SCS-C03：AWS Certified Security - Specialty データ保護 問4
データ保護／機密データ・認証情報・暗号鍵の保護アプリケーションが Amazon CloudWatch Logs に出力するログに、クレジットカード番号やメールアドレスなどの機密データが紛れ込むことがあります。これをログ側で自動的に検出し、マスキングしたいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「データ保護」に対応。実際の試験問題ではありません）
- ACloudWatch Logs のデータ保護ポリシー（data protection policy）を設定し、機密データを自動的に検出してマスキングする
- BAmazon Macie でロググループ内の機密データをマスキングする
- CAWS KMS でログを暗号化すれば、機密データは閲覧者から見えなくなる
- Dログの保持期間を短くすれば機密データが保護される
正解：A
解説
Amazon CloudWatch Logs のデータ保護ポリシー（data protection policy）は、ロググループに取り込まれるログの中から、クレジットカード番号やメールアドレスなどの機密データを自動的に検出し、既定ではマスキングして表示します。Macie は S3 が対象、KMS の暗号化は保管時の保護であって認可された閲覧者には平文が見え（マスキングではない）、保持期間の短縮は保護にはなりません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A正しい。CloudWatch Logs のデータ保護ポリシーで、機密データを自動検出してマスキングできます。
- B誤り。Macie は S3 内の機密データが対象で、CloudWatch Logs のマスキングは行いません。
- C誤り。KMS の暗号化は保管時の保護で、認可された閲覧者には平文が見えるため、マスキングにはなりません。
- D誤り。保持期間の短縮は、紛れ込んだ機密データの検出・マスキングにはなりません。