Instiq

Google Cloud Professional Cloud Security Engineer参考書

IAM・境界防御・データ保護・セキュリティ運用・コンプライアンスで安全な Google Cloud を設計/実装するプロフェッショナル資格（Professional Cloud Security Engineer）。

問題集で演習する →用語集を見る →ナレッジマップ →

Google Cloud Professional Cloud Security Engineer（GCP-PCSE）について

Google Cloud Professional Cloud Security Engineer（GCP-PCSE）は、Google Cloud が提供するプロフェッショナル・エキスパートレベルの認定資格です。このページでは、試験範囲を全 5 章・10 節の参考書として体系的に解説し、本番形式の練習問題で理解度を確認できます。下の章一覧から順に読み進め、「問題集で演習する」で実力を試すのが効率的な学習の流れです。

試験で問われる分野（出題範囲の目安）

  • アクセスの構成約 25%
  • 通信のセキュリティと境界防御約 22%
  • データ保護約 23%
  • セキュリティ運用の管理約 19%
  • コンプライアンス要件の支援約 11%

配点は本番試験の目安です。各分野は下の章・節で詳しく解説しています。

公式の試験情報：https://cloud.google.com/learn/certification/cloud-security-engineer

1アクセスの構成

  • 1.1Cloud Identity・サービスアカウント・認証

    Cloud Identity の管理（Google Cloud Directory Sync・サードパーティ IdP との SSO・スーパー管理者・ユーザーライフサイクル自動化・Workforce Identity Federation）、サービスアカウントの保護（既定 SA・鍵の監査/緩和・短命credential・Workload Identity Federation・なりすまし）、認証（パスワード/セッションポリシー・SAML/OAuth・2 段階認証）を理解します。

  • 1.2認可制御とリソース階層

    IAM による特権ロールと職務分掌、IAM/ACL 権限、IAM 条件と IAM 拒否ポリシー、組織/フォルダ/プロジェクト/リソースの最小権限、Access Context Manager、Policy Intelligence、グループによる権限管理、Privileged Access Manager、リソース階層（フォルダ/プロジェクトの大規模管理・事前ビルド/カスタム組織ポリシー・継承）を理解します。

2通信のセキュリティと境界防御

  • 2.1境界セキュリティと周辺防御

    ネットワーク境界制御（Cloud NGFW ルール/ポリシー・Identity-Aware Proxy [IAP]・ロードバランサ・Certificate Authority Service）、Cloud NGFW のアプリケーション層（L7）検査、プライベート/パブリック IP、Web アプリケーションファイアウォール（Google Cloud Armor）、Secure Web Proxy、Cloud DNS のセキュリティ設定、構成された API の継続的な監視と制限を理解します。

  • 2.2境界セグメンテーションとプライベート接続

    VPC ネットワーク/VPC ピアリング/Shared VPC/ファイアウォールのセキュリティ特性、N 層アプリのネットワーク分離とデータカプセル化、VPC Service Controls のユースケースと構成、VPC 間/プロジェクト間のプライベート接続（Shared VPC・VPC ピアリング・オンプレ向け Private Google Access）、データセンターと VPC の暗号化接続（HA VPN・Cloud Interconnect）、VPC と Google API のプライベート接続（Private Google Access・restricted Google access・Private Service Connect）、Cloud NAT での外向きを理解します。

3データ保護

  • 3.1機微データ保護とデータ損失防止

    Sensitive Data Protection（SDP）による PII の発見/秘匿（マスキング）・仮名化・形式保持暗号化、Google Cloud データサービス（BigQuery・Cloud Storage・Cloud SQL）へのアクセス制限、Secret Manager によるシークレット保護、コンピュートインスタンスのメタデータ保護を理解します。

  • 3.2暗号化と AI ワークロードの保護

    Google 既定の暗号化・顧客管理鍵（CMEK）・Cloud External Key Manager（EKM）のユースケース、ソフトウェア鍵とハードウェア鍵の選択、CMEK/EKM の鍵作成/管理（ローテーション/失効/インポート）、用途別の暗号化方式、Cloud Storage のオブジェクトライフサイクル、Confidential Computing、AI/ML システムのセキュリティ/プライバシー制御と Vertex AI のセキュリティを理解します。

4セキュリティ運用の管理

  • 4.1インフラとアプリのセキュリティ自動化

    CI/CD パイプラインでの CVE スキャン自動化、GKE/Cloud Run を守る Binary Authorization、VM/コンテナイメージの作成自動化（ハードニング・メンテナンス・VM パッチ管理）、大規模なポリシーとドリフト検出（クラウドセキュリティポスチャ管理 [CSPM]・カスタム組織ポリシー・Security Health Analytics のカスタムモジュール）を理解します。

  • 4.2ロギング・監視・脅威検知

    ネットワークログの構成と分析（Cloud NGFW・VPC フローログ・Packet Mirroring・Cloud IDS・Log Analytics）、効果的なロギング戦略、セキュリティインシデントのログ/監視/対応/修復、ログへの安全なアクセス、外部セキュリティシステムへのログエクスポート、Cloud Audit Logs とデータアクセスログの構成/分析、ログエクスポート（ログシンク・集約シンク）、Security Command Center の構成と監視を理解します。

5コンプライアンス要件の支援

  • 5.1規制要件と責任共有モデル

    コンピュート/データ/ネットワーク/ストレージに関する技術的ニーズの判断、責任共有モデルの評価、規制コンプライアンスの対象となる Google Cloud 環境（スコープ）の特定、コンプライアンス要件を Google Cloud のサービスとセキュリティ制御（ネットワーク/アクセスのセグメンテーション、監査ログの網羅）へマッピングすることを理解します。

  • 5.2コンプライアンス制御とリージョナリゼーション

    クラウド環境でコンプライアンス要件を支えるセキュリティ制御の構成（Assured Workloads、組織ポリシー、Access Transparency、Access Approval、データとサービスのリージョナリゼーション）と、コンプライアンス要件を Google Cloud のサービス/制御へ対応づける実装（ネットワーク/アクセスのセグメンテーション、監査ログの網羅）を理解します。