変更要約: Professional Cloud Security Engineer 第3章を新規作成（ドメイン3「データ保護」: Sensitive Data Protection(PII 発見/秘匿/仮名化/形式保持暗号化)・BigQuery/Cloud Storage/Cloud SQL のアクセス制限・Secret Manager・インスタンスメタデータ保護、既定暗号化/CMEK/Cloud EKM・ソフト/ハード鍵(Cloud HSM)・鍵ローテーション/失効/インポート・オブジェクトライフサイクル・Confidential Computing、AI/ML セキュリティ・IaaS/PaaS 学習モデル・Vertex AI のセキュリティ制御(VPC Service Controls/PSC/CMEK)）。
3.2暗号化と AI ワークロードの保護
Google 既定の暗号化・顧客管理鍵（CMEK）・Cloud External Key Manager（EKM）のユースケース、ソフトウェア鍵とハードウェア鍵の選択、CMEK/EKM の鍵作成/管理（ローテーション/失効/インポート）、用途別の暗号化方式、Cloud Storage のオブジェクトライフサイクル、Confidential Computing、AI/ML システムのセキュリティ/プライバシー制御と Vertex AI のセキュリティを理解します。
暗号化は「鍵を誰が管理するか」で選びます。既定→CMEK→EKM と鍵主権を高め、用途に応じて使い分けます。AI ワークロードも保護対象です。
3.2.1保存時/転送時/使用中の暗号化
Google Cloud は 既定の暗号化 で保存データを常に暗号化します。鍵を顧客が管理したいなら CMEK（Cloud KMS で顧客管理鍵）、外部の鍵管理基盤に鍵を保持し主権をさらに高めるなら Cloud External Key Manager（Cloud EKM）を使います。鍵は ソフトウェア鍵 と、FIPS 準拠の耐タンパ ハードウェア鍵（HSM）から要件で選び、ローテーション・失効・インポート（BYOK）を管理します。使用中（メモリ上）のデータ保護は Confidential Computing（暗号化された VM/ノードで処理）で行います。Cloud Storage は オブジェクトライフサイクル で保持/削除を自動化します。「外部に鍵を置き主権最大化＝Cloud EKM」「メモリ上のデータも保護＝Confidential Computing」を結びます。
3.2.2AI ワークロードのセキュリティ
AI/ML システムは、学習データやモデルの 意図しない悪用（データ/モデルの窃取・汚染）から守ります。IaaS ホスト と PaaS ホスト の学習モデルでセキュリティ要件が異なる点を見極め、Vertex AI では IAM・VPC Service Controls・CMEK・プライベート接続（PSC）・データ秘匿（SDP）を組み合わせてセキュリティ/プライバシー制御を実装します。「学習データ/モデルの保護＝SDP＋VPC Service Controls＋CMEK」「Vertex AI を境界内で運用＝VPC Service Controls/PSC」を押さえます。
「要件 → 手段」が頻出。例：「鍵を自社で管理」＝CMEK（Cloud KMS）、「鍵を外部基盤に保持し主権を最大化」＝Cloud EKM、「FIPS 準拠の耐タンパ鍵」＝Cloud HSM（ハードウェア鍵）、「処理中（メモリ上）のデータも暗号化」＝Confidential Computing、「Cloud Storage の保持/削除を自動化」＝オブジェクトライフサイクル、「Vertex AI を境界内に閉じる」＝VPC Service Controls/PSC。
混同に注意：
①CMEK（Cloud KMS で顧客管理）と Cloud EKM（外部基盤に鍵を保持）は主権レベルが別。
②保存時/転送時の暗号化と使用中（メモリ）の保護（Confidential Computing）は別の保護面。
③鍵の 失効 は暗号文を実質アクセス不能にする＝影響を理解して運用する。
3.2.3この節のまとめ
- 鍵管理＝既定→CMEK（Cloud KMS）→Cloud EKM（外部・主権最大）、ソフト/ハード鍵を要件で選ぶ
- 使用中のデータ保護＝Confidential Computing、Cloud Storage はオブジェクトライフサイクルで自動管理
- AI ワークロード＝SDP＋VPC Service Controls＋CMEK＋PSC、Vertex AI を境界内で運用
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 保存データの暗号鍵を、Cloud KMS で顧客が自ら作成・ローテーション・管理したい。最適なのはどれですか？
Q2. 規制要件で、暗号鍵を Google の外部（自社/サードパーティの鍵管理基盤）に保持し主権を最大化したい。最適なのはどれですか？
Q3. 処理中（メモリ上）のデータも暗号化して、ホストや他テナントから保護したい。最適なのはどれですか？
Q4. FIPS 140-2 Level 3 準拠の耐タンパなハードウェアで暗号鍵を保護したい。最適なのはどれですか？
Q5. Vertex AI で学習データやモデルを、データ持ち出しやプライベート性の観点で保護したい。最も適切な組み合わせはどれですか？