正解: C

ゼロトラストの原則は「Never Trust, Always Verify（決して信頼せず、常に検証する）」です。NIST SP 800-207では、ネットワーク上の位置に関係なく、全てのリソースへのアクセスをセッション単位で検証することを求めています。従来の境界防御モデル（A, B, D）では、一度内部に入った攻撃者のラテラルムーブメントを防げません。

正解: B

PKCE（Proof Key for Code Exchange）は、Authorization Codeの横取り攻撃（interception attack）を防止するための仕組みです。クライアントが認可リクエスト時にcode_challengeを送り、トークン交換時にcode_verifierを送ることで、コードを横取りした攻撃者がトークンを取得できないようにします。特にネイティブアプリやSPAなど、client_secretを安全に保持できないパブリッククライアントで必須です。

正解: C

localStorageはJavaScriptから自由にアクセスできるため、XSS攻撃で容易にトークンを窃取されます。JWTはHttpOnly + Secure + SameSite属性付きのCookieに保存すべきです。HttpOnly属性によりJavaScriptからのアクセスが禁止され、XSSによるトークン窃取を防止できます。他の選択肢はいずれもベストプラクティスとして正しい設定です。

正解: C

各アクセス制御モデルの適切な使い分け:

• RBAC: 組織のロール（管理者、開発者、閲覧者）が明確な場合に最適。シンプルだが、権限の組み合わせが増えると「ロール爆発」が起きやすい。
• ABAC: ユーザー属性（部門、クリアランスレベル）、リソース属性（分類）、環境属性（時間帯、デバイス信頼度）を組み合わせたきめ細かな制御に最適。
• ReBAC: リソース間の関係性（フォルダの所有者はフォルダ内の文書も閲覧可能）に基づく制御に最適。Google Zanzibar/SpiceDBで実装。

正解: D

Kubernetes NetworkPolicyでデフォルト拒否を実現するには、podSelector: {}で全Podを対象にし、policyTypesでIngress/Egressを指定しつつ、具体的なingress/egressルールを定義しません。これにより、明示的に許可するNetworkPolicyがない限り、全ての通信がブロックされます。注意点として、KubernetesのデフォルトではNetworkPolicyがない場合は全通信が許可されるため（C）、明示的にデフォルト拒否ポリシーを作成する必要があります。

正解: B

エンベロープ暗号化は、「データキー（DEK: Data Encryption Key）」でデータを暗号化し、「マスターキー（CMK/KEK: Customer Master Key / Key Encryption Key）」でデータキーを暗号化する手法です。マスターキーはKMS内で管理され外部に出ません。AWS KMSではこのパターンが標準です。利点として、大量のデータに対してもマスターキーの使用回数が少なく、鍵のローテーションが容易です。

正解: D

「忘れられる権利」に基づきデータ削除を行った場合、バックアップからの復元時にも削除済みデータが復元されてはなりません。技術的対策としては、暗号学的消去（暗号鍵の破棄）やバックアップの有効期限管理、復元時の削除リストとの照合などがあります。A, B, Cはいずれも適切な実装です。特にBの匿名化は、法的保持義務（例：税法上の取引記録保持）がある場合に個人情報部分だけを削除する方法として重要です。

正解: C

BeyondCorpの最大の特徴は、ネットワークの場所を信頼しないことです。社内ネットワークにいるかどうかに関係なく、全てのアクセスはIdentity-Aware Proxy（IAP）を通じて制御されます。アクセス判定は、ユーザーのアイデンティティ、デバイスの信頼度スコア、アクセス対象のリソースポリシーに基づいて行われます。「ネットワークの場所に基づいてアクセスを許可する」のは従来の境界防御モデルの考え方であり、ゼロトラストとは矛盾します。