AWSのセキュリティ専門資格 SCS-C03 の頻出用語をフラッシュ暗記で。脅威検知・ログ監視・インフラ・IAM・データ保護・ガバナンス・生成AIセキュリティまで横断。
AWS Security Specialty 用語ドリルに収録している語をレベル別に掲載します。ドリルでは以下の語を4択形式で出題し、正解後に意味・補足を表示します。全74語のうち代表的なものを抜粋しました。
脅威検知・ログ監視・インフラ・IAM・データ保護・ガバナンスのSCS-C03頻出用語。 ※ 収録42語のうち24語を抜粋して掲載しています。
| QUESTION | 意味 | ポイント |
|---|---|---|
| GuardDutyAmazon GuardDutyTHREAT | 脅威を継続検知 | ログを分析し不審な挙動や攻撃の兆候を自動検知するサービス。 |
| DetectiveAmazon DetectiveTHREAT | 侵害の根本原因を分析 | 関連イベントを可視化し調査・原因究明を支援する。 |
| Security HubAWS Security HubTHREAT | 検出結果を集約 | 複数サービスの検出と準拠状況を一元可視化する。 |
| 自動修復Automated RemediationTHREAT | 検出に応じ自動で是正 | EventBridge＋SSM/Lambdaで検出を起点に自動対処する。 |
| CloudTrailAWS CloudTrailLOG | API操作を記録 | 誰がいつ何のAPIを呼んだかを記録する監査の基盤。 |
| CloudWatch LogsCloudWatch LogsLOG | ログを集約・監視 | アプリや各サービスのログを収集し監視・検索する。 |
| AWS ConfigAWS ConfigLOG | 構成変更を記録・評価 | リソース構成の履歴と準拠状況を継続的に評価する。 |
| CloudWatchアラームCloudWatch AlarmsLOG | 閾値超過を通知 | メトリクスが基準を超えたら通知・自動アクションを起動。 |
| セキュリティグループSecurity GroupINFRA | インスタンスの通信を制御 | ステートフルにインバウンド/アウトバウンドを許可制御する。 |
| ネットワークACLNetwork ACLINFRA | サブネットの通信を制御別訳：NACL | ステートレスに許可/拒否でサブネット境界を制御する。 |
| ShieldAWS ShieldINFRA | DDoSから保護 | ボリューム型の攻撃を緩和し可用性を守る防御サービス。 |
| Systems ManagerAWS Systems ManagerINFRA | 運用・パッチを管理別訳：SSM | Session ManagerやPatch Managerで安全に運用・修復する。 |
| ハードニングHardeningINFRA | 不要機能を削り堅牢化 | 既定設定を見直し攻撃面を縮小する要塞化作業。 |
| IAMポリシーIAM PolicyIAM | 権限をJSONで定義 | アクション/リソース/条件で許可・拒否を細かく定める。 |
| STSSecurity Token ServiceIAM | 一時認証情報を発行 | 期限付きトークンで安全にクロスアカウント等へアクセス。 |
| MFAMulti-Factor AuthenticationIAM | 多要素で本人確認 | パスワードに加え別要素を要求しなりすましを防ぐ。 |
| リソースベースポリシーResource-based PolicyIAM | リソース側で許可を定義 | S3バケット等に直接ポリシーを付与しアクセスを制御。 |
| KMSKey Management ServiceDATA | 暗号鍵を一元管理 | 鍵の生成・保管・ローテーションを集中管理し暗号化を支える。 |
| Secrets ManagerSecrets ManagerDATA | 機密情報を安全に管理 | パスワードやAPIキーを保管し自動ローテーションする。 |
| エンベロープ暗号化Envelope EncryptionDATA | データ鍵を鍵で暗号化 | データをデータ鍵で、データ鍵をマスター鍵で暗号化する方式。 |
| S3暗号化S3 EncryptionDATA | 保存データを暗号化 | SSE-S3/SSE-KMS等で保存時にオブジェクトを暗号化する。 |
| OrganizationsAWS OrganizationsGOV | 複数アカウントを統合管理 | アカウントを階層管理しポリシーや請求を一元化する。 |
| Control TowerAWS Control TowerGOV | 安全なマルチアカウント基盤 | ベストプラクティスに沿う環境を自動整備する。 |
| Firewall ManagerAWS Firewall ManagerGOV | 防御ルールを一元適用 | WAF/Shield等のルールを組織全体に統一適用する。 |
Detective振る舞いグラフ・KMSグラント・ABAC・Bedrockガードレールなど発展用語（生成AI/MLセキュリティ含む）。 ※ 収録32語のうち24語を抜粋して掲載しています。
| QUESTION | 意味 | ポイント |
|---|---|---|
| GuardDutyマルウェア保護Malware ProtectionTHREAT | EBS等のマルウェアを検知 | 疑わしいインスタンスのボリュームをスキャンし検出する。 |
| Detective振る舞いグラフBehavior GraphTHREAT | 関連を可視化し調査 | エンティティ間の関係を時系列で可視化し原因を追う。 |
| Security Hub標準Security StandardsTHREAT | 準拠状況を自動評価 | CISやFSBP等の基準で構成の準拠度を継続評価する。 |
| CloudTrail LakeCloudTrail LakeLOG | 証跡を集約しSQLクエリ（2026年5月新規受付停止、代替CloudWatch） | イベントを一元保管しSQLで横断調査する。 |
| ログ整合性検証Log File ValidationLOG | 改ざんを検知 | CloudTrailのダイジェストでログの改ざんを検証する。 |
| Amazon Data Firehose（旧 Kinesis Data Firehose）Amazon Data FirehoseLOG | ログをリアルタイム転送別訳：Kinesis Data Firehose（旧称） | ログをSIEMやS3へ継続的に配信する。 |
| GatewayロードバランサGateway Load BalancerINFRA | 検査用アプライアンスを集約 | サードパーティのIDS/IPSを透過的に挿入する。 |
| トラフィックミラーリングTraffic MirroringINFRA | 通信を複製し検査 | パケットをミラーして詳細な侵入検知・分析を行う。 |
| Session ManagerSession ManagerINFRA | 踏み台なしで安全に接続 | SSH鍵や公開ポートなしでシェル接続し監査も残す。 |
| Inspector SBOMSBOM ExportINFRA | 構成部品表を出力 | ソフトウェア部品表を出力し供給網の脆弱性を把握する。 |
| ABACAttribute-Based Access ControlIAM | 属性で動的に制御 | タグ等の属性条件でアクセス可否を柔軟に決める。 |
| 条件キーCondition KeysIAM | 条件で許可を絞る | 送信元IPやMFA有無などポリシーの条件を細かく指定する。 |
| フェデレーションFederationIAM | 外部IDと信頼連携 | SAML/OIDCで他組織のIDを信頼しアクセスを許可する。 |
| ロールチェーンRole ChainingIAM | ロールを連鎖して引受 | あるロールから別ロールを引き受けて権限を移譲する。 |
| KMSキーポリシーKey PolicyDATA | 鍵の利用権限を定義 | 誰がどの鍵を使えるかを鍵単位のポリシーで制御する。 |
| S3オブジェクトロックS3 Object LockDATA | 改ざん不可で保持 | WORMで一定期間の削除・上書きを禁止しコンプラ対応。 |
| ACM Private CAPrivate CADATA | 社内向け証明書を発行 | プライベートな認証局で内部用の証明書を管理する。 |
| 署名付きURLPresigned URLDATA | 期限付きで限定アクセス | S3等へ一時的に限定した権限でアクセスさせる仕組み。 |
| 委任管理者Delegated AdministratorGOV | 管理を別アカウントへ委任 | セキュリティ機能の管理を専用アカウントに委ねる。 |
| Service CatalogService CatalogGOV | 承認済み構成を配布 | ガードレール付きのテンプレートを利用者に提供する。 |
| リソースタグ戦略Tagging StrategyGOV | タグで統制と可視化 | 所有者や機密度をタグ付けし統制・コスト・監査に使う。 |
| プロンプトインジェクションPrompt InjectionAIML | 指示を乗っ取る攻撃 | 入力で本来の指示を上書きしAIを誤動作させる攻撃。 |
| モデルアクセス制御Model Access ControlAIML | AIモデルの利用を制限 | 誰がどのモデルを呼べるかをIAMで制御する。 |
| AIデータプライバシーAI Data PrivacyAIML | 学習・推論データを保護 | 入力やログに含まれる機密情報の取り扱いを安全に保つ。 |
上記は収録内容の抜粋です。全74語はドリルを開始すると順に出題されます。
AWSの専門資格 セキュリティ専門知識（SCS-C03） で問われる用語を、脅威検知/インシデント対応・ログ監視・インフラセキュリティ・IAM・データ保護・ガバナンス・生成AI/MLセキュリティ（C03で新設）の分野からまとめています。SAA相当の知識を前提に、AWS上で安全な構成を選び守る判断の土台づくりを想定しています。
クラウドセキュリティ人材は需要が高く高単価です。SCS-C03は2025年12月開始の現行版で、生成AIセキュリティが加わりました。サービスの役割の即答化が学習を加速します。
SCS-C03は専門知識（スペシャリティ）レベルです。脅威検知・ログ監視・インフラ・IAM・データ保護・ガバナンスに加え、生成AI/MLワークロードのセキュリティを問います。SAAの知識に「安全に守る力」を重ねる位置づけです。
用語の土台ができたら、SCS-C03は事例ベースの演習で仕上げる段階です。
GuardDuty・Detective・KMSの使い分けは、インシデント対応の流れで学べる講座が効率的です。C03で新設された生成AI/MLセキュリティは書籍の更新が遅れがちで、講座のほうが情報が新しいのも利点。Udemyは年に何度もセールを開催しており、セール中は多くの講座が数千円台になります。
Udemyで講座・模試を見る →セキュリティ スペシャリティ（SCS）は、暗号・ID管理・検知・インシデント対応を深く問います。似た目的のサービスが多く、“何を守るための機能か”を取り違えると一気に失点します。現場のセキュリティ設計でも頻出の判断軸です。
KMSとCloudHSM、IAMロールとリソースベースポリシー、GuardDuty（脅威検知）とInspector（脆弱性）とMacie（データ分類）、SSE-S3とSSE-KMSとSSE-C。
SCS-C03の出題は、脅威検知とインシデント対応、ログと監視、インフラ保護、IDとアクセス管理、データ保護、ガバナンスという6テーマで構成されます。テーマ名だけ見ると抽象的ですが、実際の問題は「GuardDutyとInspectorのどちらを使うか」「KMSのキーポリシーとIAMポリシーのどちらで制御するか」のように、似た役割のサービス・機能の使い分けを突いてきます。
つまりこの試験の用語暗記は、単語の意味を覚えることではなく「隣の用語との違い」を覚えることです。このドリルの4択は同じ分野の用語が誤答に並ぶ設計なので、本番と同じ「紛らわしい2択の最終判断」を毎回練習できます。
AWSセキュリティを軸にするなら、SAA（全体像）→SCS（専門特化）の順が王道です。ネットワークやセキュリティの一般知識が浅い場合は、先にSecurity+などベンダー中立の資格で土台を作ると、SCSの学習が「AWSでの実装名を覚えるだけ」に単純化されます。
いずれの経路でも、最後に残る作業はサービス名と機能の暗記です。KMS、CloudTrail、Config、Macie、Security Hub――名前と役割が5秒で結びつくまで反復してから問題集に入ると、演習の正答率が最初から7割を超え、学習が一気に楽になります。
SCSで最も差がつくのがログと監視の設計問題です。CloudTrail（API操作の記録）、Config（構成変更の追跡）、VPCフローログ（通信の記録）、CloudWatch Logs（アプリログの集約）――「何を記録したいか」と「どのサービスが記録するか」の対応を即答できると、この分野はほぼ取り切れます。
さらに「改ざん防止にはログの整合性検証を有効化」「長期保存はS3へ、分析はAthenaで」のような定型パターンが繰り返し出題されます。用語と定型パターンをセットで暗記しておくことが、実務経験の不足を補う最短ルートです。