変更要約: Professional Cloud Architect 第5章を新規作成（ドメイン3「セキュリティとコンプライアンス」: IAM/最小権限/組織統制＝基本ロール回避/事前定義・カスタム/グループ・サービスアカウント/Workload Identity Federation・組織ポリシー/ガードレール、データ保護とコンプライアンス＝GMEK/CMEK/CSEK/Cloud KMS/Cloud EKM・Sensitive Data Protection/Cloud DLP・データ所在地・Assured Workloads/Cloud Audit Logs/VPC Service Controls）。
5.2データ保護とコンプライアンス
保存時/転送時の暗号化と鍵管理（GMEK・CMEK・CSEK・Cloud KMS）、機微データの発見と保護（Sensitive Data Protection / Cloud DLP）、データ所在地と主権、そして Assured Workloads や監査ログによる規制対応を理解します。
アクセス制御の次は、データそのものを守ることと、規制への適合です。暗号化・鍵管理・機微データ保護・データ所在地を要件に合わせて設計します。
5.2.1暗号化と鍵管理
| 鍵 | 意味 |
|---|---|
| GMEK | Google が管理する既定の鍵 |
| CMEK | 顧客が Cloud KMS で管理する鍵 |
| CSEK | 顧客が供給する鍵 |
Google Cloud はデータを保存時・転送時とも既定で暗号化します（既定は GMEK）。鍵を自社で管理しローテーション/無効化を制御したいなら CMEK（Cloud KMS）、鍵そのものを供給するなら CSEK、さらに外部の鍵管理基盤を使うなら Cloud EKM を選びます。要件（規制・鍵主権）に応じて選びます。「自社で鍵管理＝CMEK（Cloud KMS）」「外部鍵管理＝Cloud EKM」「特に要件なし＝GMEK」と結びます。
5.2.2機微データとコンプライアンス
機微データ（PII など）は Sensitive Data Protection（Cloud DLP） で発見・分類・マスキング/トークン化します。規制対応では、データを特定地域に置く データ所在地（データレジデンシー）、規制要件を満たす管理環境の Assured Workloads、運用追跡の Cloud Audit Logs、機密保護の VPC Service Controls を組み合わせます。「個人情報の発見/マスキング＝Sensitive Data Protection」「規制準拠の管理環境＝Assured Workloads」「データを国内に＝データ所在地」を押さえます。
「要件 → 手段」が頻出。例：「鍵を自社管理（ローテ/無効化）」＝CMEK（Cloud KMS）、「外部の鍵管理基盤」＝Cloud EKM、「個人情報を検出してマスキング」＝Sensitive Data Protection、「データを特定国に保管」＝データ所在地、「規制準拠の管理環境」＝Assured Workloads、「誰が何をしたか追跡」＝Cloud Audit Logs。
混同に注意：
①GMEK/CMEK/CSEK/EKM の管理主体を取り違えない。
②既定で暗号化される（暗号化の有無ではなく鍵の管理主体が論点）。
③コンプライアンスは所在地・管理環境・監査・境界の組み合わせで満たす。
API キーやパスワード等の機密は Secret Manager に格納し、バージョン管理・IAM による最小権限・自動ローテーション・監査ログで安全に取り扱います。コードや環境変数に直書きしないのが原則です。
5.2.3この節のまとめ
- 保存時/転送時とも既定で暗号化。鍵は GMEK(既定)/CMEK(Cloud KMS)/CSEK/EKM で選ぶ
- 機微データは Sensitive Data Protection（Cloud DLP）で発見・マスキング
- コンプライアンス＝データ所在地＋Assured Workloads＋Cloud Audit Logs＋VPC Service Controls
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 暗号鍵を自社で管理し、ローテーションや無効化を制御したい。最適なのはどれですか？
Q2. データから個人情報（PII）を検出し、マスキングやトークン化をしたい。使うのはどれですか？
Q3. 規制対応のため、データを特定の国/地域に保管することを保証したい。使う概念はどれですか？
Q4. 外部の鍵管理基盤（自社/サードパーティ）で鍵を保持しつつ Google Cloud で暗号化したい。最適なのはどれですか？
Q5. 厳しい規制要件を満たす管理された環境でワークロードを動かしたい。最適なのはどれですか？
Q6. Google Cloud のデータ暗号化について正しい説明はどれですか？