コースについて
AWS認定セキュリティ – スペシャリティ(SCS-C03)の概要
AWS Certified Security – Specialty(SCS-C03)は、AWS環境におけるセキュリティ設計・実装・運用に関する高度な知識と実践力を証明する専門資格です。IAM、データ保護、暗号化、インシデント対応、ネットワークセキュリティ、監査・ガバナンスなど、AWS上で安全なクラウド環境を構築・運用するためのスキルが評価されます。クラウドセキュリティエンジニアやインフラエンジニア、セキュリティ担当者に適した認定資格です。
AWS認定セキュリティ – スペシャリスト(SCS-C03)試験概要
本資格試験の概要は以下の通りです。
- 試験名:AWS Certified Security – Specialty(SCS-C03)
- 資格カテゴリ:Specialty
- 試験時間:170分
- 問題数:65問(択一・複数選択)
- 採点対象:50問
- 採点対象外:15問
- 受験料:300 USD(日本円は申込時の為替レートにより決定)
- 合格ライン:750点(100~1,000点のスケール)
- 受験方法
- Pearson VUEテストセンター
- オンライン監督試験(自宅・職場など)
- 対応言語
- 日本語
- 英語
- 韓国語
- 中国語(簡体字)
- ポルトガル語(ブラジル)
- スペイン語(ラテンアメリカ)
- 有効期限:3年間
- 対象者の目安
- ITセキュリティ実務経験5年以上
- AWS上でのセキュリティ運用・設計経験2年以上(推奨)
- 主な出題分野
- 検出(Detection)
- インシデント対応
- インフラストラクチャセキュリティ
- IAM(Identity and Access Management)
- データ保護
- セキュリティ基盤・ガバナンス
SCS-C03は、「最も適切なセキュリティ対策はどれか」「コストや運用負荷も考慮したベストプラクティスはどれか」を問うシナリオ問題が多く出題されます。そのため、サービス名を覚えるだけでなく、「この状況ならGuardDuty」「この要件ならKMSとSecrets Manager」といった使い分けを理解することが合格への近道です。
すでにAWS Certified Cloud PractitionerやAWSの基本サービスを理解しているのであれば、60~100時間程度の学習が一つの目安になります。AWS実務経験が少ない場合は、ハンズオンの時間を多めに確保すると効果的です。
SCS-C02とSCS-C03の出題内容の差分
旧バージョンであるSCS-C02と、現行のSCS-C03の差分については以下のAWS公式ドキュメントから詳細な情報を確認できます。
コース内容
AWS認定セキュリティ スペシャリティ試験概要
AWS認定セキュリティ スペシャリティ受験方法
コンテンツ分野 1: 検出
-
タスク 1.1: AWS アカウントまたは組織向けのモニタリングおよびアラートソリューションを設計し、実装する。
-
スキル 1.1.1: ワークロードを分析してモニタリング要件を判断する。
-
スキル 1.1.2: ワークロードモニタリング戦略を設計して実装する (リソースのヘルスチェックの設定など)。
-
スキル 1.1.3: セキュリティとモニタリングイベントを集約する。
-
スキル 1.1.4: メトリクス、アラート、ダッシュボードを作成して、異常なデータやイベントを検出する (Amazon GuardDuty、Amazon Security Lake、AWS Security Hub、Amazon Macie など)。
-
スキル 1.1.5: オートメーションを作成して管理し、定期的な評価と調査を行う (AWS Config コンフォーマンスパック、Security Hub、AWS Systems Manager State Manager のデプロイなど)。
-
タスク 1.2: ロギングソリューションを設計し、実装する。
-
スキル 1.2.1: 要件に基づいてログの取り込みとストレージのソースを特定する。
-
スキル 1.2.2: AWS のサービスとアプリケーションのロギングを設定する (組織の AWS CloudTrail 証跡の設定、専用の Amazon CloudWatch ロギングアカウントの作成、Amazon CloudWatch Logs エージェントの設定など)。
-
スキル 1.2.3: ログストレージとログデータレイク (Security Lake など) を実装し、サードパーティーのセキュリティツールと統合する。
-
スキル 1.2.4: AWS のサービスを使用してログを分析する (CloudWatch Logs Insights、Amazon Athena、Security Hub の検出結果など)。
-
スキル 1.2.5: AWS のサービスを使用してログの正規化、解析、関連付けを行う (Amazon OpenSearch Service、AWS Lambda、Amazon Managed Grafana など)。
-
スキル 1.2.6: ネットワーク設計、脅威、攻撃に基づいて適切なログソースを判断し、設定する (VPC フローログ、Transit Gateway フローログ、Amazon Route 53 Resolver ログなど)。
-
タスク 1.3: セキュリティモニタリング、ロギング、アラートソリューションをトラブルシューティングする。
-
スキル 1.3.1: リソースの機能、アクセス許可、設定を分析する (Lambda 関数ロギング、Amazon API Gateway ロギング、ヘルスチェック、Amazon CloudFront ロギングなど)。
-
スキル 1.3.2: リソースの設定ミスを修正する (CloudWatch Agent 設定のトラブルシューティング、不足しているログのトラブルシューティングなど)。
コンテンツ分野 2: インシデント対応
-
タスク 2.1: インシデント対応計画を策定し、テストする。
-
スキル 2.1.1: セキュリティインシデントに対応するための対応計画とランブックを策定し、実装する (Systems Manager OpsCenter、Amazon SageMaker AI ノートブックなど)。
-
スキル 2.1.2: AWS のサービスと機能を使用し、インシデントに備えてサービスを設定する (アクセスのプロビジョニング、セキュリティツールのデプロイ、影響範囲の最小化、AWS Shield Advanced 保護の設定など)。
-
スキル 2.1.3: インシデント対応計画の有効性のテストと検証のための手順を推奨する (AWS Fault Injection Service、AWS Resilience Hub など)。
-
スキル 2.1.4: AWS のサービスを使用してインシデントを自動的に修復する (Systems Manager、Automated Forensics Orchestrator for Amazon EC2、AWS Step Functions、Amazon Application Recovery Controller、Lambda 関数など)。
-
タスク 2.2: セキュリティイベントに対応する。
-
スキル 2.2.1: 関連するシステムログとアプリケーションログをフォレンジックアーティファクトとしてキャプチャし、保存する。
-
スキル 2.2.2: アプリケーションと AWS サービス全体のセキュリティイベントのログを検索し、関連付ける。
-
スキル 2.2.3: AWS のセキュリティサービスの検出結果を検証し、イベントの範囲と影響を評価する。
-
スキル 2.2.4: 脅威を封じ込めて根絶することにより、影響を受けたリソースに対応し、リソースを復旧する (ネットワーク封じ込めコントロールの実装、バックアップの復元など)。
-
スキル 2.2.5: 根本原因分析を行う方法を説明する (Amazon Detective など)。
コンテンツ分野 3: インフラストラクチャのセキュリティ
-
タスク 3.1: ネットワークエッジサービスのセキュリティコントロールを設計、実装、トラブルシューティングする。
-
スキル 3.1.1: 予想される脅威と攻撃に基づいてエッジセキュリティ戦略を定義し、選択する。
-
スキル 3.1.2: 適切なネットワークエッジ保護を実装する [CloudFront ヘッダー、AWS WAF、AWS IoT ポリシー、OWASP Top 10 の脅威からの保護、Amazon S3 クロスオリジンリソース共有 (CORS)、Shield Advanced など]。
-
スキル 3.1.3: 要件に基づいて AWS エッジコントロールとルールを設計し、実装する (地理、位置情報、レート制限、クライアントフィンガープリントなど)。
-
スキル 3.1.4: AWS エッジサービスとサードパーティーサービスとの統合を設定する [Open Cybersecurity Schema Framework (OCSF) 形式のデータの取り込み、サードパーティーの WAF ルールの使用など]。
-
タスク 3.2: コンピューティングワークロードのセキュリティコントロールを設計、実装、トラブルシューティングする。
-
スキル 3.2.1: コンピューティングワークロードを保護し、セキュリティコントロールを組み込むために、強化された Amazon EC2 AMI とコンテナイメージを設計し、実装する (Systems Manager、EC2 Image Builder など)。
-
スキル 3.2.2: コンピューティングワークロードを認可するために、インスタンスプロファイル、サービスロール、実行ロールを適切に適用する。
-
スキル 3.2.3: コンピューティングリソースに既知の脆弱性がないかスキャンする (Amazon Inspector を使用したコンテナイメージと Lambda 関数のスキャン、GuardDuty を使用したコンピューティングランタイムのモニタリングなど)。
-
スキル 3.2.4: 更新プロセスを自動化し、継続的な検証を統合することで、コンピューティングリソース全体にパッチをデプロイしてセキュアな準拠環境を維持する (Systems Manager Patch Manager、Amazon Inspector など)。
-
スキル 3.2.5: コンピューティングリソースへのセキュアな管理アクセスを設定する (Systems Manager Session Manager、EC2 Instance Connect など)。
-
スキル 3.2.6: パイプライン内の脆弱性を検出して修正するためのセキュリティツールを設定する (Amazon Q Developer、Amazon CodeGuru Security など)。
-
スキル 3.2.7: 生成 AI アプリケーションの保護とガードレールを実装する (GenAI OWASP Top 10 for LLM Applications 保護の適用など)。
-
タスク 3.3: ネットワークセキュリティコントロールを設計し、トラブルシューティングする。
-
スキル 3.3.1: 必要に応じてネットワークトラフィックを許可または禁止するための適切なネットワークコントロールを設計し、トラブルシューティングする (セキュリティグループ、ネットワーク ACL、AWS Network Firewall など)。
-
スキル 3.3.2: ハイブリッドネットワークとマルチクラウドネットワークの間のセキュアな接続を設計する [AWS Site-to-Site VPN、AWS Direct Connect、MAC セキュリティ (MACsec) など]。
-
スキル 3.3.3: ハイブリッド環境と AWS の間の通信に関するセキュリティワークロード要件を判断し、設定する (AWS Verified Access の使用など)。
-
スキル 3.3.4: セキュリティ要件に基づいてネットワークセグメンテーションを設計する (north-south と east-west のトラフィック保護、分離されたサブネットなど)。
-
スキル 3.3.5: 不必要なネットワークアクセスを特定する (AWS Verified Access、Network Access Analyzer、Amazon Inspector のネットワーク到達可能性の検出結果など)。
コンテンツ分野 4: Identity and Access Management
-
タスク 4.1: 認証戦略を設計、実装、トラブルシューティングする。
-
スキル 4.1.1: 人間、アプリケーション、システムの認証のためのアイデンティティソリューションを設計し、確立する [AWS IAM アイデンティティセンター、Amazon Cognito、多要素認証 (MFA)、ID プロバイダー (IdP) 統合など]。
-
スキル 4.1.2: 一時的な認証情報を発行するためのメカニズムを設定する (AWS STS、Amazon S3 署名付き URL など)。
-
スキル 4.1.3: 認証に関する問題をトラブルシューティングする (CloudTrail、Amazon Cognito、IAM アイデンティティセンターのアクセス許可セット、AWS Directory Service など)。
-
タスク 4.2: 認可戦略を設計、実装、トラブルシューティングする。
-
スキル 4.2.1: 人間、アプリケーション、システムのアクセスのための認可コントロールを設計し、評価する (Amazon Verified Permissions、IAM パス、IAM Roles Anywhere、クロスアカウントアクセスのためのリソースポリシー、IAM ロール信頼ポリシーなど)。
-
スキル 4.2.2: 属性ベースのアクセス制御 (ABAC) 戦略およびロールベースのアクセス制御 (RBAC) 戦略を設計する (タグまたは属性に基づいたリソースアクセスの設定など)。
-
スキル 4.2.3: 最小権限の原則に従って IAM ポリシーを設計、解釈、実装する (アクセス許可境界、セッションポリシーなど)。
-
スキル 4.2.4: 認可障害を分析して原因または影響を判断する (IAM Policy Simulator、IAM Access Analyzer など)。
-
スキル 4.2.5: リソース、サービス、またはエンティティに付与された、意図しないアクセス許可、認可、または権限を調査し、修正する (IAM Access Analyzer など)。
コンテンツ分野 5: データ保護
-
タスク 5.1: 転送中のデータのコントロールを設計し、実装する。
-
スキル 5.1.1: リソースへの接続時に暗号化を義務付けるメカニズムを設計し、設定する [Elastic Load Balancing (ELB) セキュリティポリシーの設定、TLS 設定の強制適用など]。
-
スキル 5.1.2: リソースへのセキュアなプライベートアクセスのためのメカニズムを設計し、設定する (AWS PrivateLink、VPC エンドポイント、AWS Client VPN、AWS Verified Access など)。
-
スキル 5.1.3: 転送中のリソース間暗号化を設計し、設定する (Amazon EMR、Amazon EKS、SageMaker AI、Nitro 暗号化のためのノード間暗号化設定など)。
-
タスク 5.2: 保管中のデータのコントロールを設計し、実装する。
-
スキル 5.2.1: 特定の要件に基づいて、保管中のデータ暗号化を設計、実装、設定する (AWS CloudHSM や AWS KMS などの適切な暗号化キーサービスの選択、クライアント側の暗号化やサーバー側の暗号化などの適切な暗号化タイプの選択など)。
-
スキル 5.2.2: データの整合性を確保するためのメカニズムを設計し、設定する (S3 Object Lock、S3 Glacier Vault Lock、バージョニング、デジタルコード署名、ファイル検証など)。
-
スキル 5.2.3: データの自動ライフサイクル管理および保持ソリューションを設計する (S3 ライフサイクルポリシー、S3 Object Lock、Amazon EFS ライフサイクルポリシー、Amazon FSx for Lustre バックアップポリシーなど)。
-
スキル 5.2.4: セキュアなデータレプリケーションおよびバックアップソリューションを設計し、設定する (Amazon Data Lifecycle Manager、AWS Backup、ランサムウェア対策、AWS DataSync など)。
-
タスク 5.3: 機密データ、認証情報、シークレット、暗号化キーマテリアルを保護するためのコントロールを設計し、実装する。
-
スキル 5.3.1: 認証情報とシークレットの管理とローテーションを設計する (AWS Secrets Manager など)。
-
スキル 5.3.2: インポートされたキーマテリアルを管理し、使用する (インポートされたキーマテリアルの管理とローテーション、外部キーストアの管理と設定など)。
-
スキル 5.3.3: インポートされたキーマテリアルと AWS によって生成されたキーマテリアルの違いを説明する。
-
スキル 5.3.4: 機密データをマスクする (CloudWatch Logs データ保護ポリシー、Amazon SNS メッセージデータ保護など)。
-
スキル 5.3.5: 単一の AWS リージョンまたは複数のリージョンにわたる暗号化キーと証明書を作成し、管理する (AWS KMS カスタマーマネージド AWS KMS キー、AWS Private Certificate Authority など)。
コンテンツ分野 6: セキュリティ基盤とガバナンス
-
タスク 6.1: AWS アカウントを一元的にデプロイして管理する戦略を策定する。
-
スキル 6.1.1: AWS Organizations を使用して組織をデプロイし、設定する。
-
スキル 6.1.2: AWS Control Tower を新規および既存の環境に実装して管理し、オプションのカスタムコントロールをデプロイする。
-
スキル 6.1.3: アクセス許可を管理するための組織ポリシーを実装する (SCP、RCP、AI サービスオプトアウトポリシー、宣言型ポリシーなど)。
-
スキル 6.1.4: セキュリティサービスを一元管理する (委任管理者アカウントなど)。
-
スキル 6.1.5: AWS アカウントのルートユーザー認証情報を管理する (メンバーアカウントのルートアクセスの一元化、MFA の管理、ブレークグラス手順の設計など)。
-
タスク 6.2: クラウドリソースのためのセキュアで一貫したデプロイ戦略を実装する。
-
スキル 6.2.1: Infrastructure as Code を使用して、クラウドリソースをアカウント間で一貫したセキュアな方法でデプロイする (CloudFormation スタックセット、サードパーティーの IaC ツール、CloudFormation Guard、cfn-lint など)。
-
スキル 6.2.2: タグを使用して、AWS リソースを管理用のグループに整理する (部門、コストセンター、環境別のグループ化など)。
-
スキル 6.2.3: 中央のソースからポリシーと設定をデプロイし、強制適用する (AWS Firewall Manager など)。
-
スキル 6.2.4: AWS アカウント間でリソースをセキュアな方法で共有する [AWS Service Catalog、AWS Resource Access Manager (AWS RAM) など]。
-
タスク 6.3: AWS リソースのコンプライアンスを評価する。
-
スキル 6.3.1: 準拠していない AWS リソースを検出して修正し、通知を送信するためのルールを作成または有効にする (AWS Config を使用したアラートの集約と非準拠のリソースの修正、Security Hub など)。
-
スキル 6.3.2: AWS 監査サービスを使用してエビデンスを収集し、整理する (AWS Audit Manager、AWS Artifact など)。
-
スキル 6.3.3: AWS のサービスを使用して、アーキテクチャが AWS セキュリティのベストプラクティスに準拠しているかどうかを評価する (AWS Well-Architected フレームワークツールなど)。
