Section 3 問題集: セキュリティとコンプライアンスのための設計
試験出題比率: 約 17.5% 試験ガイド対応: 2025 年 10 月改訂版 収録問題数: 20 問
学習方針
このセクションでは、IAM、暗号鍵、ネットワーク境界、認証連携、コンプライアンス対応を体系的に問います。 2025 年改訂で Chrome Enterprise Premium、SLSA、Model Armor、Sensitive Data Protection が新たに重要視されています。
学習の進め方
- まず通しで解く — 制限時間 30 分 / 20 問（1 問 90 秒）
- 採点して弱点把握 — 末尾の「正答率早見表」に記入
- 間違えた問題は学習資料
../02_学習資料/03_セキュリティとコンプライアンス/に戻る
正答率の目安
| 正答率 | 評価 | 次のアクション |
|---|---|---|
| 90% 以上 | 合格圏 | 模擬試験へ進む |
| 80-89% | 合格ライン | 間違えた領域だけ復習 |
| 70-79% | 要復習 | 02_応用.md を再読 |
| 70% 未満 | 基礎不足 | 01_基礎.md から学び直す |
難易度配分
- ★（基礎）: 3 問
- ★★（応用）: 12 問
- ★★★（発展）: 5 問
出題範囲対応表
| 試験ガイド項目 | 該当問題 |
|---|---|
| 3.1 セキュリティ設計（IAM / KMS / VPC SC / IAP / WIF） | 問題 1, 2, 3, 4, 5, 6, 7, 8 |
| 3.1 新項目（Chrome Enterprise Premium / SLSA / Model Armor / SDP） | 問題 9, 10, 11, 12, 13 |
| 3.2 コンプライアンス（HIPAA / GDPR / PCI DSS / SOC 2 / Audit Logs） | 問題 14, 15, 16, 17, 18, 19, 20 |
問題
問題 1 （難易度: ★）
シナリオ: あなたの組織は 100 名以上の開発者と運用者がおり、Google Cloud プロジェクトへのアクセス権限を管理しています。新人エンジニアには「Compute Engine の VM を起動できるが、ネットワーク設定は変更できない」というレベルの権限を付与したいです。
質問: 最小権限の原則に従い、最も適切な方法はどれですか。
選択肢:
- A. Owner ロールを付与する
- B. Editor ロールを付与する
- C. Pre-defined ロールの
roles/compute.instanceAdmin.v1を付与する - D. すべての Compute Engine 権限を含むカスタム IAM ポリシーを直接記述する
解答と解説
正解: C
解説:
- C が正解: Pre-defined ロール
roles/compute.instanceAdmin.v1は「VM の起動・停止・管理」に絞られ、ネットワーク権限は含みません。最小権限の原則に従い、まず事前定義ロールを使うことが Google のベストプラクティスです。 - A: Owner はプロジェクトすべての権限で過剰。
- B: Editor も広範すぎてネットワーク変更も可能になってしまう。
- D: カスタムロールは事前定義ロールでカバーできない場合の最終手段。最初から作るのは保守負荷大。
試験のひっかけポイント: Pre-defined → Custom → Basic の優先順位。Basic Roles (Owner/Editor/Viewer) は本番では避ける。「最小権限」のキーワードが出たら Pre-defined ロール優先。
関連リソース:
問題 2 （難易度: ★★）
シナリオ: あなたの組織には 5 つの部門があり、それぞれ独立した Google Cloud プロジェクトを利用しています。組織全体で適用したい制約として、「すべてのプロジェクトで Compute Engine VM のシリアルポート出力を無効にしたい」「特定リージョン (asia-northeast1, asia-northeast2 のみ) でしかリソースを作成できないようにしたい」があります。
質問: この組織レベルの制約を適用する最も適切な方法はどれですか。
選択肢:
- A. 各プロジェクトに IAM Policy を設定する
- B. Organization Policy を組織レベルで設定する
- C. プロジェクトごとに Cloud Build トリガーで監視する
- D. Cloud Audit Logs で違反を検知してから手動修正する
解答と解説
正解: B
解説:
- B が正解: Organization Policy は組織レベルで適用可能な制約 (Constraints) の集合。
constraints/compute.disableSerialPortAccessやconstraints/gcp.resourceLocationsで要件をワンストップ適用できます。フォルダ/プロジェクト単位で継承・オーバーライドも可能。 - A: IAM は権限制御で、リソースの設定値そのものを制約できない。
- C: 検知後の修正は遅い。事前防止が原則。
- D: 同上。事後対応では不十分。
試験のひっかけポイント: IAM (権限) vs Organization Policy (リソース設定の制約) の違い。「組織全体で強制」 が出たら Org Policy。代表的な制約 (resourceLocations / disableSerialPortAccess / allowedExternalIpAddresses) を覚えておく。
関連リソース:
問題 3 （難易度: ★★）
シナリオ: 金融機関の機密データを Cloud Storage と BigQuery に保管します。要件は、(1) 暗号鍵を自社管理、(2) 鍵のローテーションを 90 日ごとに自動実行、(3) 鍵の使用ログをすべて記録、(4) 自社内 HSM (FIPS 140-2 Level 3) に鍵素材を保持。
質問: この要件に最も適合する Google Cloud のサービスはどれですか。
選択肢:
- A. Google デフォルト暗号化のみ
- B. Cloud KMS with CMEK (software keys)
- C. Cloud KMS with CMEK (HSM-backed keys)
- D. Cloud External Key Manager (Cloud EKM)
解答と解説
正解: D
解説:
- D が正解: Cloud EKM (External Key Manager) は外部の HSM（Equinix SmartKey, Thales, Fortanix, Futurex 等）で管理された鍵を Google Cloud のリソース暗号化に利用できる仕組み。「自社内 HSM」というキーワードが EKM の決定打。鍵素材は外部に残り、Google からは触れない最強の Hold Your Own Key (HYOK) モデルです。
- A: 鍵を自社管理しない。
- B: CMEK ソフトウェア鍵は Google Cloud 内に保管。「自社内 HSM」要件に反する。
- C: CMEK HSM-backed は Google Cloud HSM（Google が管理する HSM）で、自社内 HSM ではない。
試験のひっかけポイント: 暗号鍵の階層:
- Google default encryption (Google 管理)
- CMEK Software (Cloud KMS 管理)
- CMEK HSM (Google 管理 HSM)
- Cloud EKM (顧客の外部 HSM) ← 最強の主権モデル 「自社内」「外部 HSM」=「EKM」と即答できるように。
関連リソース:
問題 4 （難易度: ★★★）
シナリオ: EHR Healthcare は HIPAA 対象の医療データを BigQuery と Cloud Storage に保管しています。要件は、(1) データの境界を VPC レベルで定義し、外部への持ち出しを禁止、(2) Google API へのアクセスは VPC 内からのみ、(3) サービスアカウント鍵の悪用による情報漏洩を防止、(4) Identity-aware access (IAM の上位制御) を実現、(5) インシデント検知も実装したい。
質問: この要件を満たすために導入すべき Google Cloud のサービスはどれですか。2 つ選びなさい。
選択肢:
- A. VPC Service Controls (VPC SC)
- B. Security Command Center Premium 以上
- C. VPC Firewall Rules のみ
- D. Cloud Armor
解答と解説
正解: A, B
解説:
- A が正解: VPC Service Controls (VPC SC) はサービス境界 (Service Perimeter) を定義し、境界をまたぐデータ移動を IAM とは別レイヤで制御します。サービスアカウント鍵が漏洩しても、境界外からのアクセスは拒否できる点が決定的に重要。Google API への VPC 限定アクセス (Private Google Access + VPC SC) も実現します。
- B が正解: Security Command Center Premium は VPC SC 違反、IAM 誤設定、データ持ち出し試行などを検知。インシデント検知レイヤとして VPC SC と併用するのが鉄板。
- C: VPC Firewall は L3/L4 で、Google API への送信アクセスは制御不可。
- D: Cloud Armor は L7 WAF / DDoS で、データ持ち出し防止は別レイヤ。
試験のひっかけポイント: 「データ持ち出し防止」「サービスアカウント鍵漏洩対策」=「VPC SC + SCC」。HIPAA / PCI DSS / GDPR ではほぼ必須レイヤ。防止 (VPC SC) と検知 (SCC) はセットで導入する。
関連リソース:
問題 5 （難易度: ★★）
シナリオ: あなたの企業の社員 500 名は社内 Web アプリにアクセスする必要があります。要件は、(1) VPN を使わずアクセス、(2) ユーザー認証と認可を IAM ベースで実施、(3) Google Workspace のアカウントで SSO、(4) BeyondCorp モデルで「信頼するネットワーク」概念を排除、(5) 細かい IAM 制御 (どのユーザがどの URL にアクセスできるか)。
質問: この要件に最適なサービスはどれですか。
選択肢:
- A. Cloud VPN
- B. Cloud Identity-Aware Proxy (IAP)
- C. Cloud Armor
- D. Cloud NAT
解答と解説
正解: B
解説:
- B が正解: Cloud IAP は Google の BeyondCorp 実装の中核で、社内 Web アプリ / SSH / RDP へのアクセスをユーザー単位の IAM で制御。VPN 不要、Google Workspace SSO 対応、URL レベルの細かい認可も可能。
- A: VPN は「ネットワーク境界モデル」で BeyondCorp の対極。
- C: Cloud Armor は外部攻撃対策で、認証認可は対象外。
- D: Cloud NAT はアウトバウンド NAT。
試験のひっかけポイント: BeyondCorp = IAP + Context-aware access。「VPN なし」「ゼロトラスト」「BeyondCorp」のキーワードが出たら IAP。
関連リソース:
問題 6 （難易度: ★★）
シナリオ: あなたは AWS と Azure のワークロードから Google Cloud のリソース（GCS バケット）に安全にアクセスさせたいです。要件は、(1) サービスアカウント鍵 (JSON ファイル) を発行・配布しない、(2) AWS の IAM ロールや Azure の AD 認証をそのまま信頼、(3) 短命の OAuth トークンに変換、(4) 中央管理。
質問: この要件に最適な Google Cloud のサービスはどれですか。
選択肢:
- A. Service Account Key (JSON)
- B. Workload Identity Federation (WIF)
- C. Cloud Identity
- D. Google Sign-In
解答と解説
正解: B
解説:
- B が正解: Workload Identity Federation (WIF) は外部 IdP (AWS IAM, Azure AD, OIDC 準拠の任意 IdP) の認証情報を信頼し、短命の Google Cloud アクセストークンに変換するサービス。サービスアカウント鍵の発行不要で、漏洩リスクを根絶できます。マルチクラウドの標準的なベストプラクティス。
- A: サービスアカウント鍵は漏洩リスクが高く、Google は最小化を強く推奨。
- C: Cloud Identity は人間ユーザの ID 管理で、ワークロード認証ではない。
- D: Google Sign-In は Web アプリの人間ユーザ認証。
試験のひっかけポイント: WIF はサービスアカウント鍵を発行しないマルチクラウド認証の決定打。GKE 内 Pod の認証 (Workload Identity) と混同しないこと（こちらは GKE 用機能、概念は近いが対象範囲が違う）。
関連リソース:
問題 7 （難易度: ★★）
シナリオ: あなたは GKE クラスタで動く Pod が、Google Cloud の API (Cloud Storage, BigQuery 等) を呼び出す構成を設計しています。要件は、(1) Service Account JSON を Pod に Secret として埋め込まない、(2) Pod ごとに細かい IAM 権限を与える、(3) Kubernetes Service Account を Google Service Account に紐づける。
質問: この要件に最適な GKE の機能はどれですか。
選択肢:
- A. GKE Workload Identity
- B. GKE Node Service Account
- C. GKE Pod Security Standard
- D. GKE Private Cluster
解答と解説
正解: A
解説:
- A が正解: GKE Workload Identity は Kubernetes Service Account (KSA) を Google Service Account (GSA) に紐づけ、Pod が自動的に GSA の権限で Google API を呼べる仕組み。Service Account JSON の埋め込み不要で、Pod 単位の最小権限を実現します。
- B: ノードの SA を使うと、同じノード上の全 Pod が同じ権限を持つことになり最小権限に反する。
- C: Pod Security Standard はコンテナのセキュリティポリシーで、認証とは別。
- D: Private Cluster はネットワーク分離で、認証機能はない。
試験のひっかけポイント: GKE Workload Identity は GKE 固有の機能。Section 3.1 の Workload Identity Federation (WIF) と名前が似ているが、WIF は外部クラウド向け、Workload Identity は GKE 向け。
関連リソース:
問題 8 （難易度: ★★）
シナリオ: あなたの組織には 100 名の開発者、20 名の運用エンジニア、5 名のセキュリティチーム、3 名の管理者がいます。Google Cloud プロジェクトと役職の組み合わせが多く、IAM 管理が複雑になっています。役職 (ロール) と部門 (グループ) を組み合わせて IAM を管理したいです。
質問: スケール可能で安全な IAM 設計のベストプラクティスはどれですか。2 つ選びなさい。
選択肢:
- A. Google Group を役職・部門単位で作成し、Group に対して IAM ロールを付与する
- B. Folder / Project の階層を活用し、上位レベルで継承可能な権限はそこで付与する
- C. 個人 (User) アカウント単位ですべての IAM を直接管理する
- D. Service Account 鍵 (JSON) を全開発者に配布する
解答と解説
正解: A, B
解説:
- A が正解: Google Group ベースの IAM 管理は Google が公式に推奨するベストプラクティス。役職や部門で Group を作り、Group に IAM ロールを付与することで、人事異動や入退社時の管理が圧倒的に簡潔になります。
- B が正解: Folder / Project の階層 を活用し、上位 (組織 / フォルダ) で共通権限を付与すれば、各プロジェクトでの個別設定を最小化できます。これも Google 推奨のスケーラブル設計。
- C: 個人単位だと管理が破綻する。
- D: SA 鍵の配布は最悪のセキュリティアンチパターン。WIF / Workload Identity を使うべき。
試験のひっかけポイント: **「ベストプラクティス」「100 名以上」**のキーワードが出たら Group + 階層継承。Cloud Identity / Workspace で Group を一元管理する流れも覚えておく。
関連リソース:
問題 9 （難易度: ★★）
シナリオ: あなたの企業は社員 1,000 名が Chrome ブラウザで業務 SaaS アプリにアクセスしています。要件は、(1) Chrome ブラウザでのアクセスにエンドポイント認証を必須化、(2) URL レピュテーション・マルウェアスキャン・データ漏洩防止 (DLP) を有効化、(3) 管理者が中央コンソールから Chrome ポリシーを配信、(4) ゼロトラスト Web セキュリティ。
質問: この要件に最適な Google Cloud のサービスはどれですか。
選択肢:
- A. Chrome Browser Cloud Management (基本機能)
- B. Chrome Enterprise Premium
- C. Cloud Armor
- D. BeyondCorp Remote Access (旧)
解答と解説
正解: B
解説:
- B が正解: Chrome Enterprise Premium は 2024 年に発表された Chrome ベースのゼロトラスト製品。エンドポイント認証 (Context-Aware Access)、URL フィルタリング、データ転送制御 (DLP)、マルウェアスキャン、管理コンソールを統合提供。ブラウザを「セキュリティ境界」にする新しいゼロトラストアプローチ。
- A: 基本機能はポリシー配信中心で、DLP / マルウェア対応は Premium。
- C: Cloud Armor は LB レベルの WAF。
- D: BeyondCorp Remote Access は VPN 代替で、ブラウザ機能とは別軸。
試験のひっかけポイント: 2025 年改訂で出題範囲に追加された新項目。「Chrome ブラウザでゼロトラスト」=「Chrome Enterprise Premium」。Workspace / Chrome を中心とした生産性 + セキュリティ統合戦略の一部。
関連リソース:
問題 10 （難易度: ★★★）
シナリオ: あなたの企業は CI/CD でビルドしたコンテナイメージをサプライチェーン攻撃から保護したいです。要件は、(1) ビルドプロセスの再現性を保証、(2) ビルドメタデータの署名付き記録、(3) 各ステップの来歴 (provenance) を不変記録、(4) SLSA Level 3 以上を達成、(5) Binary Authorization と統合してデプロイ時の検証も自動化。
質問: この要件に最適な Google Cloud のサービスの組み合わせはどれですか。2 つ選びなさい。
選択肢:
- A. Cloud Build with SLSA Level 3+ guarantees
- B. Binary Authorization (with attestations)
- C. Cloud CDN
- D. Container Registry (deprecated)
解答と解説
正解: A, B
解説:
- A が正解: Cloud Build は SLSA (Supply chain Levels for Software Artifacts) Level 3 を達成しており、ビルドの隔離・再現性・provenance 生成を保証します。
- B が正解: Binary Authorization はデプロイ時に attestation (署名付き来歴) を検証し、検証されたイメージのみクラスタにデプロイ可能にします。SLSA Level 3+ の運用には Binary Authorization が必須。
- C: Cloud CDN はコンテンツ配信、サプライチェーン保護とは無関係。
- D: Container Registry は deprecated (後継は Artifact Registry)。新規アーキで選ぶべきではない。
試験のひっかけポイント: 2025 年改訂で新項目の SLSA / Supply Chain Security。Cloud Build + Binary Authorization + Artifact Registry のセキュリティ統合は今後頻出。
関連リソース:
問題 11 （難易度: ★★）
シナリオ: Cymbal Retail は Gemini を使った顧客向けチャットボットを構築中です。要件は、(1) ユーザー入力のプロンプトインジェクション対策、(2) モデル出力のセンシティブ情報マスキング、(3) 有害コンテンツ（ヘイト、暴力、性的表現）のフィルタ、(4) Jailbreak 試行の検知・ブロック、(5) Vertex AI に統合。
質問: この要件に最も適合する Google Cloud のサービスはどれですか。
選択肢:
- A. Cloud Armor
- B. Model Armor
- C. Sensitive Data Protection (SDP)
- D. Vertex AI Workbench
解答と解説
正解: B
解説:
- B が正解: Model Armor は 2024 年に発表された生成 AI 専用のセキュリティ製品。プロンプトインジェクション検知、Jailbreak 防止、有害コンテンツフィルタ、出力のセンシティブ情報マスキングを統合提供。Vertex AI および Gemini API と密接に統合されています。
- A: Cloud Armor は L7 WAF で、LLM 用ではない。
- C: SDP は構造化/非構造化データのマスキング (汎用 DLP) で、LLM 特有のプロンプトインジェクション検知はない。
- D: Workbench は開発環境で、ガードレールサービスではない。
試験のひっかけポイント: 2025 年改訂で新項目の Model Armor。LLM 周辺のセキュリティ専用製品。Sensitive Data Protection (DLP の新名) は併用するが、用途が違う。
関連リソース:
問題 12 （難易度: ★★）
シナリオ: あなたは Cloud Storage に保存された PDF やテキストから、個人情報 (氏名、メール、電話、クレジットカード番号) を自動検出・マスキングしたいです。要件は、(1) 検出パターンは事前定義のものを使う、(2) マスキング / 仮名化 / トークン化を選択可、(3) スキャン結果は BigQuery にエクスポートして分析、(4) GA で安定したサービス。
質問: この要件に最適な Google Cloud のサービスはどれですか。
選択肢:
- A. Sensitive Data Protection (旧 Cloud Data Loss Prevention / DLP)
- B. Cloud KMS
- C. Cloud Storage Object Lifecycle Management
- D. Document AI
解答と解説
正解: A
解説:
- A が正解: Sensitive Data Protection (SDP、旧 DLP) は 150+ の事前定義された InfoType で個人情報を検出し、マスキング / 仮名化 / トークン化を自動実行。BigQuery / Cloud Storage / Datastream と統合し、スキャン結果のエクスポートも可能。2024 年に DLP から SDP に改名。
- B: KMS は暗号鍵管理で、検出機能はない。
- C: Lifecycle は古いオブジェクトの自動処理で、内容検査は対象外。
- D: Document AI は文書から構造化抽出するサービスで、PII 検出は副次的。
試験のひっかけポイント: Cloud DLP → Sensitive Data Protection に改名（2024 年）。試験では「SDP」または「DLP」両方で登場する可能性あり。GDPR / HIPAA / PCI DSS では SDP の使用が定番。
関連リソース:
問題 13 （難易度: ★★★）
シナリオ: あなたは新規プロジェクト立ち上げ時のセキュリティベースラインを設計しています。要件は、(1) Cloud Asset Inventory で全リソース可視化、(2) Security Command Center Premium で脅威検知、(3) Web Security Scanner で脆弱性検査、(4) Risk Manager でコンプライアンス評価、(5) すべてを単一ダッシュボードで統合管理。
質問: この要件に最適なサービスティアはどれですか。
選択肢:
- A. Security Command Center Standard (旧 Free)
- B. Security Command Center Premium
- C. Security Command Center Enterprise
- D. Chronicle Security Operations
解答と解説
正解: C
解説:
- C が正解: Security Command Center Enterprise (2024 年に Mandiant 機能と統合) は SCC Premium のすべての機能に加え、Chronicle SIEM/SOAR 機能、Mandiant 脅威インテリジェンスを統合した最上位プラン。「単一ダッシュボードで統合管理」というキーワードが Enterprise の決定打。
- A: Standard は基本機能のみ。
- B: Premium は脅威検知や脆弱性スキャンを含むが、SIEM/SOAR 統合は Enterprise から。
- D: Chronicle 単体では SCC 機能との統合性が劣る。
試験のひっかけポイント: SCC の 3 ティア (Standard / Premium / Enterprise) を覚える。Enterprise = Premium + Mandiant + Chronicle 統合 (2024 年改編)。
関連リソース:
問題 14 （難易度: ★★）
シナリオ: EHR Healthcare は米国の病院向け SaaS で、HIPAA 規制下のePHI (electronic Protected Health Information) を扱います。要件は、(1) Google Cloud と BAA (Business Associate Agreement) を締結、(2) HIPAA 対応サービスのみ利用、(3) すべてのePHI アクセスログを 6 年間保持、(4) 暗号化要件 (at-rest + in-transit) 遵守。
質問: HIPAA 準拠のために最初に実施すべきことはどれですか。
選択肢:
- A. Cloud Audit Logs を有効にする
- B. すべてのリソースに CMEK を適用する
- C. Google Cloud カスタマーケアまたは営業に BAA 締結を申請する
- D. VPC Service Controls を設定する
解答と解説
正解: C
解説:
- C が正解: HIPAA 準拠の前提は BAA 締結。BAA がないと PHI を Google Cloud に置くこと自体が違反になります。BAA 締結後に、HIPAA 対応サービス (BigQuery、GKE、Cloud SQL 等の大半が対応) を利用し、必要な暗号化・ログ保管・アクセス制御を実装する流れ。
- A: Audit Logs はステップとして必要だが、BAA が先。
- B: CMEK はステップとして必要だが、BAA が先。
- D: VPC SC は強化施策だが、BAA が先。
試験のひっかけポイント: コンプライアンスの順序 = (1) 規制契約 (BAA など) → (2) 対象サービス選定 → (3) 技術的統制 (暗号化 / ログ / アクセス制御)。「最初に何をすべきか」の問題は契約から始める。
関連リソース:
問題 15 （難易度: ★★）
シナリオ: EU で事業展開する企業が、GDPR (General Data Protection Regulation) 対応を強化したいと考えています。要件は、(1) EU 市民のデータは EU リージョンに保管 (データレジデンシー)、(2) ユーザーからの「忘れられる権利」(削除請求) に対応、(3) データ処理の同意管理、(4) Subject Access Request への対応プロセス。
質問: GDPR 対応に直接寄与する Google Cloud の技術的施策として最も適切なものはどれですか。2 つ選びなさい。
選択肢:
- A. Organization Policy
constraints/gcp.resourceLocationsで EU リージョンのみ許可 - B. Sensitive Data Protection で個人データを検出・分類
- C. Cloud CDN でグローバル配信を最適化
- D. BigQuery Reservations で予約スロットを購入
解答と解説
正解: A, B
解説:
- A が正解: データレジデンシー = EU リージョンのみリソース作成を許可する Org Policy 制約。GDPR の地理的要件に直接対応。
- B が正解: Sensitive Data Protection で個人データを検出・分類することで、「忘れられる権利」「データ最小化」「アクセスログ管理」の基盤になる。
- C: CDN は性能最適化で GDPR 対応とは別。
- D: BigQuery Reservations はコスト管理で GDPR 対応とは別。
試験のひっかけポイント: GDPR の代表的施策 = データレジデンシー (Org Policy) + データ検出 (SDP) + アクセス制御 (IAM/VPC SC) + 監査ログ (Audit Logs)。
関連リソース:
問題 16 （難易度: ★★）
シナリオ: EC サイトを運営する Cymbal Retail は PCI DSS Level 1 (年間 600 万件以上のカード処理) に該当します。要件は、(1) カード番号 (PAN) をデータベースに平文で保存しない、(2) カード処理環境のネットワーク分離、(3) 監査ログの 1 年以上保持、(4) PCI DSS 監査の対象範囲を最小化。
質問: PCI DSS 監査範囲 (PCI scope) を最小化するベストプラクティスはどれですか。
選択肢:
- A. すべてのカード処理を自社の VPC 内で完結させ、自社で PAN を保管
- B. 決済処理を PCI DSS 準拠のサードパーティ決済代行 (Stripe / Adyen 等) にトークン化込みで委任し、自社では PAN を扱わない
- C. PAN を CMEK で暗号化して BigQuery に保管
- D. Cloud KMS で PAN を暗号化して Cloud SQL に保管
解答と解説
正解: B
解説:
- B が正解: PCI DSS 監査範囲の最小化原則は「PAN を扱わない / 触らない / 保管しない」。決済代行にトークン化を委任すれば、自社環境は PCI scope から除外でき、監査コストと違反リスクが激減します。
- A: 自社で PAN を扱うと PCI 範囲が拡大し、コストとリスクが増大。
- C/D: 暗号化しても PAN を扱っている事実は変わらず、PCI 範囲内です。
試験のひっかけポイント: 「監査範囲の最小化」=「PAN を扱わない設計」。暗号化は最終手段ではなく、そもそもデータを持たないことが最高のコンプライアンス施策。
関連リソース:
問題 17 （難易度: ★）
シナリオ: SaaS 企業が顧客に SOC 2 Type II 報告書を提示する必要があります。Google Cloud は SOC 2 監査済みのインフラを提供しますが、顧客企業として追加すべき技術的統制を実装したいです。要件は、(1) すべての管理操作 (Admin Activity) の監査ログ取得、(2) データアクセス (Data Access) 操作の監査ログ取得、(3) ログの改ざん防止、(4) ログを SIEM に転送して分析。
質問: Google Cloud の監査ログのうち、デフォルトで有効化されていないのはどれですか。
選択肢:
- A. Admin Activity audit logs
- B. System Event audit logs
- C. Data Access audit logs
- D. Policy Denied audit logs
解答と解説
正解: C
解説:
- C が正解: Data Access audit logs はデフォルトで無効 (BigQuery を除く)。コスト増加と高ボリュームのため、サービスごとに明示的に有効化する必要があります。Admin Activity と System Event は常に有効、Policy Denied も常に有効。
- A: Admin Activity はデフォルト有効・無効化不可。
- B: System Event はデフォルト有効・無効化不可。
- D: Policy Denied はデフォルト有効・無効化不可。
試験のひっかけポイント: Audit Logs の 4 種類:
- Admin Activity (default ON)
- Data Access (default OFF, BigQuery のみ ON)
- System Event (default ON)
- Policy Denied (default ON) SOC 2 / HIPAA / PCI DSS では Data Access の有効化が必須。
関連リソース:
問題 18 （難易度: ★★）
シナリオ: あなたの企業は規制要件で、すべての監査ログを 10 年間、改ざん不可な形で保管する必要があります。さらに、Cloud Logging のログを長期保管バケットに自動転送し、SIEM (Splunk / Chronicle) にも同時にエクスポートしたいです。
質問: この要件を最も効率的に満たす Cloud Logging の構成はどれですか。
選択肢:
- A. ログをローカルのテキストファイルにダウンロードして保管
- B. Log Sink で Cloud Storage バケット (Bucket Lock 有効 + 10 年保持) と Pub/Sub (SIEM 連携) に同時転送
- C. すべてのログを Cloud Logging の標準バケット (30 日保持) で管理
- D. 手動で gcloud logging read を毎日実行して BigQuery に保存
解答と解説
正解: B
解説:
- B が正解: Log Sink (Log Router) は Cloud Logging のログを複数の宛先 (Cloud Storage / BigQuery / Pub/Sub / Cloud Logging bucket) に自動転送する仕組み。Cloud Storage バケットに Bucket Lock + 10 年保持 で改ざん不可、Pub/Sub で SIEM 連携、を同時実現できます。
- A: ローカルダウンロードは改ざんリスクと信頼性の問題。
- C: Cloud Logging の標準バケットはデフォルト 30 日、最大 3650 日まで延長できるがコスト高で、改ざん防止には Bucket Lock 必須。
- D: 手動運用は信頼性低い。
試験のひっかけポイント: Log Sink の宛先 = GCS / BigQuery / Pub/Sub / Cloud Logging Bucket。複数 Sink を並列で動かすのが標準パターン。Bucket Lock + Retention Policy が長期保管の決定打。
関連リソース:
問題 19 （難易度: ★★★）
シナリオ: KnightMotives Automotive は自動車製造業として、(1) ISO 27001 / SOC 2 Type II の取得、(2) 工場 OT (Operational Technology) と IT の分離、(3) 監査人へのアクセスを限定的に許可、(4) 第三者ベンダーの分析作業を Sensitive Data Protection でマスキングした上で許可、(5) すべての操作証跡を不変保管、を行いたいです。
質問: このシナリオで監査人や第三者ベンダーに一時的な限定アクセスを付与する最も安全な方法はどれですか。
選択肢:
- A. Owner ロールを期間付きで付与
- B. IAM Conditions と Privileged Access Manager (PAM) で時間制限付き昇格アクセス
- C. サービスアカウント鍵を発行して渡す
- D. 個人アカウントを永続的にプロジェクトメンバーとして追加
解答と解説
正解: B
解説:
- B が正解: IAM Conditions で時間 (request.time)、IP アドレス、リソース名などの属性を条件にロール付与可能。さらに Privileged Access Manager (PAM、2024 年 Preview→GA) で「承認ワークフロー付きの時間制限付き昇格アクセス (Just-In-Time access)」を実現できます。SOC 2 / ISO 27001 で監査人アクセス管理の標準。
- A: Owner は過剰権限。
- C: SA 鍵の配布は最大の漏洩リスク。
- D: 永続的アクセスは最小権限原則に反する。
試験のひっかけポイント: Privileged Access Manager (PAM) は 2024 年改訂で新項目。「時間制限付き / 承認付き / 監査人 / 一時昇格」=「PAM + IAM Conditions」。
関連リソース:
問題 20 （難易度: ★★★）
シナリオ: あるグローバル企業は、(1) GDPR (EU)、(2) HIPAA (US 医療)、(3) APPI (日本個人情報保護法)、(4) ISO 27001、(5) SOC 2 の 5 つの規制 / 標準への準拠を同時に管理する必要があります。要件は、(1) 各リージョンで適切なコンプライアンス制御、(2) コンプライアンスフレームワークごとの推奨制御の自動チェック、(3) 監査エビデンスの自動収集、(4) 単一ダッシュボードで管理。
質問: この要件を最も効率的に満たす Google Cloud のサービスはどれですか。
選択肢:
- A. Security Command Center Enterprise + Compliance Reports (旧 Compliance Manager)
- B. Cloud Logging + Cloud Monitoring
- C. BigQuery + Looker Studio で自前ダッシュボードを構築
- D. Cloud Asset Inventory のみ
解答と解説
正解: A
解説:
- A が正解: Security Command Center Enterprise は SCC Premium + Mandiant + Chronicle 統合に加え、Compliance Reports / Risk Manager 機能でフレームワーク（NIST / ISO 27001 / HIPAA / GDPR / PCI DSS 等）ごとの推奨制御を自動チェック、エビデンス収集、ダッシュボード集中管理が可能です。
- B: 監視 / ログだけではコンプライアンスフレームワークの推奨制御チェックは自前実装が必要。
- C: 自前ダッシュボードは保守コスト大。
- D: Asset Inventory はリソース棚卸しのみで、コンプライアンス制御のチェックはしない。
試験のひっかけポイント: 「複数フレームワーク同時準拠 + 自動チェック」=「SCC Enterprise + Compliance Reports」。2024-2025 年に強化された統合製品で出題重要度急上昇。
関連リソース:
正答率早見表
| 問題 | 領域 | 難易度 | 正答 | 自己採点 |
|---|---|---|---|---|
| 1 | 3.1 IAM 最小権限 | ★ | C | □ |
| 2 | 3.1 Organization Policy | ★★ | B | □ |
| 3 | 3.1 EKM | ★★ | D | □ |
| 4 | 3.1 VPC SC + SCC | ★★★ | A, B | □ |
| 5 | 3.1 IAP | ★★ | B | □ |
| 6 | 3.1 WIF | ★★ | B | □ |
| 7 | 3.1 GKE Workload Identity | ★★ | A | □ |
| 8 | 3.1 Group + 階層 IAM | ★★ | A, B | □ |
| 9 | 3.1 Chrome Enterprise Premium | ★★ | B | □ |
| 10 | 3.1 SLSA / Supply Chain | ★★★ | A, B | □ |
| 11 | 3.1 Model Armor | ★★ | B | □ |
| 12 | 3.1 SDP (旧 DLP) | ★★ | A | □ |
| 13 | 3.1 SCC Enterprise | ★★★ | C | □ |
| 14 | 3.2 HIPAA / BAA | ★★ | C | □ |
| 15 | 3.2 GDPR | ★★ | A, B | □ |
| 16 | 3.2 PCI DSS | ★★ | B | □ |
| 17 | 3.2 Audit Logs | ★ | C | □ |
| 18 | 3.2 Log Sink | ★★ | B | □ |
| 19 | 3.2 PAM | ★★★ | B | □ |
| 20 | 3.2 Compliance Reports | ★★★ | A | □ |
合計正解数: ___ / 20
弱点別の復習ガイド
3.1 セキュリティ設計（IAM / KMS / VPC SC / IAP / WIF）で間違えた場合
- 復習資料:
../02_学習資料/03_セキュリティとコンプライアンス/02_応用.mdの「セキュリティ基盤」セクション - 重点項目:
- IAM の階層 (Basic / Pre-defined / Custom Roles)
- Organization Policy の代表的 Constraints
- 暗号鍵の階層 (Google default / CMEK Software / CMEK HSM / Cloud EKM)
- VPC Service Controls の Service Perimeter
- IAP と BeyondCorp
- WIF (外部クラウド) vs GKE Workload Identity (GKE 内)
- Google Group ベース IAM
3.1 新項目（Chrome Enterprise Premium / SLSA / Model Armor / SDP）で間違えた場合
- 復習資料:
../02_学習資料/03_セキュリティとコンプライアンス/02_応用.mdの「2025 改訂新項目」セクション - 重点項目:
- Chrome Enterprise Premium の機能
- SLSA Level と Cloud Build / Binary Authorization の統合
- Model Armor の機能 (プロンプトインジェクション / Jailbreak 検知)
- Sensitive Data Protection (旧 DLP) の改名と機能
- SCC Standard / Premium / Enterprise の差分
3.2 コンプライアンスで間違えた場合
- 復習資料:
../02_学習資料/03_セキュリティとコンプライアンス/02_応用.mdの「コンプライアンス」セクション - 重点項目:
- HIPAA BAA の前提条件
- GDPR のデータレジデンシーと SDP
- PCI DSS の監査範囲最小化
- Audit Logs 4 種類とデフォルト ON/OFF
- Log Sink と Bucket Lock
- PAM (Privileged Access Manager)
- Compliance Reports / SCC Enterprise
次のステップ
- Section 1 問題集に戻る:
section1_問題集.md - Section 2 問題集に戻る:
section2_問題集.md - 模擬試験へ進む:
../04_模擬試験/ - 学習資料に戻る:
../02_学習資料/03_セキュリティとコンプライアンス/