変更要約: Professional Cloud Security Engineer 第4章を新規作成（ドメイン4「運用」: CI/CD の CVE スキャン(Artifact Analysis)/Binary Authorization(GKE/Cloud Run)/イメージのハードニング・VM パッチ管理/CSPM・カスタム組織ポリシー・Security Health Analytics カスタムモジュール、ネットワークログ(Cloud NGFW/VPC フローログ/Packet Mirroring/Cloud IDS/Log Analytics)・ロギング戦略・インシデント対応・ログへの安全なアクセス・外部 SIEM エクスポート・Cloud Audit Logs/データアクセスログ・ログシンク/集約シンク・Security Command Center）。
4.1インフラとアプリのセキュリティ自動化
CI/CD パイプラインでの CVE スキャン自動化、GKE/Cloud Run を守る Binary Authorization、VM/コンテナイメージの作成自動化（ハードニング・メンテナンス・VM パッチ管理）、大規模なポリシーとドリフト検出（クラウドセキュリティポスチャ管理 [CSPM]・カスタム組織ポリシー・Security Health Analytics のカスタムモジュール）を理解します。
セキュリティは手作業では追いつきません。パイプラインに検査を組み込み、信頼できる成果物だけをデプロイし、構成ドリフトを自動で検出します。
4.1.1サプライチェーンとイメージの保護
CI/CD では CVE スキャン（既知脆弱性）を自動化し、Artifact Analysis でイメージ/パッケージを継続スキャンします。デプロイ時は Binary Authorization で「署名・検証済みのイメージだけ」を GKE/Cloud Run に通し、信頼できない成果物を止めます（Artifact Analysis が検出、Binary Authorization が強制）。基盤の堅牢化は、ハードニング 済みの VM/コンテナイメージ を自動生成（ゴールデンイメージ）し、VM パッチ管理（OS パッチの一括適用）でメンテナンスします。「署名済みのみデプロイ＝Binary Authorization」「脆弱性の検出＝Artifact Analysis（CVE スキャン）」を結びます。
4.1.2ポスチャ管理とドリフト検出
大規模では構成の安全性を継続評価する クラウドセキュリティポスチャ管理（CSPM）が必要です。Google Cloud では Security Command Center（SCC）の Security Health Analytics が設定ミスを検出し、独自の検査は カスタムモジュール で追加します。望ましくない構成への ドリフト を防ぐには カスタム組織ポリシー（Custom Org Policy）で要件を制約として強制します。「設定ミスの自動検出＝Security Health Analytics」「独自ルールでガードレール＝カスタム組織ポリシー／カスタムモジュール」を押さえます。