変更要約: SCS-C02 第5章を深掘り（比較表・シナリオ・FAQ・ひっかけ・深掘り段落を各節に追加、図を日本語版に対応）
5.3ストレージ・DB のデータ保護
ストアの保護——S3 暗号化（SSE-S3/SSE-KMS/DSSE）、S3 公開防止/バケットポリシー、EBS/RDS 暗号化、バックアップ保護、データライフサイクル——を理解します。データを安全に保管します。
データストアは暗号化とアクセス制御で守ります。特に S3 の公開防止と暗号化方式の選択が頻出です。
5.3.1ストアの保護
- S3 暗号化：SSE-S3（AWS 管理）/SSE-KMS（CMK・監査可）/DSSE（二重）から選ぶ。
- S3 公開防止：ブロックパブリックアクセス＋制限的なバケットポリシーで誤公開を防ぐ。
- EBS/RDS 暗号化：KMS で保存時暗号化（スナップショットも暗号化）。
- バックアップ保護：別アカウント/別リージョン＋WORM で改ざん・削除を防ぐ。
「S3 の鍵を監査/制御したい＝SSE-KMS」「誤公開防止＝ブロックパブリックアクセス＋バケットポリシー」「EBS/RDS の保存時暗号化＝KMS（スナップショットも）」「バックアップは別アカウント＋WORM」 は SCS-C02 で頻出です。S3 の誤公開はブロックパブリックアクセスをアカウントレベルで有効化して防ぎます。
SCS-C02 のストア保護は「暗号化方式の選択とアクセス制御、特に S3 の公開防止」を問います。S3 暗号化は、SSE-S3（AWS 管理キー・無料・運用簡単）、SSE-KMS（CMK で鍵を制御し、利用を CloudTrail で監査可・S3 Bucket Keys でコスト削減）、DSSE-KMS（二重暗号化・高規制向け）、クライアント側暗号化から選びます。鍵の制御や監査が要件なら SSE-KMS が正解。公開防止は、ブロックパブリックアクセス（BPA）をアカウント＆バケットレベルで有効化してパブリック ACL/ポリシーを無効化し、加えて最小権限のバケットポリシー、VPC エンドポイントポリシーでアクセス元を限定、ACL は無効化（バケット所有者強制）が現行ベストプラクティスです。EBS/RDS は KMS で保存時暗号化し、暗号化ボリュームのスナップショットも暗号化、リージョン間コピー時に別 CMK で再暗号化できます。バックアップは AWS Backup で別アカウント/別リージョンにコピーし、Backup Vault Lock（WORM）でランサムウェア/誤削除に耐性を持たせます。データの分類は Macie、保持はライフサイクルで管理。設計の要は、監査が要るなら SSE-KMS、誤公開は BPA＋バケットポリシー＋ACL 無効化、EBS/RDS は KMS（スナップショット含む）、バックアップは別アカウント＋WORM、を正しく選ぶことです。
| S3 暗号化方式 | 鍵の管理 | 使いどころ |
|---|---|---|
| SSE-S3 | AWS 管理（不可視） | 簡単・無料・監査/制御不要 |
| SSE-KMS | CMK で制御・CloudTrail 監査 | 鍵の制御/監査が要件 |
| DSSE-KMS | CMK・二重暗号化 | 高規制・多層暗号化 |
| クライアント側 | 自分で鍵管理 | AWS に平文を渡したくない |
シナリオ：機密データを S3 に置く。誤公開を組織全体で防ぎ、鍵の利用を監査し、ランサムウェアにも備えたい。→ アカウント＆バケットで ブロックパブリックアクセスを有効化し ACL を無効化（バケット所有者強制）、最小権限のバケットポリシーで限定。暗号化は SSE-KMS（CMK）にして利用を CloudTrail で監査、aws:SecureTransport: false を Deny して TLS 強制。バックアップは AWS Backup で別アカウント/別リージョンへコピー＋Vault Lock（WORM）でランサムウェア耐性を持たせます。
FAQ：SSE-S3 と SSE-KMS はどちらを選ぶ？ 暗号化されていればよく、鍵の制御や監査が不要なら SSE-S3（AWS 管理・無料・運用簡単）。鍵の使用を CloudTrail で監査したい、鍵ポリシーで利用を制御したい、クロスアカウントで鍵を共有したいなら SSE-KMS（CMK）。大量アクセスのコストが気になる場合は S3 Bucket Keys で KMS 呼び出しを削減できます。要件が「監査/制御」なら迷わず SSE-KMS です。
ひっかけ：S3 の誤公開対策をバケットポリシーだけに頼るのは弱い——ポリシーの記述ミスで公開され得ます。ブロックパブリックアクセス（アカウント＆バケット）を有効化し、ACL を無効化（バケット所有者強制）するのが確実です。また「鍵の利用を監査したい」のに SSE-S3 を選ぶのは誤りで、監査/制御には SSE-KMS（CMK）が必要です。バックアップを同一アカウントにだけ置くのもランサムウェア観点で不十分（別アカウント＋WORM）。
5.3.2この節のまとめ
- S3＝SSE-KMS（監査可）＋ブロックパブリックアクセス
- EBS/RDS＝KMS 暗号化／バックアップ＝別アカウント＋WORM
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. S3 オブジェクトの暗号化で、使用する鍵を自分で制御し、アクセスを CloudTrail で監査したい。どの方式ですか？
Q2. S3 バケットが誤って公開されないよう、アカウント全体で確実に防ぎたい。何を使いますか？
Q3. EBS ボリュームとそのスナップショットを保存時に暗号化したい。何を使いますか？