AWS Artifactの説明として最も適切なものはどれですか？

解説

AWS Artifactでは、コンプライアンス関連のレポートや契約書類にアクセスできます。

選択肢ごとの解説

実務での使いどころ

AWS Artifact は、AWS のコンプライアンス関連ドキュメントを取得するためのセルフ サービスポータルである。SOC 1 / SOC 2 / SOC 3 レポート、ISO 認証関連書類、PCI DSS の AOC（Attestation of Compliance）、HIPAA や FedRAMP 関連の文書、各種国・地域固有の コンプライアンス文書、AWS との契約書類（BAA: ビジネスアソシエイト契約、NDA 等）が 含まれる。これらは AWS のセキュリティ・コンプライアンス対応状況を第三者に説明する 際の一次資料となり、社内監査・外部監査・顧客への提出資料として直接活用できる。 実務での利用シーンとして、SOC 2 監査を受ける際に AWS が運用するインフラ部分の統制 証拠として SOC 2 レポートを取得する、HIPAA 対応の医療系システムを構築する際に BAA を AWS と締結する、PCI DSS のカード会員データ保管環境で AWS の責任範囲を AOC で 証明する、といったパターンがある。AWS Artifact 自体の利用料金は無料だが、文書は NDA 配下で配布されるため、ダウンロード時に契約条件への同意が求められる。組織として AWS Organizations を利用している場合、管理アカウントから委任して各メンバーアカウント で個別に取得することも可能である。 CLF-C02 では、「AWS のコンプライアンスレポートにアクセスするサービスは何か」「監査 資料を取得できるサービスは何か」という形で問われる。誤答として「EC2 バックアップ サービス」「Lambda スケジューラ」「CloudFront エッジ選択」のように、コンプライアンス 資料配布とは別領域のサービス機能を当て込むパターンが多い。AWS Audit Manager （監査証跡の収集自動化）と名称が似ているが、Artifact は「AWS 自身のコンプライアンス 資料の取得」、Audit Manager は「利用者環境の監査証跡収集」と役割が異なる点を整理 しておく。