SCS-C03：AWS Certified Security - Specialty セキュリティ基盤とガバナンス 問3
セキュリティ基盤とガバナンス／AWS リソースのコンプライアンス評価監査に備えて、PCI DSS などのコンプライアンスフレームワークに対する自社の AWS 利用状況の証跡を、継続的に収集・整理して監査レポートを準備したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「セキュリティ基盤とガバナンス」に対応。実際の試験問題ではありません）
- AAWS Artifact から自社の AWS 利用状況の証跡を自動的に収集する
- B担当者が手作業でマネジメントコンソールのスクリーンショットを集める
- CAmazon Inspector でコンプライアンスの証跡を収集する
- DAWS Audit Manager を使い、フレームワークにマッピングした証跡を継続的に自動収集し、監査レポートの作成を支援する
正解：D
解説
AWS Audit Manager は、PCI DSS などのコンプライアンスフレームワークに対して、自社の AWS 利用状況の証跡（エビデンス）を継続的に自動収集し、フレームワークのコントロールにマッピングして監査レポートの作成を支援します。AWS Artifact は AWS 自身のコンプライアンスレポート（SOC・PCI の準拠証明等）を入手する場所で、自社利用状況の証跡収集とは目的が異なります。
選択肢ごとの解説
- A誤り。AWS Artifact は AWS 自身のコンプライアンス文書を入手する場所で、自社の利用状況証跡を収集するものではありません。
- B誤り。手作業でのスクリーンショット収集は継続性・網羅性に欠け、監査証跡として不十分です。
- C誤り。Amazon Inspector は脆弱性スキャンが目的で、コンプライアンス証跡の収集・整理は行いません。
- D正しい。Audit Manager はフレームワークにマッピングした証跡を継続的に自動収集し、監査レポート作成を支援します。