顧客のPIIを扱う多層Webアプリケーションを保護しています。フェーズ1では、爆発半径を最小限に抑え、特権アクセスを制限し、侵害を想定する必要があります。正式なデータ分類の展開は来四半期から開始されます。今すぐ実装すべき設計上の決定はどれですか？2つ選択してください。

多層防御は、複数のセキュリティ層を導入することで攻撃対象領域を減らし、侵害を想定する原則に合致します。WAFはWebアプリケーション攻撃から保護し、Azure Firewall PremiumとNSG/ASGはネットワークセグメンテーションを提供し、Private Endpointはデータサービスへのパブリックアクセスを排除します。これにより、爆発半径が最小化されます。最小特権の原則は、特権アクセスを制限するために不可欠です。Azure AD RBACとPIMは、ジャストインタイムアクセスでこれを実現します。マネージドIDとKey Vaultは、シークレット管理を強化し、資格情報の漏洩リスクを低減します。 他の選択肢は不適切です。サブスクリプションスコープで所有者ロールを付与すると、特権アクセスが制限されず、爆発半径が拡大します。単一の汎用データラベルと保存時の暗号化のみでは、PIIの保護には不十分です。データ分類が未展開の状況で、ステークホルダーの意見なしにDLPを強制すると、運用上の問題が発生する可能性があります。