第6章 · セキュリティとコンプライアンス·v2.2.0·更新 2026/6/28·読了目安 約10分
変更要約: in-scope サービス網羅(是正): Network Firewall 節に Web 保護の AWS WAF（L7・SQLi/XSS/レート制限の IaC 適用）を追加（参考書で未説明だった軸B欠落を解消）
6.3データ保護と監査
この節の要点
データの保護と証跡——KMS（暗号化）、保存時/転送時の暗号化、CloudTrail（API 監査）、S3 オブジェクトロック/バージョニング、証跡の改ざん防止——を理解します。コンプライアンス要件を満たします。
コンプライアンスには暗号化と監査証跡が不可欠です。KMS で暗号化し、CloudTrail で操作を記録、改ざんを防ぎます。
6.3.1暗号化と監査
- KMS：保存時暗号化（エンベロープ暗号化・キーローテーション）。S3/EBS/RDS 等に適用。
- 転送時暗号化：TLS で通信を保護する。
- CloudTrail：API 操作を監査。組織証跡で全アカウントを一元集約。
- オブジェクトロック/バージョニング：ログや証跡を WORM で改ざん・削除から保護。
試験ポイント
「保存時暗号化/鍵管理＝KMS（エンベロープ・ローテーション）」「API 監査＝CloudTrail（組織証跡）」「証跡の改ざん防止＝S3 オブジェクトロック（WORM）＋バージョニング」「暗号化必須などの継続評価＝Config」 は DOP-C02 で頻出です。CloudTrail ログ自体を保護する設計（専用アカウント＋WORM）が問われます。