SCS-C03：AWS Certified Security - Specialty セキュリティ基盤とガバナンス 問8
セキュリティ基盤とガバナンス／AWS リソースのコンプライアンス評価暗号化されていない EBS ボリュームや、パブリックに公開された S3 バケットといった非準拠リソースを検出し、可能なものは自動的に修復（是正）したいと考えています。最も適切なのはどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「セキュリティ基盤とガバナンス」に対応。実際の試験問題ではありません）
- A四半期ごとに担当者が手作業で点検して是正する
- BAmazon GuardDuty で非準拠リソースを検出し自動是正する
- CAWS Config のルールで非準拠を検出し、自動修復アクション（SSM Automation ドキュメント）で是正する
- DAmazon Inspector で非準拠リソースを検出し自動是正する
正解：C
解説
AWS Config のルール（マネージド／カスタム）で暗号化されていない EBS や公開 S3 などの非準拠を検出し、ルールに自動修復（remediation）アクションとして SSM Automation ドキュメントを紐づけると、非準拠リソースを自動的に是正できます。GuardDuty は脅威検出、Inspector は脆弱性スキャンが目的で、構成コンプライアンスの評価・自動是正は担いません。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。四半期ごとの手作業点検は継続性に欠け、自動是正になりません。
- B誤り。GuardDuty は脅威検出が目的で、構成の非準拠検出・自動是正は行いません。
- C正しい。Config ルールで非準拠を検出し、SSM Automation による自動修復で是正できます。
- D誤り。Inspector は脆弱性スキャンが目的で、構成コンプライアンスの自動是正は行いません。