問題集 セクション5：コンプライアンス対応
全 10 問（このセクションは出題比重 ~11% と最小なので問題数も少なめ）。目標正答率：80%。
Q1 📘 単一選択
GCE VM のセキュリティに関する 責任共有モデル で、顧客の責任はどれか？
- A. ハイパーバイザの脆弱性パッチ
- B. データセンタの物理セキュリティ
- C. ゲスト OS のパッチ・アプリケーション・IAM
- D. CPU マイクロコードのアップデート
▶ 正解と解説
正解：C
解説： IaaS（GCE）では顧客が ゲスト OS / アプリ / IAM / NW に責任を持つ。ハイパーバイザ以下は常に Google。
Q2 🔧 単一選択
EU 居住者の決済データを EU 内に保管、EU 居住のサポート人員のみ がアクセス可、Google アクセスは事前承認制 にしたい。最適な組み合わせは？
- A. 組織ポリシー
gcp.resourceLocationsのみ - B. Assured Workloads (EU Sovereign Controls) + Access Approval
- C. VPC SC のみ
- D. CMEK + Audit Log
▶ 正解と解説
正解：B
解説： Assured Workloads (EU Sovereign Controls) が「データ所在地 + サポート人員制約」を実現し、Access Approval で Google アクセスを承認制に。
Q3 🔧 単一選択
Google サポート担当が顧客データへアクセスした場合に、その記録をログとして可視化したいだけ（承認制までは不要）。使うのは？
- A. Access Transparency
- B. Access Approval
- C. Cloud Audit Logs（Admin Activity）
- D. Cloud Asset Inventory
▶ 正解と解説
正解：A
解説： Access Transparency は受動的な可視化（ログ）。Access Approval は能動的な承認制。
Q4 🎯 単一選択
Assured Workloads プロジェクトを作成した後、コンプライアンスタイプ（規制種別）を変更できるか？
- A. いつでも変更可能
- B. 24 時間以内なら変更可能
- C. 変更できない（新規 Assured Workloads を作成し移行が必要）
- D. Google サポートに依頼すれば可能
▶ 正解と解説
正解：C
解説： Assured Workloads のコンプライアンスタイプは 作成時のみ指定、後から変更不可。
Q5 📘 単一選択
Google Cloud の SOC 2 / ISO 27001 / PCI-DSS Service Provider Level 1 などの 認証レポート を入手する場所は？
- A. Cloud Audit Logs
- B. Compliance Reports Manager
- C. Cloud Asset Inventory
- D. Security Command Center
▶ 正解と解説
正解：B
解説： Compliance Reports Manager から Google 側のコンプライアンス認証書類をダウンロードできる。
Q6 🔧 単一選択
すべての BigQuery / Cloud Storage を CMEK 必須 にする組織ポリシーは？
- A.
gcp.restrictNonCmekServices - B.
gcp.resourceLocations - C.
iam.disableServiceAccountKeyCreation - D.
compute.requireOsLogin
▶ 正解と解説
正解：A
解説： gcp.restrictNonCmekServices で CMEK でないサービス利用を禁止。
Q7 🎯 単一選択
規制対象 / 非対象のプロジェクトを 組織レベルで物理分離 し、規制対象には強い制約を上から強制したい。設計は？
- A. すべてのプロジェクトを 1 つのフォルダにまとめる
- B.
regulated/nonregulatedFolder を作り、規制対象 Folder に組織ポリシー / Assured Workloads を適用 - C. IAM ロールで分離する
- D. プロジェクトラベルで識別する
▶ 正解と解説
正解：B
解説： Folder で物理分離し、上から組織ポリシーを強制。In-scope を明確にして監査対応も容易にする。
Q8 🔧 単一選択
HIPAA 対応で BAA は Google と締結済み。GCP 側で実施すべき主要対策の 最小セット は？
- A. CMEK + Audit Logs + VPC SC + Assured Workloads (HIPAA)
- B. SCC Standard のみ
- C. Cloud Armor + Cloud Logging
- D. IAM 最小権限のみ
▶ 正解と解説
正解：A
解説： HIPAA 対応の標準パターンは Assured Workloads (HIPAA) + CMEK + Audit Logs + VPC SC。
Q9 📘 単一選択
PCI-DSS 対応で、カード番号を保存せず、解析時に元データに戻せる形 で持ちたい。手法は？
- A. Hashing（SHA-256）
- B. SDP の Format-Preserving Encryption (FPE)
- C. CMEK で暗号化して保存
- D. Cloud Storage に CSV 保存
▶ 正解と解説
正解：B
解説： FPE は形式を維持しつつ可逆。PCI-DSS の de-identification 要件に適合。
Q10 🎯 単一選択
監査人に「Access Transparency と Access Approval の違いは？」と聞かれた。正しい説明は？
- A. どちらも Google アクセスの承認制
- B. Access Transparency はログ可視化（受動）、Access Approval は事前承認制（能動）
- C. Access Approval は無料、Access Transparency は有料
- D. 同じ機能の別名
▶ 正解と解説
正解：B
解説： Transparency = ログ（受動）、Approval = 承認制ゲート（能動）。Approval は追加契約 / プレミアムサポートが必要な場合あり。