ある企業が、AWS で HIPAA 準拠のアーキテクチャを設計している。EHR（電子健康記録）データを S3 に保存し、EC2 上のアプリケーションからアクセスする。データのアクセスログを記録し、暗号化を徹底し、アクセスを許可された IAM エンティティのみに制限する必要がある。最も適切なセキュリティ設定の組み合わせはどれか。
- A. S3 の ACL でアクセスを制御し、S3 Transfer Acceleration で暗号化転送を実現する。
- B. S3 のパブリックアクセスブロック有効化、S3 バケットポリシーで許可された IAM ロールのみを Allow、SSE-S3 でサーバー側暗号化、S3 サーバーアクセスログを有効化する。
- C. S3 データを EC2 インスタンスのローカルディスクにコピーして EBS 暗号化でデータを保護する。
- D. S3 のパブリックアクセスブロック有効化、S3 バケットポリシーで許可された IAM ロールのみを Allow し aws:SecureTransport を強制、SSE-KMS（CMK）でサーバー側暗号化、CloudTrail データイベント（S3 Object レベル）を有効化してすべてのアクセスログを記録する。
解答と解説を見る
正解: D
HIPAA 準拠には複数の要素が必要である。(1) パブリックアクセスブロック：不正な公開を防止、(2) バケットポリシーによるアクセス制限：許可された IAM エンティティのみ、(3) aws:SecureTransport：HTTPS 通信を強制して転送中暗号化、(4) SSE-KMS（CMK）：カスタマー管理のキーで保存データを暗号化し、キー使用の監査も可能、(5) CloudTrail S3 データイベント：誰がいつどのオブジェクトにアクセスしたかの完全な監査証跡。この組み合わせが HIPAA のセキュリティ・アクセス制御・監査要件を網羅している。選択肢BはSSE-S3 を使用しており、CMK（顧客管理キー）ではないため HIPAA の要件（キー管理の証明）を完全には満たさない可能性がある。S3 サーバーアクセスログは CloudTrail データイベントより情報が少ない。選択肢AのACL はレガシー機能でHIPAA の細かいアクセス制御要件には不十分。Transfer Acceleration は暗号化の仕組みではなくアップロード高速化。選択肢CはS3 データをEC2 ローカルにコピーすると S3 の耐久性・可用性を失い、HIPAA 環境での長期保存には不適切。