ASSE-S3（Amazon S3 管理キー）で暗号化する
- BAWS マネージドキー（AWS managed key）で暗号化する
- CAWS CloudHSM を使い、顧客専用の HSM 内で暗号鍵を生成・管理する
- DAWS Secrets Manager に暗号鍵を保管して管理する
正解：C
解説
AWS CloudHSM は、顧客専用（シングルテナント）の HSM を提供し、暗号鍵の生成・保管・管理を顧客が完全に制御できます。FIPS 140 のレベル3認定を受けていますが、どの標準（140-2 か後継の 140-3 か）での認定かは HSM の種類・世代に依存します。現在推奨の hsm2m.medium は FIPS 140-3 レベル3（認証番号 #4703）、旧世代の hsm1.medium は FIPS 140-2 レベル3（その認証は2026年1月にCMVPのヒストリカル一覧へ移行）です。140-3 は 140-2 の後継で、レベル3要件を満たす点は変わりません。SSE-S3 や AWS マネージドキーは AWS 側が鍵を管理し、Secrets Manager はシークレット保管で HSM ではありません。なお、標準の AWS KMS キーは AWS 管理のマルチテナント HSM を使いますが、KMS のカスタムキーストア（CloudHSM キーストア）を使えば自分専用の CloudHSM クラスターを裏側にできるため、『KMS＝常に共有 HSM』とは限りません。本問は鍵を自分の専用 HSM 内で生成・完全管理する要件のため、CloudHSM が最も素直に合致します。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。SSE-S3 は AWS が鍵を管理する方式で、顧客専用 HSM での完全管理の要件を満たしません。
- B誤り。AWS マネージドキーは AWS が管理する鍵で、顧客が完全管理する要件に反します。
- C正しい。CloudHSM は顧客専用（シングルテナント）の HSM で鍵を生成・管理でき、顧客完全管理の要件に合致します。レベル3の認定標準は HSM の種類・世代により異なり、現在の hsm2m.medium は FIPS 140-3 レベル3 です（140-2 の後継でレベル3要件を満たします）。
- D誤り。Secrets Manager はシークレットの保管・ローテーションが目的で、専用 HSM による鍵管理サービスではありません。