A不正解
AWS の責任
AWS はEC2 の物理ハードウェア・ハイパーバイザー・ネットワーク基盤のセキュリティ（security OF the cloud）を担います。
顧客が記述したアプリケーションコードの内容や脆弱性は AWS の管理対象外であり、AWS 責任とするのは誤りのため不正解です。
EC2 インスタンス上で動作する顧客アプリケーションのコードに含まれるセキュリティ脆弱性をパッチ適用する責任は誰にありますか。
1 / 1
回答を選択してください
正解C
解説
責任共有モデルで、EC2 上の顧客アプリコードのパッチ適用が誰の責任かを問う問題。
- 1「EC2 インスタンス上」顧客が起動・構成する 仮想マシン（顧客の支配下の環境）
- 2「顧客アプリケーション」顧客が開発・所有する ソフトウェア（コード・ロジック）
- 3「パッチ適用」脆弱性を修正するためのコード更新と再デプロイ
B不正解
共有コントロール
共有コントロールはパッチ管理など層をまたいで双方が関与する領域を指します。
アプリケーションコードは完全に顧客のソフトウェア資産であり AWS は一切関与しないため、共有ではなく不正解です。
C正解
お客様の責任
正解。EC2 上で動作するアプリケーションのコードは顧客が作成・所有するソフトウェア資産です。脆弱性の発見・修正・再デプロイはすべて顧客が実施する security IN the cloud の領域であり、AWS はコードの内容に関与しません。
D不正解
自動スキャンで検出されたら AWS が修正する
Amazon Inspector などのスキャンツールは脆弱性の 検出 を支援しますが、コードの 修正 までは行いません。
検出後の修正・デプロイは顧客が実施する必要があるため、AWS が修正するという前提は誤りで不正解です。
ポイント
EC2（IaaS）では顧客の責任範囲が広く、ゲスト OS・ミドルウェア・アプリケーションコード はすべて顧客責任。AWS が担うのはハードウェア・ハイパーバイザー・ファシリティまで。