変更要約: in-scope サービス網羅(是正): Network Firewall 節に Web 保護の AWS WAF（L7・SQLi/XSS/レート制限の IaC 適用）を追加（参考書で未説明だった軸B欠落を解消）
6.3データ保護と監査
データの保護と証跡——KMS（暗号化）、保存時/転送時の暗号化、CloudTrail（API 監査）、S3 オブジェクトロック/バージョニング、証跡の改ざん防止——を理解します。コンプライアンス要件を満たします。
コンプライアンスには暗号化と監査証跡が不可欠です。KMS で暗号化し、CloudTrail で操作を記録、改ざんを防ぎます。
6.3.1暗号化と監査
- KMS：保存時暗号化（エンベロープ暗号化・キーローテーション）。S3/EBS/RDS 等に適用。
- 転送時暗号化：TLS で通信を保護する。
- CloudTrail：API 操作を監査。組織証跡で全アカウントを一元集約。
- オブジェクトロック/バージョニング：ログや証跡を WORM で改ざん・削除から保護。
「保存時暗号化/鍵管理＝KMS（エンベロープ・ローテーション）」「API 監査＝CloudTrail（組織証跡）」「証跡の改ざん防止＝S3 オブジェクトロック（WORM）＋バージョニング」「暗号化必須などの継続評価＝Config」 は DOP-C02 で頻出です。CloudTrail ログ自体を保護する設計（専用アカウント＋WORM）が問われます。
DOP-C02 では「データ保護と監査証跡を、コンプライアンス要件を満たす形で自動化・保全できるか」が問われます。KMS はエンベロープ暗号化（データキーをマスターキーで暗号化）でスケーラブルに保存時暗号化を提供し、S3/EBS/RDS/Secrets Manager 等と統合します。カスタマー管理キー（CMK）はキーポリシーでクロスアカウント利用やローテーションを制御でき、用途分離のため複数キーを使います。転送時は TLS で保護し、S3 はバケットポリシーで aws:SecureTransport を必須化できます。監査の CloudTrail は管理イベントとデータイベントを記録し、組織証跡（organization trail）で全メンバーアカウントの証跡を一元集約します。証跡そのものの保全には、専用のログアーカイブアカウントにログを集め、S3 Object Lock（WORM）＋バージョニング＋MFA Delete で改ざん・削除を防ぎ、CloudTrail のログファイル整合性検証（ダイジェスト）で改ざんを検出できます。AWS Config は「S3 暗号化必須」「CloudTrail 有効必須」などのルールで継続的にコンプライアンスを評価し、逸脱を自動修復します。設計の要は、証跡を生成元と分離して保護し、暗号化・保持期間・アクセス制御をポリシー（IaC）で強制することです。これにより監査・規制（PCI DSS、HIPAA 等）要件を満たせます。
| 保護/監査の対象 | 手段 | 要点 |
|---|---|---|
| 保存データの暗号化 | KMS（CMK） | エンベロープ暗号化・キーローテーション |
| 通信の暗号化 | TLS | aws:SecureTransport を必須化 |
| API 操作の監査 | CloudTrail（組織証跡） | 管理/データイベント・全アカウント集約 |
| 証跡の改ざん防止 | S3 Object Lock＋バージョニング | WORM・専用アカウント・整合性検証 |
シナリオ：監査要件で「全アカウントの API 操作ログを 7 年保管し、管理者でも改ざん・削除できないこと」を満たしたい。→ CloudTrail 組織証跡で全メンバーの証跡を専用ログアーカイブアカウントの S3 へ集約し、Object Lock（コンプライアンスモード）＋バージョニングで WORM 保護、ログファイル整合性検証を有効化。アクセスは最小権限に絞り、KMS で暗号化。Config ルールで「CloudTrail 有効・S3 暗号化」を継続評価します。
FAQ：CloudTrail と AWS Config と CloudWatch Logs はどう違う？ CloudTrail は「誰が・いつ・どの API を呼んだか」の監査、Config は「リソース構成の状態とコンプライアンス」の評価・記録、CloudWatch Logs は「アプリ/OS が出力する任意のログ」の集約・検索です。監査なら CloudTrail、構成準拠なら Config、アプリログなら CloudWatch Logs、と役割で選びます。
ひっかけ：CloudTrail を「アプリのログ収集」に使うのは誤り——それは CloudWatch Logs です。CloudTrail は API 操作の監査専用。また、証跡を生成元と同じアカウント/誰でも消せる S3 に置くと改ざん耐性がありません。専用アカウント＋Object Lock（WORM）で保護するのが正解です。
6.3.2証明書と専用キー管理（ACM・CloudHSM）
転送時の暗号化（TLS）と鍵の保管には、用途で使い分ける専用サービスがあります。Certificate Manager（ACM）は TLS/SSL 証明書のプロビジョニングと自動更新を無料で行い、ELB・CloudFront・API Gateway に統合します。最大の価値は証明書の自動更新で期限切れ事故を防ぐことで、DevOps では「証明書の手動更新漏れによる障害」を構造的に無くせます（ACM 発行証明書は対応サービスに紐づけて使い、エクスポートは不可）。CloudHSM（AWS CloudHSM）は 専有ハードウェアセキュリティモジュール（単一テナント）で、鍵をユーザーが完全に占有・管理します。現行の hsm2m タイプは FIPS 140-3 Level 3 準拠です（旧 hsm1 タイプは FIPS 140-2 Level 3）。通常の鍵管理はマネージドな KMS で十分ですが、規制要件で専有 HSM が必須、または独自の鍵主権・カスタム暗号化アプリ（PKCS#11 等）が必要な場合に CloudHSM を選びます（KMS のカスタムキーストアのバックエンドにもできる）。
6.3.3この節のまとめ
- 暗号化＝KMS（保存時）＋TLS（転送時）
- 監査＝CloudTrail（組織証跡）＋WORM/バージョニングで保護
- 証明書＝ACM（自動更新で期限切れ防止）／専有HSM＝CloudHSM（規制・鍵主権）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 保存データの暗号化キーを一元管理し、エンベロープ暗号化とキーローテーションを使いたい。何を使いますか？
Q2. 監査用の CloudTrail ログ自体を、削除や改ざんから保護したい。どうしますか？
Q3. 組織内の全アカウントの API 操作を、一元的に監査ログとして集約したい。何を使いますか？