【CLF-C02 無料問題】分野2 セキュリティとコンプライアンス 9問｜解説と図つき

問われている要件

• Amazon EBSボリュームに保存するデータを暗号化したいこと
• ボリュームから作成するスナップショットも同じように保護したいこと
• 保存データの暗号化を実現するサービスを選ぶこと

前提知識

Amazon EBSの暗号化とは

• EBS（Elastic Block Store、EC2インスタンスに接続して使うディスク）は、ボリュームを作成するときに暗号化を有効にできます。暗号化を有効にすると、ボリュームの中のデータ、そこから作成するスナップショット、スナップショットから復元したボリュームがすべて暗号化された状態になります。
• 暗号化の処理はインスタンスを動かすサーバー側で行われるため、利用者がOSやアプリケーションに手を加える必要はありません。

AWS KMSとは

• AWS KMS（Key Management Service）は、データの暗号化に使う鍵を作成し、誰がその鍵を使えるかを管理するサービスです。EBSだけでなく、S3やRDSなど多くのAWSサービスが暗号化にKMSの鍵を使います。
• 賃貸オフィスに例えると、KMSはビルの管理室にある鍵の保管庫です。テナントは保管庫から鍵を借りて自分の書庫を施錠し、鍵そのものはテナントが持ち歩かずに管理室が守ります。

似た名前のサービスとの違い

• AWS Certificate Managerは通信を守る証明書、AWS Secrets Managerはパスワードなどの秘密情報、Amazon MacieはS3の中の機密データの発見を担当します。いずれも「守る」という言葉でくくれますが、保存したデータを暗号化する鍵を作れるのはKMSだけです。

図による解説

解くための考え方

問題文の「EBSボリュームに保存するデータを暗号化」と「スナップショットも同じように保護」という言葉に注目します。問われているのは、通信の保護でも秘密情報の保管でもなく、保存したデータを暗号化するための鍵を作って管理するサービスです。

AWSで暗号化の鍵を作成し管理するサービスはAWS KMSです。EBSはボリュームを暗号化するときにKMSの鍵を使い、スナップショットや復元後のボリュームにも同じ鍵の保護が引き継がれるため、この要件にそのまま当てはまります。

AWS Certificate Managerは証明書を扱うサービスで、守る対象は通信です。AWS Secrets Managerはパスワードなどの秘密情報を預かる場所で、鍵を作る仕組みではありません。Amazon MacieはS3の中の機密データを見つける点検の仕組みで、暗号化そのものは行いません。

「保存データの暗号化・鍵」と読めたらAWS KMS、「証明書・HTTPS」ならAWS Certificate Manager、「パスワード・APIキーの保管」ならAWS Secrets Manager、「S3の機密データの発見」ならAmazon Macie、という対応で判断します。

問われている要件

• セキュリティグループに、特定のポートが誰からでも接続できる設定が残っていないかを点検したいこと
• 設定の不備を継続的に点検できること
• 脅威の検知や通信の遮断ではなく、設定の点検を担うサービスを選ぶこと

前提知識

セキュリティグループとは

• セキュリティグループは、EC2インスタンスなどに対してどの送信元からどのポートへの通信を許可するかを決める仮想的なファイアウォールです。送信元を「どこからでも」にしたままSSHやRDPのポートを開けていると、インターネット上の誰でも接続を試みられる状態になります。
• 賃貸オフィスに例えると、セキュリティグループは部屋ごとの鍵です。鍵を開けっ放しにしている部屋がないかを定期的に見回るのが、この問題で求められている点検です。

AWS Trusted Advisorとは

• AWS Trusted Advisorは、アカウントの利用状況をコスト最適化、パフォーマンス、セキュリティ、耐障害性、サービスクォータなどの観点で自動点検し、ベストプラクティスから外れている項目を一覧で示すサービスです。
• セキュリティのチェック項目には、特定のポートが無制限に開いているセキュリティグループの検出、ルートユーザーのMFAの有無、IAMの利用状況などがあります。これらの基本的な項目は無料の基本サポートプランでも利用できますが、基本サポートプランではチェックの自動更新が使えず、手動で更新する必要があります。AWS Business Support+以上のプランではすべての項目と自動更新を利用できます。

似た役割のサービス

• AWS CloudTrailは操作の履歴を記録するサービス、Amazon GuardDutyは脅威の兆候を検知するサービス、AWS Network Firewallは通信を検査して遮断するサービスです。どれもセキュリティに関わりますが、設定がベストプラクティスに沿っているかを判定するのはTrusted Advisorです。

図による解説

解くための考え方

問題文の「設定のまま残っているものがないか」と「継続的に点検」という言葉に注目します。求められているのは、いま起きている攻撃を見つけることでも通信を止めることでもなく、設定がベストプラクティスに沿っているかの点検です。

アカウントの設定を点検して改善点を示すサービスはAWS Trusted Advisorです。セキュリティのチェック項目に、特定のポートが無制限に開いているセキュリティグループを検出するものがあり、見つけた不備の改善を促してくれるため、この要件にそのまま当てはまります。

AWS CloudTrailは操作の履歴を記録するだけで、設定の良し悪しは判定しません。Amazon GuardDutyは脅威の兆候を検知するサービスで、設定の甘さそのものは対象外です。AWS Network Firewallは通信を検査して遮断する仕組みで、設定を評価する機能はありません。

「ベストプラクティスとの照合・設定の点検」と読めたらAWS Trusted Advisor、「操作の記録」ならAWS CloudTrail、「脅威の検知」ならAmazon GuardDuty、「通信の検査・遮断」ならAWS Network Firewall、という対応で判断します。

問われている要件

• Amazon DynamoDBを使うときの責任共有モデルの分担を理解していること
• 権限・データの内容・鍵の種類といった「利用者が決めること」を見分けること
• 複製や設備の運用など、利用者に操作の手段がない作業はAWSの担当と判断すること

前提知識

責任共有モデルとは

• 責任共有モデルは、AWSが「クラウド自体のセキュリティ」を、利用者が「クラウド内のセキュリティ」を担当する、という考え方です。AWSは設備、ネットワーク、サーバー、そしてマネージドサービスのソフトウェアを守り、利用者はデータの管理（暗号化オプションを含む）、資産の分類、IAMでの権限の適用を担当します。
• 賃貸オフィスに例えると、ビルのオーナーであるAWSは建物の構造や共用部の警備、設備の点検を担当し、テナントである利用者は部屋に何を持ち込み、誰に鍵を渡すかを担当します。

Amazon DynamoDBでAWSが受け持つ範囲

• Amazon DynamoDBはフルマネージドのデータベースで、サーバーの用意、データベースソフトウェアの更新と保守、OSへのパッチ適用をAWSが行います。
• テーブルのデータは、リージョン内の3つのアベイラビリティーゾーンへ自動的に複製されます。複製先の数や仕組みはサービスとして決まっており、利用者が設定する項目はありません。
• 保存時の暗号化も常に有効で、暗号化の機能そのものはAWSが提供します。

利用者に残る判断

• どのIAMユーザーやロールにどの操作を許すか、どんなデータをどの機密度で保存するか、暗号化にAWS所有の鍵と自分の鍵のどちらを使うか、という判断は利用者にしかできません。仕組みはAWSが用意し、その使い方を決めるのが利用者です。

図による解説

解くための考え方

問題文の「Amazon DynamoDB」と「AWS側が担当する作業」という言葉に注目します。DynamoDBは利用者がサーバーを用意せずに使えるマネージドなデータベースで、サーバーやOS、ソフトウェアの運用に加えて、データを複数のアベイラビリティーゾーンへ複製する仕組みまでAWSが引き受けます。

テーブルのデータを複数のアベイラビリティーゾーンへ複製する作業は、利用者に設定や運用の手段がなく、サービスの仕組みとしてAWSが行うものなので、これが正解です。

一方で、テーブルへアクセスできるユーザーと操作の範囲、テーブルに入れるデータの内容と分類、暗号化に使う鍵の種類は、どれも利用者にしか判断できない項目です。AWSは権限を制御する仕組みや暗号化の機能を用意しますが、それをどう使うかを決めるのは利用者の責任です。

「マネージドサービス＋責任共有でAWS側はどれか」と読めたら、利用者が触れられない仕組みの運用を選び、利用者が決める権限・データ・鍵の選択を外します。同じ問題で利用者側を問われたときはこの逆を選ぶ、と対で覚えておくと判断が安定します。

問われている要件

• 複数のAWSセキュリティサービスと他社製品の検出結果を、別々の画面ではなく横断して確認したいこと
• そのために検出結果を共通の形式にそろえて1か所に集め、全体の状態を一覧で把握できること
• 検出結果を生み出す側ではなく、受け取って集約する側のサービスを選ぶこと

前提知識

AWS Security Hubとは

• AWS Security Hubは、Amazon GuardDuty、Amazon Inspector、Amazon Macieなどのセキュリティサービスと、対応する他社製品の検出結果を、標準化された共通の形式で1か所に集約するサービスです。集めた結果をAWSのベストプラクティスやCIS、PCI DSSなどの基準と照らして、環境全体のセキュリティ状態を採点し一覧で示します。
• このように、クラウド環境の設定や状態を継続的に評価して管理する仕組みを、CSPM（Cloud Security Posture Management、クラウドセキュリティ態勢管理）と呼びます。
• 賃貸オフィスに例えると、Security Hubはビル全体の防災センターです。各フロアの警報装置や警備会社からの通報を1つの盤面に集め、ビル全体でどこに問題があるかを一目で確認できます。

名称について

• 検出結果の集約とセキュリティ基準との照合を担ってきた従来の機能は、現在はAWS Security Hub CSPMという名前で提供されています。新しいAWS Security Hubはこれを含めて、GuardDutyやInspectorなどの結果を関連付けてリスクの優先順位を付ける統合サービスになっています。試験では単にAWS Security Hubとして出題されます。

似た役割のサービス

• Amazon GuardDutyは脅威の兆候を検知する、Amazon Inspectorは脆弱性を見つける、という「検出結果を生み出す」サービスです。Amazon Detectiveは、見つかった出来事の原因をログから調べる「深掘りする」サービスです。Security Hubはこれらの結果を「集めて一覧にする」位置にあります。

図による解説

解くための考え方

問題文の「複数のAWSセキュリティサービスと他社製品の検出結果」と「別々の画面で見るのではなく横断して確認」という言葉に注目します。求められているのは、自分で脅威や脆弱性を見つけることではなく、他のサービスが見つけた結果を受け取ってまとめる役割です。

複数の情報源からの検出結果を標準化された形式で集約し、環境全体の状態を一覧にするのはAWS Security Hubです。CSPMと呼ばれるこの役割は、Security Hubの中心的な機能なので、これが正解です。

Amazon GuardDutyとAmazon Inspectorは、それぞれ脅威の検知と脆弱性の発見を行う、検出結果を生み出す側のサービスです。Amazon Detectiveは、見つかった出来事の原因をログから調べる側のサービスで、他社製品を含む結果の集約は行いません。

「検出結果を集約・標準化・一覧化」と読めたらAWS Security Hub、「脅威の検知」ならAmazon GuardDuty、「脆弱性のスキャン」ならAmazon Inspector、「原因の調査」ならAmazon Detective、という対応で判断します。

問われている要件

• AWS Lambdaを使うときの責任共有モデルの分担を理解していること
• サーバーレスではAWSがサーバー・OS・実行環境の運用と拡張を担うことを知っていること
• 利用者が担う責任が関数のコードとその依存ライブラリの管理であることを判断すること

前提知識

責任共有モデルとは

• 責任共有モデルは、AWSが「クラウド自体のセキュリティ」を、利用者が「クラウド内のセキュリティ」を担当する、という考え方です。どこまでをAWSが担うかは、使うサービスの種類によって変わります。
• 賃貸オフィスに例えると、EC2は内装のない部屋でOSから自分で用意し、Lambdaは机も什器もそろった部屋です。Lambdaで利用者が持ち込むのは書類にあたるコードと、道具にあたるライブラリだけです。

AWS Lambdaとは

• AWS Lambdaは、サーバーを用意せずにコードを実行できるサービスです。利用者はコードをアップロードして、どんなきっかけで動かすかを設定するだけで、サーバーの用意、OSの保守、パッチ適用、呼び出し数に応じた実行環境の増減はすべてAWSが行います。
• 料金は関数が実行された時間と回数に応じて発生し、通常の設定では呼び出しがない間は料金がかかりません。

Lambdaでの利用者の責任

• 関数のコードそのものと、コードが依存するライブラリの管理が中心です。コードの脆弱性を直すこと、古いライブラリを更新すること、関数に付けるIAMロールで必要最小限の権限を与えること、環境変数などに置く秘密情報を守ることも利用者の担当です。

図による解説

解くための考え方

問題文の「AWS Lambda」と「責任共有モデル」という言葉に注目します。Lambdaはサーバーを用意せずに、呼び出しがあったときだけ関数が実行されるサーバーレスのサービスです。サーバーレスのサービスでは、サーバー・OS・実行環境の運用と拡張はAWSが引き受けるため、利用者が担うのは自分が持ち込むコードとその周辺だけです。

関数のコードと、コードが使うライブラリを管理する作業は、まさに利用者が持ち込む部分の責任なので、これが正解です。

実行環境の数を呼び出しに合わせて増減させる作業は、Lambdaが自動で行う仕組みであり、利用者は関わりません。サーバーのOSへのパッチ適用も、利用者が触れられない層の作業でAWSの担当です。使っていない間に関数を停止する作業は、呼び出しがなければ動かず料金も出ないLambdaには存在しません。

「サーバーレス＋責任共有」と読めたら、動かす仕組みはAWS、持ち込むコードとライブラリと権限は利用者、という分け方を当てはめます。同じ問題がEC2で出たときはOSのパッチも利用者側に移る、と対比で覚えておくと判断が安定します。

問われている要件

• クラウドへ移行した後も利用者が直接負担する費用を見分けること
• 施設・ハードウェア・ネットワーク・仮想化基盤といったAWSが担当する層の費用が、利用料金に含まれていることを知っていること
• アプリケーションソフトウェアのライセンスが利用者側の管理対象であることを知っていること

前提知識

責任共有モデルとは

• AWSと利用者のどちらが何を担当するかを決めた考え方です。AWSはデータセンターの施設、物理サーバー、ネットワーク、仮想化基盤といった「クラウド本体」を担当し、利用者はその上に載せるOS、アプリケーション、データ、アクセス権の管理を担当します。
• 賃貸オフィスに例えると、ビルのオーナー（AWS）は建物・電気・空調・共用部の警備を用意して家賃に含め、テナント（利用者）は部屋に持ち込む業務ソフトや書類を自分で用意して費用を払います。

利用者が直接負担する費用

• サービスの利用料金のほかに、業務で使うアプリケーションソフトウェアのライセンス費用は利用者が負担します。自社が保有するライセンスをAWSへ持ち込む方法（BYOL、Bring Your Own License）と、ライセンス込みのAMIやAWS Marketplaceの製品を使う方法があり、どちらを選ぶかも利用者が決めます。物理サーバー単位で契約したライセンスは、EC2専有ホストを使えば持ち込めます。
• 持ち込んだライセンスの数や使用状況を管理したいときは、AWS License Managerで一元的に追跡できます。

AWSが負担する費用

• 電力や空調などの施設費用、物理サーバーやストレージ機器の購入と交換、リージョン間を結ぶネットワーク回線、仮想化基盤（ハイパーバイザー）の保守は、すべてAWSの責任と費用で行われます。利用者はこれらを意識せず、使った分のサービス利用料金を払います。

図による解説

解くための考え方

問題文の「自社のデータセンターからAWSに移行し、サーバーやネットワーク機器を手放した」と「移行後も直接支払う必要がある費用」という言葉に注目します。問われているのは、責任共有モデルで利用者側に残るものはどれか、という区別です。

AWSが担当するのは、施設、ハードウェア、ネットワーク、仮想化基盤といったクラウド本体の層です。電力と空調はデータセンターの施設費用、リージョン間の回線はAWSのネットワーク基盤、仮想化基盤へのパッチ適用はハイパーバイザーの保守にあたり、いずれもAWSが自らの費用で行い、利用者はサービス利用料金を払うだけです。

これらを除いて利用者側に残るのが、AWS上で動かすアプリケーションソフトウェアのライセンス費用です。何を動かすかを決めるのは利用者であり、ライセンスを持ち込む場合もライセンス込みの製品を選ぶ場合も、その費用は利用者が負担します。

「施設・機器・回線・仮想化基盤の費用はAWS」「その上で動かすソフトウェアとデータは利用者」という対応で覚えておくと、費用の責任を問う問題に落ち着いて答えられます。

問われている要件

• 責任共有モデルで、利用者の担当とAWSの担当を区別すること
• ファイアウォールの設定やデータの分類が利用者の担当であることを知っていること
• 物理機器・実行環境のOS・データベースエンジンのパッチはAWSの担当であることを知っていること
• 2つ選ぶ複数選択問題であること

前提知識

責任共有モデルとは

• AWSが「クラウドのセキュリティ」を担当し、利用者が「クラウド内のセキュリティ」を担当する、という役割分担の考え方です。AWSは施設、ハードウェア、ネットワーク、仮想化基盤、マネージドサービスの内部を守り、利用者はその上に置くデータ、アプリケーション、アクセス権、ネットワーク設定を守ります。
• 賃貸オフィスに例えると、ビルのオーナー（AWS）は建物の構造と共用部の警備を担当し、テナント（利用者）は部屋に何を持ち込み、誰に鍵を渡すかを担当します。

利用者が担当する作業の例

• セキュリティグループのルール設定、IAM（Identity and Access Management、誰が何をしてよいかを決める仕組み）でのアクセス権の管理、データの分類、ゲストOSへのパッチ適用などです。共通するのは「利用者にしか判断できないこと」です。

AWSが担当する作業の例

• データセンターの警備、サーバーやディスクの交換、AWS Lambdaの実行環境のOSやランタイムの更新、Amazon RDSのデータベースエンジンへのパッチ適用などです。マネージドサービスほどAWSの担当範囲が広くなります。

図による解説

解くための考え方

問題文の「責任共有モデル」と「利用者側が担当する作業」という言葉に注目します。問われているのは、各作業が利用者の担当か、AWSの担当かという区別です。

選択肢を「利用者にしか決められないこと」と「基盤としてAWSが自動で行うこと」に分けて考えます。セキュリティグループにどのルールを書くかは、許可したい通信を知っている利用者にしか決められません。データを重要度で分類するのも、中身を知っている利用者にしかできません。この2つが正解です。

Amazon S3のストレージ機器の交換は、AWSのデータセンターにある物理機器の保守なので、利用者が行う余地がありません。AWS Lambdaの実行環境のOSは、サーバーを意識させないサービスの性質上、AWSが保守します。Amazon RDSのデータベースエンジンへのパッチ適用も、マネージドサービスとしてAWSが行い、利用者が決めるのは受け入れる時間帯だけです。いずれも利用者が自分で行う作業ではありません。

「設定・分類・アクセス権は利用者」「物理機器・実行環境・データベースエンジンの保守はAWS」という対応で覚えておいてください。

問われている要件

• 利用者からよく寄せられる質問と、その回答をまとめた情報源を選ぶこと
• 「文書をダウンロードする」「自分の環境を点検する」サービスと、「質問への回答を読む」資料を区別すること
• セキュリティ関連の情報源として名前が似ている複数のサービスの役割を知っていること

前提知識

AWS Knowledge Centerとは

• AWSの利用者から特によく寄せられる質問と要望をもとに、AWSが公式に回答をまとめた記事と動画の集まりです。設定のつまずきやエラーの対処など、多くの人が同じように困る問題の解決手順が載っています。
• 現在はAWSの公式コミュニティサイトであるAWS re:Postの中に置かれています。試験ではAWS Knowledge Centerの名前で出題されます。
• 賃貸オフィスに例えると、Knowledge Centerはビルの管理会社が入居者からの問い合わせをまとめて掲示した「よくある質問と回答」の一覧です。

似た名前のセキュリティ関連サービス

• AWS Artifactは、AWSが受けた第三者監査の報告書や認証書を取り出す窓口です。読むのは監査文書であり、質問への回答ではありません。
• AWS Security Hubは複数のセキュリティサービスの検出結果を1か所に集めて自分のアカウントの状態を評価する画面、AWS Trusted Advisorは自分のアカウントの設定をベストプラクティスと照らして改善点を助言する仕組みです。どちらも「自分の環境を見て結果を返す」道具で、Knowledge Centerは「一般的な質問に対する回答を読む」資料という違いがあります。

図による解説

解くための考え方

問題文の「利用者から特によく寄せられる質問」と「その回答をまとめて公開している」という言葉に注目します。求めているのは、自分の環境を調べる道具ではなく、一般的な質問に対する回答を読める資料です。

よく寄せられる質問への公式な回答を集めたものがAWS Knowledge Centerです。セキュリティに限らず幅広い分野の記事があり、問題文の「よく寄せられる質問」という表現がそのまま対応します。

AWS Artifactは監査の報告書や認証書をダウンロードする窓口で、質問への回答ではありません。AWS Security HubとAWS Trusted Advisorは、どちらも自分のアカウントを点検して結果を返す道具で、他の利用者の質問と回答を読む場所ではありません。

「よくある質問への回答」ならAWS Knowledge Center、「監査報告書や認証書」ならAWS Artifact、「自分の環境の点検」ならAWS Trusted AdvisorやAWS Security Hub、という対応で覚えておくと、この種の問題を落ち着いて解けます。

問われている要件

• マネージドサービスであるAmazon DynamoDBで、利用者が担当する範囲を見分けること
• 複製先の数・ソフトウェアのパッチ・暗号化の仕組みはAWSの担当であることを知っていること
• テーブルへのアクセス権の管理は利用者の担当であることを知っていること

前提知識

Amazon DynamoDBとは

• AWSが提供するフルマネージドのNoSQLデータベースで、サーバーの用意やOSの管理をせずに、テーブルを作るだけで使い始められます。データ量が増えてもストレージは自動で広がり、リージョン内の複数のアベイラビリティーゾーンへ自動で複製されます。
• 賃貸オフィスに例えると、DynamoDBは書庫のある家具付きの部屋で、棚の増設や建物の点検はビルのオーナー（AWS）が行い、テナント（利用者）は書庫の鍵を誰に渡すかを決めます。

マネージドサービスにおける責任共有モデル

• AWSが「クラウドのセキュリティ」として施設・ハードウェア・ネットワーク・仮想化基盤を担当し、利用者が「クラウド内のセキュリティ」としてデータやアクセス権を担当します。DynamoDBのようなマネージドサービスでは、ソフトウェアやOSの保守、複数の施設への複製、保管時の暗号化の仕組みまでAWSの担当に含まれ、利用者が担当するのはデータそのものと、誰にどの操作を許すかを決めることです。

DynamoDBのアクセス制御と暗号化

• テーブルへのアクセスは、IAMのポリシーでユーザーやロールごとに「どのテーブルにどの操作を許すか」を定めて制御します。保管時の暗号化は常に有効で、利用者は鍵をAWS所有のものにするか自分で管理するものにするかを選ぶだけです。

図による解説

解くための考え方

問題文の「Amazon DynamoDB」と「利用者側が担当するもの」という言葉に注目します。問われているのは、フルマネージドのデータベースで利用者が担当する責任は何か、という区別です。

選択肢を「サービスの基盤としてAWSが自動で行うこと」と「利用者にしか決められないこと」に分けて考えます。複製先のアベイラビリティーゾーンの数は、DynamoDBがサービスの仕組みとして決めており、利用者が選ぶ設定がありません。ソフトウェアへのパッチ適用も、データベース本体をAWSが管理するため利用者は触れません。保管時の暗号化も、サービスに組み込まれて常に有効なので、利用者が機能を作る必要はありません。

これらを除くと、利用者の担当はテーブルにアクセスできるユーザーと操作の範囲を決めることです。どのアプリケーションにどのテーブルの読み書きを許すかは、その業務を知っている利用者にしか判断できず、IAMのポリシーとして利用者が設定します。

「複製・パッチ・暗号化の仕組みはAWS」「データとアクセス権は利用者」という対応で覚えておくと、マネージドサービスの責任共有を問う問題を落ち着いて解けます。