第2章　セキュリティとコンプライアンス

AWSの責任共有モデルで「クラウドのセキュリティ」（AWSの責任）に含まれるものはどれ？

1. ア　IAMポリシーで付与する権限の範囲
2. イ　EC2インスタンスのゲストOSへのパッチ適用
3. ウ　AWSのデータセンターに設置された物理ホストの保守
4. エ　S3バケットに保存するデータの分類

ある会社はAmazon EC2でWebサーバーを動かしている。責任共有モデルで、この会社が担当するものはどれ？

1. ア　ハイパーバイザーの脆弱性対応
2. イ　データセンターへの入館管理
3. ウ　ホストサーバーのディスクの物理的な廃棄
4. エ　インスタンス上のOSとアプリケーションの更新

Amazon RDSを使う場合、責任共有モデルでAWSが担当するものはどれ？

1. ア　データベースエンジンが動くOSへのパッチ適用
2. イ　データベースのユーザーとそのパスワードの管理
3. ウ　データベースへ接続を許可するセキュリティグループの設定
4. エ　どのテーブルに個人情報を入れるかの判断

AWS Lambdaで関数を動かす場合、責任共有モデルで利用者が担当するものはどれ？

1. ア　関数を実行するサーバーのOSの更新
2. イ　関数のコードと、関数に付与するIAMロールの権限
3. ウ　実行環境のランタイムを動かす物理ホストの管理
4. エ　関数を実行するためのキャパシティの物理的な調達

Amazon EC2、Amazon RDS、AWS Lambdaを比べたとき、利用者が担当するセキュリティ作業が一般的に最も多いのはどれ？

1. ア　Amazon EC2
2. イ　Amazon RDS
3. ウ　AWS Lambda
4. エ　3つとも同じ

責任共有モデルで、AWSと利用者の両方が責任を持つ「共有コントロール」の例はどれ？

1. ア　物理的・環境的なコントロール
2. イ　データセンターの電源と空調
3. ウ　利用者のデータの分類
4. エ　パッチ管理

Amazon S3を使う場合、責任共有モデルで利用者が担当するものはどれ？

1. ア　S3を構成するストレージ機器の冗長化
2. イ　S3のサービス自体を動かすソフトウェアの更新
3. ウ　バケットポリシーやパブリックアクセスの設定
4. エ　S3が置かれた施設の監視カメラの運用

EC2インスタンスに接続したEBSボリュームの暗号化について、責任共有モデルの考え方として正しいものはどれ？

1. ア　AWSがすべてのボリュームの暗号化キーを利用者に代わって選ぶ責任を持つ
2. イ　暗号化を有効にするかどうかは利用者が決めて設定する
3. ウ　暗号化はAWSの責任なので利用者は何もできない
4. エ　暗号化の設定は物理的なセキュリティの一部としてAWSが行う

責任共有モデルで、利用者がどのサービスを使う場合でも常に利用者の責任になるものはどれ？

1. ア　利用者のデータと、そのデータへのアクセス権の管理
2. イ　グローバルインフラストラクチャの可用性
3. ウ　仮想化レイヤーの分離
4. エ　ネットワーク機器のファームウェアの更新

責任共有モデルについて正しい説明を選べ。2つ選んで。

1. ア　AWSは利用者のIAMユーザーに付与する権限を決める
2. イ　AWSはハードウェアやグローバルインフラストラクチャのセキュリティに責任を持つ
3. ウ　利用者はAWSのデータセンターの物理的なアクセス管理を行う
4. エ　マネージドサービスほど、利用者が担当する範囲は小さくなる傾向がある
5. オ　サービスを問わず、OSのパッチ適用は常にAWSが行う

セキュリティグループのルールを誤って全開放にしたため、EC2インスタンスが外部から攻撃を受けた。責任共有モデルでこの設定の責任を持つのは誰？

1. ア　AWS
2. イ　AWS Marketplaceの販売者
3. ウ　利用者
4. エ　インターネットサービスプロバイダー

AWSが管理するインフラについて、利用者が自社の監査で使う「AWSから引き継ぐコントロール（継承されたコントロール）」の例はどれ？

1. ア　アプリケーションの入力値チェック
2. イ　IAMユーザーのパスワードポリシー
3. ウ　ゲストOSのファイアウォール設定
4. エ　データセンターの物理的・環境的なコントロール

監査人から、AWSのSOCレポートやISO認証の証明書を提出するよう求められた。これらの資料をダウンロードできるサービスはどれ？

1. ア　AWS Config
2. イ　AWS Artifact
3. ウ　Amazon Inspector
4. エ　AWS Trusted Advisor

ある医療系の会社は、AWSとHIPAAに関するBusiness Associate Addendum（BAA）などの契約を確認・締結したい。どのサービスを使うべき？

1. ア　AWS Artifact
2. イ　AWS Audit Manager
3. ウ　AWS Organizations
4. エ　AWS Control Tower

「先週の金曜日に誰がS3バケットを削除したか」を調べたい。どのサービスの記録を見るべき？

1. ア　Amazon CloudWatch のメトリクス
2. イ　AWS Artifact
3. ウ　Amazon Macie
4. エ　AWS CloudTrail

リソースの設定が時間とともにどう変わったかを記録し、「EBSボリュームが暗号化されているか」などのルールに沿っているかを継続的に評価できるサービスはどれ？

1. ア　AWS CloudTrail
2. イ　AWS Shield
3. ウ　AWS Config
4. エ　Amazon Cognito

AWS CloudTrailとAWS Configの違いの説明として正しいものはどれ？

1. ア　CloudTrailはAPIの操作履歴を、Configはリソースの設定状態とその変化を記録する
2. イ　CloudTrailはリソースの設定状態を、ConfigはAPIの操作履歴を記録する
3. ウ　どちらもネットワークの通信内容（パケット）を記録する
4. エ　どちらもAWSの第三者監査レポートを提供する

ある会社は、自社のAWSアカウントの設定がPCI DSSなどのセキュリティ基準に沿っているかを自動でチェックし、結果を1か所で確認したい。どのサービスが最適？

1. ア　AWS Artifact
2. イ　AWS Security Hub
3. ウ　Amazon Detective
4. エ　AWS Firewall Manager

AWS Organizationsのサービスコントロールポリシー（SCP）の説明として正しいものはどれ？

1. ア　個々のIAMユーザーに権限を付与するためのポリシー
2. イ　EC2インスタンスへの通信を許可・拒否するファイアウォールのルール
3. ウ　メンバーアカウントで使える権限の上限を定めるもので、それ自体は権限を付与しない
4. エ　S3バケットに付けて外部アカウントにアクセスを許可するポリシー

ある会社は、組織内のすべての開発用アカウントで、特定のリージョン以外にリソースを作れないようにしたい。各アカウントの管理者でもこの制限を外せないようにするには、何を使うべき？

1. ア　各アカウントのIAMユーザーにパスワードポリシーを設定する
2. イ　セキュリティグループ
3. ウ　AWS Trusted Advisorのチェック
4. エ　AWS Organizationsのサービスコントロールポリシー（SCP）