変更要約: Professional Cloud Security Engineer 第3章を新規作成（ドメイン3「データ保護」: Sensitive Data Protection(PII 発見/秘匿/仮名化/形式保持暗号化)・BigQuery/Cloud Storage/Cloud SQL のアクセス制限・Secret Manager・インスタンスメタデータ保護、既定暗号化/CMEK/Cloud EKM・ソフト/ハード鍵(Cloud HSM)・鍵ローテーション/失効/インポート・オブジェクトライフサイクル・Confidential Computing、AI/ML セキュリティ・IaaS/PaaS 学習モデル・Vertex AI のセキュリティ制御(VPC Service Controls/PSC/CMEK)）。
3.1機微データ保護とデータ損失防止
Sensitive Data Protection（SDP）による PII の発見/秘匿（マスキング）・仮名化・形式保持暗号化、Google Cloud データサービス（BigQuery・Cloud Storage・Cloud SQL）へのアクセス制限、Secret Manager によるシークレット保護、コンピュートインスタンスのメタデータ保護を理解します。
データ保護はまず「機微データの所在を知り、必要に応じて秘匿する」ことから始めます。PII を見つけ、マスキングや仮名化で露出を最小化します。
3.1.1Sensitive Data Protection と機微データの扱い
機微データの発見・分類・秘匿は Sensitive Data Protection（SDP、旧 Cloud DLP）で行います。PII（個人を特定できる情報）や PHI（保護対象の医療情報）の 発見（infoType でクレジットカード番号やメール等を検出）、秘匿（マスキング/削除）、仮名化（pseudonymization・トークン化）、形式保持暗号化（FPE・元の桁数/形式を保ったまま暗号化）を使い分けます。データサービス（BigQuery・Cloud Storage・Cloud SQL）へのアクセスは IAM＋VPC Service Controls で制限します。「機微データの発見・マスキング＝Sensitive Data Protection」「元の形式を保って暗号化＝形式保持暗号化（FPE）」を結びます。
3.1.2シークレットとメタデータの保護
API キーやパスワード等の シークレット は Secret Manager に保存し、IAM で参照を最小化、バージョン管理とローテーションをします（コードや環境変数にベタ書きしない）。コンピュートの インスタンスメタデータ は機微情報の露出元になり得るため、不要な レガシーメタデータ エンドポイントを無効化し、サービスアカウントのスコープを絞ります。「秘密情報の安全な保管＝Secret Manager」「メタデータ経由の漏えい防止＝レガシーメタデータ無効化」を押さえます。
「要件 → 手段」が頻出。例：「データから PII を自動検出してマスキング」＝Sensitive Data Protection、「元の桁数/形式を保ったまま暗号化」＝形式保持暗号化（FPE）、「解析用に再識別不能なトークンに置換」＝仮名化（トークン化）、「API キー/パスワードを安全に保管」＝Secret Manager、「メタデータ経由の漏えいを防止」＝レガシーメタデータの無効化。
混同に注意：
①Sensitive Data Protection（機微データの発見/秘匿）と Secret Manager（シークレット保管）は対象が別。
②仮名化（トークン化・可逆/不可逆）と単純マスキング（不可逆な隠蔽）を要件で使い分ける。
③シークレットをコード/環境変数にベタ書きしない＝Secret Manager を使う。
3.1.3この節のまとめ
- 機微データの発見/秘匿/仮名化/FPE＝Sensitive Data Protection、データサービスは IAM＋VPC Service Controls で制限
- シークレット＝Secret Manager（ベタ書きしない・ローテーション）
- インスタンスメタデータの露出を抑制＝レガシーメタデータ無効化・SA スコープ縮小
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 大量のテーブルやファイルから、クレジットカード番号やメールなどの PII を自動検出してマスキングしたい。最適なのはどれですか？
Q2. 元の桁数や形式（例：クレジットカードの 16 桁）を保ったままデータを暗号化し、後続処理の互換性を保ちたい。最適なのはどれですか？
Q3. アプリの API キーやデータベースのパスワードを、コードに埋め込まず安全に保管・参照・ローテーションしたい。最適なのはどれですか？
Q4. 解析チームに、個人を再識別できない形でデータを共有したい。各値を一貫したトークンに置換する手法はどれですか？
Q5. コンピュートインスタンスのメタデータ経由での情報露出を抑えたい。最も適切な対策はどれですか？