【正解】A
【0からの解説】
①前提知識：Audit Manager は、Google Cloud のワークロードが業界標準の統制フレームワーク（SOC 2、CIS Critical Security Controls v8、PCI DSS v4.0.1、ISO 27001:2022、NIST Cybersecurity Framework、CSA Cloud Controls Matrix など）に準拠しているかを評価し、監査の証拠を自動収集するサービスです。フォルダまたはプロジェクトを範囲として監査を実行でき（組織全体を範囲にする監査は、一部のフレームワークを除きプレビュー段階）、結果は統制ごとの評価や、リソースごとの準拠 / 違反などの内訳を含む監査レポートとしてまとめられ、レポートと証拠は指定した Cloud Storage バケットに保存されます。監査を定期的に実行するスケジュール機能もあります。なお、Security Command Center の Compliance Manager との統合が進んでおり、Compliance Manager で作成したカスタム フレームワークに対しても Audit Manager で監査を実行できるなど、製品の位置付けは変化しています。最新の状況は公式ドキュメントで確認してください。
②要件の整理：(1) 業界標準の統制フレームワークへの準拠状況、(2) 非準拠リソースの「証拠」を含むレポート、(3) 定期的な報告、(4) プロジェクトが継続的に追加される環境、(5) リスク管理・コンプライアンス チーム（第 2 線）が利用する、という条件です。
③正解の理由：この問題のポイントは「プロジェクトが継続的に追加される」ことです。A の Audit Manager で事業部門のフォルダを監査範囲に指定すれば、監査はそのフォルダ配下のプロジェクト全体に対して行われるため、後から追加された新しいプロジェクトも、設定を変えることなく次回の監査に自動的に含まれます。そして、組み込みのフレームワークを選んで監査を実行するだけで、統制ごとの評価と非準拠リソースの証拠を含む監査レポートが生成され、評価結果をエクスポートして第 2 線のチームに渡せます。自前でクエリやポリシーを書く必要がなく、「証拠付きのコンプライアンス レポート」という要件に最も直接的に合致します。
【誤りの選択肢】
B：Cloud Asset Inventory のエクスポートに対する BigQuery クエリでも構成を確認できますが、各フレームワークの統制を SQL に自前で落とし込み、保守し続ける必要があり、運用負荷が大きく、監査人向けの証拠としての体裁も自分で整える必要があります。マネージドな Audit Manager に比べて劣ります。
C：Workload Manager は SAP などのワークロードのベストプラクティス評価が主目的のサービスで、Rego でカスタム ルールを書くこと自体はできますが、業界標準の統制フレームワーク全体を自前で Rego 実装するのは膨大な作業で、コンプライアンス監査レポートの用途には適していません。
D：SCC のセキュリティ ポスチャーは、事前定義されたポスチャー（CIS、NIST SP 800-53、ISO 27001、PCI DSS など）をデプロイして、組織のポリシー制約による予防と Security Health Analytics の検出器による検知を行い、定義した状態からの逸脱（違反のドリフト）を検出する機能です。つまりポスチャーの役割は「あるべき設定を適用し、そこから外れたら知らせる」ことで、統制ごとの評価と非準拠リソースの証拠をまとめた監査レポートを作成するものではありません。セキュリティ統制の適用・維持には有効ですが、問われている「非準拠リソースの証拠を含むレポートの生成」には直接答えていません。証拠付きの監査レポートは Audit Manager の役割です。
【参考】
規制、コンプライアンス、プライバシーのニーズに対応するセキュリティ ポスチャーの概要 | Security Command Center