本ブログでは、AWSの専門知識を証明する認定資格の一つであるAWS Certified Security - Specialty (SCS-C03)試験について詳しく解説します。この試験は、AWS製品およびサービスを保護するための深い知識とスキルを検証するものです。
本記事では、公式資料に基づいた最新の試験概要、範囲、および学習の注意点を網羅的に紹介し、受験を検討されている皆さまの準備をサポートします。
- SCS-C03がどのような経験・役割の人に向いているか
- 試験時間・問題数・解答形式・合格基準・受験料
- 6つの出題ドメインと比率
- SCS-C02からの変更点（ドメイン再編・生成AIセキュリティ・RCPなど）
- 重点的に学習すべきポイントと模擬問題3問
そもそも資格取得におすすめの人は？
AWS Certified Security - Specialtyは、クラウドソリューションの保護において責任を持つ個人を対象として設計されています。具体的には、以下のような経験や役割を持つ方に最適です。
- クラウドソリューションの保護において、実務上3～5年に相当する経験を持つ方。
- AWSワークロードの保護において、少なくとも2年の実務経験を持つセキュリティ担当者。
- セキュリティを専門としたいソリューションアーキテクトや、セキュリティ制御の実装を担当するDevOpsエンジニア。
- AWS環境におけるコンプライアンス管理を担当するプロフェッショナル。
SCS-C03の試験概要
試験の基本的な形式と構成は以下の通りです。SCS-C03は2025年12月2日から受験可能となり、旧バージョンのSCS-C02は2025年12月1日をもって終了しました。
| 項目 | 内容 |
|---|---|
| 試験時間 | 170分 |
| 問題数 | 65問（スコアに影響する50問と、今後の試験評価用の未採点問題15問で構成） |
| 解答形式 | 択一選択、多肢選択、並べ替え、およびマッチング形式 |
| 合格基準 | 100～1,000の間のスコアでレポートされ、合格に必要な最低スコアは750 |
| 受験料 | 300 USD |
試験範囲
SCS-C03試験は、以下の6つの主要な分野（ドメイン）で構成されており、それぞれ特定の比重が設定されています。
| 分野 | 比率 | 説明 |
|---|---|---|
| 第1分野：検出 | 16% | AWSアカウントや組織全体での監視、アラート、ロギングソリューションの設計と実装を扱います。 |
| 第2分野：インシデント対応 | 14% | インシデント対応計画の設計・テスト、およびセキュリティイベントへの対応を検証します。 |
| 第3分野：インフラストラクチャのセキュリティ | 18% | ネットワークエッジ、コンピューティングワークロード、およびネットワーク全体のセキュリティ制御の設計とトラブルシューティングを含みます。 |
| 第4分野：アイデンティティとアクセスの管理 | 20% | 認証および認可戦略の設計と実装に焦点を当てます。 |
| 第5分野：データ保護 | 18% | 転送中および保管中のデータの保護制御、機密データや鍵管理の設計を扱います。 |
| 第6分野：セキュリティ基礎とガバナンス | 14% | AWSアカウントの集中管理、クラウドリソースの一貫したデプロイ、コンプライアンスの評価を検証します。 |
SCS-C02からの変更点
SCS-C03は、前身のSCS-C02からいくつかの重要なアップデートが行われ、最新のセキュリティ脅威とAWSのサービス進化に対応しています。
- ドメインの再編：SCS-C02では「脅威検知とインシデント対応」や「セキュリティのロギングと監視」に分かれていた分野が、SCS-C03では「検知」と「インシデント対応」という明確な役割に基づいて再構成されました。
- 生成AIセキュリティの追加：生成AIアプリケーション（Amazon Bedrockなど）の保護やガードレールの実装、AIモデルのトレーニングデータの保護に関する知識が試験範囲に新たに追加されました。
- ガバナンスの強化：リソースコントロールポリシー (RCP) などの新しいポリシータイプの知識や、AWS Organizations、AWS Control Towerを利用したマルチアカウント環境のガバナンスへの焦点が強まっています。
試験の注意点・勉強すべき点
試験合格を目指す上で、特に注意すべきポイントと重点的に学習すべき内容は以下の通りです。
- 責任共有モデルの理解：AWSが「クラウド自体のセキュリティ」を担当し、ユーザーが「クラウド内のセキュリティ」を担当するという原則を、各サービスごとに正しく適用できる必要があります。
- IAMとKMSの徹底理解：最小権限の原則に基づいたIAMポリシーの作成、暗号化鍵（KMS）の管理モデル（カスタマー管理型、AWS管理型など）の違い、およびそれらのトラブルシューティングは最重要項目の一つです。
- 自動化とインシデント対応：Amazon EventBridgeを利用した修復作業の自動化や、フォレンジック調査のためのログ（CloudTrail、VPC Flow Logs、Route 53 Resolverログ）の収集・分析方法を習得してください。
- 各サービスの使い分け：例えば、GuardDuty（脅威検知）、Security Hub（結果の集約）、Detective（調査）、Macie（機密データの特定）といった、似た役割を持つサービスの機能差と連携方法を明確に区別できるようにする必要があります。
本試験は「複合シナリオ（IAM + KMS + ネットワーク + ログ）」のように、複数レイヤーを横断したトラブルシューティングを問う設問が多くなりがちです。各ドメインの知識を“連携”で説明できるように整理すると効果的です。
模擬問題
セキュリティチームが、プライベートVPC内のEC2インスタンスから、KMSで暗号化されたS3バケットのオブジェクトを取得しようとしていますが、アクセス拒否エラーで失敗します。VPCにはS3とKMSのVPCエンドポイントが設定されており、すべてのトラフィックはAWSネットワーク内に留まることが保証されています。
この問題を解決するために、セキュリティエンジニアが調査すべき最も可能性の高い原因を3つ選択してください。
回答・解説を見る
この問題は、VPCエンドポイント経由でKMS暗号化されたS3オブジェクトにアクセスするという、複合的なシナリオでのトラブルシューティング能力を問うています。問題を解決するには、以下の3つのレイヤーすべてが正しく設定されているかを確認する必要があります。
- IAM権限 (S3)：S3オブジェクト自体にアクセスする権限
- IAM権限 (KMS)：オブジェクトを復号するためにKMSキーにアクセスする権限
- ネットワーク経路：EC2からS3/KMSへの通信を許可するファイアウォール設定
選択肢4 (IAM権限 - S3)：最も基本的な原因として、EC2インスタンスのIAMロールに、S3オブジェクトを取得するためのs3:GetObject権限が付与されていない可能性が考えられます。
選択肢2 (IAM権限 - KMS)：オブジェクトはKMSで暗号化されているため、S3からデータを取得するだけでは不十分です。そのデータを読み取れるように復号するために、EC2のIAMロールが、暗号化に使われたKMSキーに対してkms:Decryptアクションを実行する権限を持っている必要があります。この許可はKMSキーのキーポリシーで設定します。
選択肢5 (ネットワーク経路)：VPCエンドポイントがあっても、セキュリティグループは機能します。EC2インスタンスのセキュリティグループで、S3とKMSのエンドポイントへのアウトバウンド通信（HTTPS/443）が許可されていなければ、そもそもネットワーク的に到達できず、アクセスは失敗します。
あなたの会社は、AWSリソースの一部を監視・管理してもらうために、サードパーティのマネージドサービスプロバイダー(MSP)を雇いました。MSPは、自社のAWSアカウントを持っています。あなたは、MSPのIAMユーザーに対して、自社の「ステージング」アカウントへのアクセスを許可する必要があります。
あなたの会社のセキュリティポリシーでは、いかなるクロスアカウントアクセスも、一時的な認証情報を使用し（静的なIAMユーザーキーは不可）、かつ、ロールを引き受けるユーザーが自社のアカウントでMFA（多要素認証）を使用して認証済みであることを必須としています。
回答・解説を見る
この方法は、提示されたすべてのセキュリティ要件を、自社のアカウント側で完全にコントロールしながら満たす、最も安全で適切なベストプラクティスです。
一時的な認証情報：IAMロールを使用することで、永続的な認証情報（アクセスキーなど）を共有することなく、一時的な認証情報でのアクセスを許可します。
MFAの強制：ロールの信頼ポリシーに"aws:MultiFactorAuthPresent": "true"という条件を追加することで、このロールを引き受ける（AssumeRoleする）側のユーザーが、自身のMFAデバイスで認証済みであることを自社側で強制できます。この条件が満たされない場合、ロールの引き受けは失敗します。
ある企業では、開発者が自由にリソースを作成できるサンドボックスアカウントを運用しています。しかし、セキュリティ監査により、以下の2つの重大なコンプライアンス違反が頻繁に発生していることが判明しました。
- 意図せずパブリックに公開（「ブロックパブリックアクセス」が無効）されている Amazon S3 バケット
- SSH (ポート 22) を、インターネット全体 ( 0.0.0.0/0 ) に開放している セキュリティグループ
セキュリティチームは、これらの非準拠リソースを継続的に検知し、検知した場合は自動的に修復する仕組みを導入する必要があります。例えば、S3 バケットは自動でパブリックアクセスをブロックし、セキュリティグループのルールは自動で削除したいと考えています。
この要件を、カスタムコード（Lambda関数など）の開発を最小限に抑えて実現する最適なソリューションはどれですか？
回答・解説を見る
この選択肢は、要件を満たすためのAWSのベストプラクティスです。
継続的な監視 (AWS Config)：AWS Config は、AWS リソースの設定を評価、監査、審査するためのサービスです。「S3 バケットがパブリックか？」といった設定状態を継続的にチェックするのに最適です。s3-bucket-public-read-prohibited や restricted-ssh といったマネージドルール（AWSが定義済みのルール）が提供されているため、自分でコードを書く必要がありません。
自動修復 (SSM Automation)：AWS Config は、ルールに違反した際に修復アクションを自動実行する機能を持っています。その修復アクションとして、AWS Systems Manager Automation のランブック（自動化の手順書）を指定できます。
コーディング最小限：AWS-DisableS3BucketPublicReadWrite のような、一般的な修復作業（例: S3 のパブリックアクセスをブロックする）のためのランブックが AWS によって多数提供されています。これらを利用することで、Lambda 関数などで修復ロジックを自分でコーディングする必要がなく、「最小限の労力」という要件を完璧に満たします。
まとめ
AWS Certified Security - Specialty (SCS-C03)試験は、クラウドセキュリティの高度な専門知識を証明するための、非常にやりがいのある資格です。試験範囲は広く、最新の生成AIセキュリティなども含まれていますが、AWS公式の試験ガイドやSkill Builderの学習プランを活用することで、体系的に準備を進めることが可能です。実務経験を活かしつつ、AWSの最新ベストプラクティスを深く理解することが合格への近道となるでしょう。
参考資料
本記事は以下の公式資料を参照して作成しています。
公式資料
- AWS Certified Security - Specialty (SCS-C03) 試験ガイド － AWS公式（試験概要・ドメイン比率・SCS-C02との比較の根拠）
- AWS Certified Security – Specialty － AWS公式（受験料・受験可能日の根拠）
- AWS Security Incident Response Guide － AWS公式（インシデント対応の根拠）
- AWS Prescriptive Guidance - AWS Key Management Service best practices － AWS公式（KMSベストプラクティスの根拠）
- Amazon S3 でのデータ保護（暗号化） － AWS公式（S3暗号化の根拠）
- S3 Glacier ボールトロック － AWS公式（ボールトロックの根拠）
試験時間・問題数・合格基準・受験料・ドメイン比率は、すべて公式資料に基づいています（2026年9月時点で確認）。
