監査ログを読める主体を制限する

監査では、誰が何をいつどのデータへ行ったかを記録し、改ざん防止・保持・検索・異常通知まで設計する。

専用ログアカウント・読み取りロール・書き込み専用ポリシーを分離する

監査ログのアクセス自体も最小権限で管理する。

全管理者へログバケットのFullAccessを付与する

FullAccessは職務分離に反する。

ログを暗号化すれば誰でも読めてよいとする

暗号化と認可は別の防御層である。

CloudTrailでログ閲覧権限を自動削除する

CloudTrailは操作履歴を記録する。