ある企業がAmazon EC2インスタンスで機密データを処理し、開発者のトラブルシューティングのためにAmazon CloudWatch Logsを使用してログファイルを収集、保存、アクセスします。セキュリティエンジニアは、開発者がログ内の機密データを閲覧できないようにする必要があり、その制御はすべての新しいロググループに自動的に適用される必要があります。これらの要件を満たすソリューションはどれですか？

正解は、CloudWatch Logsのアカウント全体のデータ保護ポリシーを作成し、適切なデータ識別子を指定し、開発者がlogs:Unmask IAM権限を持たないようにすることです。CloudWatch Logsのデータ保護ポリシーは、ログデータ内の機密情報を自動的に識別し、マスキングします。アカウント全体のポリシーは、すべての新しいロググループに自動的に適用されるため、管理オーバーヘッドが削減されます。開発者がlogs:Unmask権限を持たないことで、マスキングされたデータを表示できなくなります。 不正解の選択肢は以下の理由で誤りです。 Amazon S3へのエクスポートとAmazon Macieの使用は、リアルタイムのマスキング要件を満たしません。また、開発者がS3のログにアクセスできる場合、機密データにアクセスできる可能性があります。 各ロググループにポリシーを作成する方法は、新しいロググループが作成されるたびに手動で設定する必要があるため、自動適用という要件を満たしません。