AWS認定資格 WEB問題集＆徹底解説セキュリティ専門知識（SCS）
SCS-C03 は、試験時間 170 分で 65 問に答え、1,000 点満点中 750 点以上で合格です。配点が最も大きい分野は「Identity and Access Management」（20%）です。当サイトには 400 問を収録しています（分野ごとの問題数は下の表のとおり）。
SCS-C03 の試験の基本
| 試験コード | SCS-C03 |
|---|---|
| 問題数 | 65 問（うち採点対象 50 問。残り 15 問は採点されない調査用の問題） |
| 試験時間 | 170 分 |
| 合格点 | 1,000 点満点中 750 点以上（換算スコア。正答率そのものではありません） |
| 受験方法 | テストセンターまたはオンライン（Pearson VUE） |
| 受験料 | 40,000 円（税別）（公式の価格表） |
| 有効期限 | 3 年間 |
| 再受験 | 不合格の場合は 14 日後から再受験できます。回数の制限はなく、受験料は毎回かかります。 |
分野と配点
本試験の出題分野と配点、当サイトの収録問題数です。分野名から、その分野の問題だけを解けます。
| 分野 | 本試験の配点 | 当サイトの問題 |
|---|---|---|
| 検出 | 16% | 76 問 |
| インシデント対応 | 14% | 49 問 |
| インフラストラクチャのセキュリティ | 18% | 80 問 |
| Identity and Access Management | 20% | 67 問 |
| データ保護 | 18% | 87 問 |
| セキュリティ基盤とガバナンス | 14% | 41 問 |
| 合計 | 100% | 400 問 |
本試験の問題はこんな形
公式のサンプル問題と試験ガイドを分析し、本試験の問題の特徴をまとめました。当サイトの問題もこの形に合わせて作っています。
- 問題文は 3〜5 文のシナリオで、コンプライアンスや監査の要件、想定される脅威と、既存のマルチアカウント構成や運用上の制約が複数絡みます。AWS Organizations、AWS Control Tower、SCP・RCP、委任管理者、AWS Firewall Manager による一元的な統制もよく問われます。
- 「最も安全に」「最小権限で」「運用上のオーバーヘッドを最小限に」「最小のコストで」といった条件が正解を絞ります。要件をすべて満たしつつ、過剰でない構成を選びます。
- IAM ポリシーの評価ロジック（明示的な拒否の優先、SCP・RCP・アクセス許可の境界・セッションポリシー・リソースベースのポリシーの組み合わせ、クロスアカウントの信頼）を、JSON のポリシーを読んで判断させる問題があります。「なぜこの設定でアクセスが拒否されるのか」のように、根本原因を特定させる形式も多く出ます。
- AWS KMS の暗号化設計が深く問われます。キーポリシーと IAM ポリシーの関係、グラント、暗号化コンテキスト、マルチリージョンキー、キーマテリアルのインポートや外部キーストア、エンベロープ暗号化、AWS CloudHSM との使い分けなどです。
- インシデント対応では、封じ込め・根絶・復旧の流れ、フォレンジック用の証拠の保全、侵害されたインスタンスの隔離、認証情報の失効を、正しい順序と優先度で選びます。手順を並べ替える問題や、項目を組み合わせる問題もあります。
- ログ調査と脅威の検出では、AWS CloudTrail の組織の証跡、Amazon GuardDuty、AWS Security Hub、Amazon Detective、Amazon Macie、Amazon Security Lake などが、それぞれどの記録や検出結果を提供するかを正確に区別する必要があります。
- ネットワークは多層防御の観点で、セキュリティグループ、ネットワーク ACL、AWS Network Firewall、AWS WAF、AWS Shield、VPC エンドポイントポリシー、AWS PrivateLink の使い分けが問われます。
よくあるひっかけの型
誤りの選択肢には決まった型があります。型を知っておくと、もっともらしい選択肢を落ち着いて消去できます。
目的に合わないセキュリティサービスを選んだ選択肢です。どのサービスが何を守り、何を検出するかの区別が問われます。
例: 保管中のデータの暗号化に AWS Certificate Manager（ACM）を使う。ネットワークの到達可能性の確認に Amazon GuardDuty を使う。
要件は満たせるものの、必要以上の権限を与えている選択肢です。「最小権限で」と問われていれば誤りになります。
例: 特定の API 操作だけで足りる場面で、Action にワイルドカード（*）を指定したり、AdministratorAccess を付けたりする。
ポリシーの評価ロジックを誤って理解していると正解に見える選択肢です。
例: 明示的な拒否（Deny）を、別のポリシーの許可（Allow）で上書きできるとする。SCP でアクセス許可を付与できるとする。
転送中と保管中、クライアント側とサーバー側といった暗号化の範囲や、適用されるタイミングを取り違えた選択肢です。
例: S3 バケットのデフォルト暗号化の設定を変えれば、既存のオブジェクトも暗号化し直されるとする。複数のリージョンで同じキーを使って復号する必要がある場面で、単一リージョンのキーを選ぶ。
対応の順序や優先度が逆になっている、または手順が欠けている選択肢です。
例: 証拠を保全する前に、侵害されたインスタンスを終了する。影響範囲を確かめないまま復旧に進む。
今あるアカウントやリソースには効いても、将来作られるものや別のリージョンには適用されない、または手作業や自作スクリプトに頼る運用負荷の高い選択肢です。
例: 将来作成されるアカウントにも適用する要件があるのに、既存の各アカウントへ個別に設定するだけにする。マネージド機能で足りる場面で、EC2 上の cron と自作スクリプトで設定を定期的に点検する。
出題範囲の注意（提供終了・新規受付終了のサービス）
公式試験ガイドの出題範囲には載っているものの、提供終了・新規受付終了・サポート終了が決まっているサービスです。本試験で名前が出る可能性は残りますが、新しく深く学ぶ優先度は低めです。後継・代替のサービスもあわせて押さえておくと安心です。
| サービス | 状況 | 後継・代替 |
|---|---|---|
| Amazon CodeGuru Security | 提供終了 | Amazon Inspector Code Security（GitHub / GitLab 統合による SAST。プルリクエスト契機のコードスキャンと修正案の提示） |
| Amazon Q Business | 新規受付終了 | Amazon Quick（旧 Amazon Quick Suite） |
| Amazon Q Developer終了するのは IDE プラグインと有料サブスクリプションで、後継は Kiro です。 | サポート終了予定（2027年4月30日） | Kiro |
| AWS Audit Manager | メンテナンスモード 新規受付終了（2026年4月30日） |
AWS Config のコンフォーマンスパック（組織コンフォーマンスパック）/ AWS Control Tower のコントロール / AWS Security Hub CSPM のセキュリティ標準 |