変更要約: Cloud Digital Leader 第5章を新規作成（ドメイン5「信頼とセキュリティ」: クラウドの信頼と Google の安全なインフラ＝CIA/多層防御/暗号化(保存時・転送時)/ゼロトラスト(BeyondCorp)/Cloud IAM(最小権限)、信頼の原則・コンプライアンス・セキュリティ運用＝データレジデンシー/主権/コンプライアンス認証/Security Command Center/Sensitive Data Protection(DLP)）。
5.1クラウドの信頼と Google の安全なインフラ
機密性・完全性・可用性（CIA）というセキュリティの基本、代表的な脅威、多層防御（defense in depth）、保存時と転送時の暗号化、ゼロトラスト（BeyondCorp）、そして最小権限でアクセスを制御する Cloud IAM を、Google の安全なインフラの観点から理解します。
クラウドの採用は「安全に使えるか」という信頼の上に成り立ちます。セキュリティの基本は CIA の3要素＝機密性（許可された人だけが見られる）・完全性（改ざんされない）・可用性（必要なときに使える）です。Google はこれらを守るため、データセンターからハードウェア・ネットワーク・運用まで何層もの防御を重ねています。
5.1.1多層防御と暗号化
多層防御（defense in depth） は、ひとつの対策に頼らず複数の防御層を重ねる考え方です。たとえあるレイヤーが破られても、別の層で被害を食い止めます。データ保護の中心は 暗号化 で、Google Cloud では保存時（at rest）も転送時（in transit）も既定で暗号化されます。鍵管理は Google が標準で行い、要件に応じて顧客が鍵を管理する（CMEK）こともできます。「特別な設定をしなくても暗号化されている」のが Google Cloud の前提です。
多層防御の外周では、インターネットからの攻撃を止める仕組みが要ります。Cloud Armor は、分散型サービス拒否（DDoS）攻撃の緩和と Web アプリケーションファイアウォール（WAF）を提供し、グローバルロードバランサの前段で悪意あるトラフィックをブロックします。「大量アクセスでサービスを停止させる DDoS への備え＝Cloud Armor」と覚えます。
5.1.2ゼロトラストと Cloud IAM
従来の「社内ネットワークなら信頼する」境界型の考え方に代わり、Google は ゼロトラスト（社内 BeyondCorp として実装）を提唱します。これはネットワークの場所ではなく、ユーザーとデバイスの検証に基づいてアクセスを許可する考え方で、「決して信頼せず、常に検証する」が原則です。アクセス制御の中核が Cloud IAM（Identity and Access Management）で、「誰（メンバー）に・どのロール（権限）を・どのリソースで」許可するかを定めます。原則は 最小権限＝必要最小限の権限だけを与えることです。
| 用語 | 意味 | 例 |
|---|---|---|
| メンバー（プリンシパル） | アクセスする主体 | ユーザー・グループ・サービスアカウント |
| ロール | 権限の集合 | 閲覧者・編集者・管理者 |
| 最小権限 | 必要最小限だけ付与 | 管理者を必要な人だけに |
「概念 → 用語」が頻出。例：「許可された人だけ閲覧」＝機密性、「改ざんされない」＝完全性、「必要なとき使える」＝可用性、「複数の防御層」＝多層防御、「保存時も転送時も暗号化」＝既定の暗号化、「場所でなくユーザー/デバイスで検証」＝ゼロトラスト/BeyondCorp、「誰にどの権限を」＝Cloud IAM、「必要最小限だけ」＝最小権限。
混同に注意：
①CIA の機密性/完全性/可用性を取り違えない。
②Google Cloud は保存時・転送時とも既定で暗号化（顧客が設定しなくても暗号化される）。
③ゼロトラスト＝場所で信頼しない（VPN による境界防御の延長ではない）。
④IAM は最小権限が原則で、安易に編集者/管理者を配らない。
5.1.3この節のまとめ
- セキュリティの基本＝CIA（機密性・完全性・可用性）。多層防御で重ねて守る
- Google Cloud は保存時・転送時とも既定で暗号化。鍵は CMEK で顧客管理も可
- ゼロトラスト（BeyondCorp）＝場所でなくユーザー/デバイスで検証。Cloud IAM は最小権限
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. セキュリティの基本である CIA の3要素として正しい組み合わせはどれですか？
Q2. ひとつの対策に頼らず、複数の防御層を重ねてリスクを下げる考え方はどれですか？
Q3. Google Cloud のデータ暗号化について正しい説明はどれですか？
Q4. ネットワークの場所ではなくユーザーとデバイスの検証に基づいてアクセスを許可する考え方はどれですか？
Q5. 「誰に・どのロール（権限）を・どのリソースで」許可するかを定める Google Cloud のアクセス管理はどれですか？
Q6. Cloud IAM でアクセス権を付与する際の基本原則はどれですか？