セキュリティの要点整理と想定問題

正解: C 【A（不正解）】 ？ 機密データを見つけて隠すサービスです。 個人情報の保護には役立つが、大量の通信でサイトが止まる問題には効かない。 【B（不正解）】 ？ 暗号鍵を自分で管理する方法です。 保存データを守る方法であり、押し寄せる通信を止める仕組みではない。 【C（正解）】 ？ Google のネットワークの端で通信をふるい分けるサービスです。 Cloud Armor は L3・L4 の大量通信型の DDoS を常に防ぐ。L7 の攻撃も、ポリシーのルールで防げる。 【D（不正解）】 ？ 規制に合わせて保存場所やアクセスを制御するサービスです。 データ所在地の管理には使えるが、DDoS 攻撃への対策ではない。

出典: Cloud Armor の概要

正解: A 【A（正解）】 ？ 組織全体の脅威や構成ミスを見つけるサービスです。 Event Threat Detection は採掘先への通信を、VM Threat Detection は VM のメモリにある採掘ソフトの痕跡を見つける。どちらも Premium 以上の機能である。 【B（不正解）】 ？ 計算資源を足して性能を上げる方法です。 不正な採掘が続いたまま資源を増やすと、費用がさらに膨らむ。原因の検出と対処が先である。 【C（不正解）】 ？ コンテンツを利用者の近くに置いて配信を速くするサービスです。 配信を速くする仕組みで、VM の中で動く不正なソフトは見つけられない。 【D（不正解）】 ？ データを見える化するダッシュボードのツールです。 費用の増加には気づけても、採掘ソフトの検出や原因の調査はできない。

出典: クリプトマイニング検出のベスト プラクティス／Security Command Center の概要

正解: D 【A（不正解）】 ？ インターネット上の誰にでもデータを見せる設定です。 公開設定は情報漏えいの原因になる。ランサムウェアへの備えにはならず、危険を増やす。 【B（不正解）】 ？ プロジェクトのほぼすべてを操作できる広い権限です。 広すぎる権限は、アカウントを乗っ取られたときの被害を大きくする。最小権限の原則にも反する。 【C（不正解）】 ？ VM の CPU やメモリを増やす操作です。 性能を上げても、データの暗号化や削除への備えにはならない。 【D（正解）】 ？ 一定期間データを消したり上書きしたりできなくする設定です。 公式の対策は、Bucket Lock を使った保持ポリシーやバージョニングで重要データを守ることを挙げている。

出典: ランサムウェア攻撃を緩和するためのベスト プラクティス

正解: B 【A（不正解）】 ？ 他人の計算資源で暗号資産を採掘する攻撃です。 計算資源を無断で使う攻撃であり、AI への細工した入力とは違う。 【B（正解）】 ？ AI に細工した入力を与えて想定外の動きをさせる攻撃です。 指示を上書きして機密を引き出そうとする入力は、プロンプト インジェクションと呼ばれる。対策には Model Armor が使える。 【C（不正解）】 ？ 大量の通信でサービスを止める攻撃です。 通信の量でサービスを止める攻撃で、入力の中身で AI を操る手口とは違う。 【D（不正解）】 ？ データを暗号化して身代金を求める不正プログラムです。 データを人質に取る攻撃で、AI への入力による攻撃ではない。

出典: Model Armor の概要／Model Armor（製品ページ）

正解: B 【A（不正解）】 ？ クラウド事業者がすべてを受け持つという考え方です。 Google は物理的な設備や下層のネットワークを守る。IaaS の OS は利用者の受け持ちである。 【B（正解）】 ？ サービスを使う側の受け持ちです。 IaaS では、データ、アプリ、仮想ネットワークの制御、OS、利用者のアクセスを利用者が守る。 【C（不正解）】 ？ 外部の機関が準拠の状況を検証する仕組みです。 監査機関は検証をする立場で、OS の運用の責任は持たない。 【D（不正解）】 ？ インターネット回線を提供する会社です。 通信事業者は VM の中身を管理しない。

出典: クラウド セキュリティとは／責任の共有と運命の共有（Google Cloud Well-Architected Framework）

正解: C 【A（不正解）】 ？ 建物への立ち入りを管理する業務です。 物理的な安全は Google が受け持つ。SaaS でも利用者の作業にはならない。 【B（不正解）】 ？ 通信機器や回線など、土台の部分です。 下層のネットワークとインフラは、どの形態でも常に Google の責任である。 【C（正解）】 ？ アカウントの権限と、入れる情報の中身の話です。 SaaS では Google が多くを受け持つ。それでも、アクセスの管理と保存するデータは利用者に残る。 【D（不正解）】 ？ 機器そのものの部品や、それを動かす制御ソフトです。 ハードウェアは Google が設計・管理しており、利用者は扱わない。

出典: 責任の共有と運命の共有（Google Cloud Well-Architected Framework）

正解: A 【A（正解）】 ？ 事業者が利用者の安全づくりに深く関わる考え方です。 運命の共有では、Google が安全な構成の出発点や設計図、リスク管理の選択肢を示す。継続的な協力で安全を高める。 【B（不正解）】 ？ 責任のすべてを事業者に移すという考え方です。 アクセスの方針とデータは、常に利用者が管理する。責任がすべて Google に移るわけではない。 【C（不正解）】 ？ 建物や機器を利用者が受け持つ形です。 下層のインフラは常に Google の責任であり、利用者は物理的な管理をしない。 【D（不正解）】 ？ IaaS・PaaS・SaaS で分担が変わるかどうかの話です。 分担は IaaS・PaaS・SaaS で変わる。形態によらず同じという説明は事実と合わない。

出典: 責任の共有と運命の共有（Google Cloud Well-Architected Framework）／クラウド セキュリティとは

正解: D 【A（不正解）】 ？ ほぼすべての操作ができる広い権限です。 オーナーは必要以上の権限を含む。公式は本番環境で基本ロールを使わないよう勧めている。 【B（不正解）】 ？ 多くのリソースを変更できる広い権限です。 範囲も権限も広すぎる。必要な最小の範囲で付けるのが原則である。 【C（不正解）】 ？ プログラム用の ID の認証情報を渡す方法です。 鍵の共有は漏えいの危険が高く、誰が操作したかも追えなくなる。 【D（正解）】 ？ 必要な範囲と操作に絞った権限の付け方です。 必要な範囲に、必要な権限だけを付けるのが最小権限の原則に合う。事前定義ロールを使えば付けやすい。

出典: IAM を安全に使用する／IAM の概要

正解: C 【A（不正解）】 ？ 複数の対策を重ねる考え方です。 対策を重ねる考え方であり、「場所で信頼しない」ことそのものを指す語ではない。 【B（不正解）】 ？ データや運用を自らの管理下に置く考え方です。 管理を誰が握るかの話で、アクセスごとの確認を指す語ではない。 【C（正解）】 ？ 既定では誰も何も信頼しない考え方です。 ゼロトラストは、ネットワークの内外を問わず既定で信頼しない。すべての要求を認証・認可して確かめる。 【D（不正解）】 ？ データを保存する地理的な場所のことです。 保存場所の話で、アクセスの確かめ方とは関係しない。

出典: ゼロトラストとは

正解: D 【A（不正解）】 ？ 強い権限を常に持たせ続ける方法です。 常に強い権限を持たせると、乗っ取りや誤操作の被害が大きくなる。 【B（不正解）】 ？ 認証情報を複数人で共有する方法です。 共有した認証情報は漏えいしやすく、誰が使ったかも追えない。 【C（不正解）】 ？ 本人確認の手順を減らす操作です。 本人確認を弱めるほど、不正なログインの危険が増える。 【D（正解）】 ？ IAM の機能の 1 つで、強い権限の付与を管理します。 期限付きで権限を上げ、期限が来ると自動で外れる。理由の入力や承認、Cloud Audit Logs への記録もできる。

出典: Privileged Access Manager の概要

正解: A 【A（正解）】 ？ 最初から安全な状態にしておく考え方です。 2024 年 5 月 3 日以降に作った組織には、鍵の作成を止めるなどの組織のポリシーが自動で適用される。 【B（不正解）】 ？ 攻撃を受けても回復して事業を続ける力です。 回復する力の考え方で、初期設定を安全にすることそのものではない。 【C（不正解）】 ？ 外部の機関による検証です。 外部の機関による検証の話で、組織の初期設定とは関係しない。 【D（不正解）】 ？ データを保存する場所のことです。 保存場所の話で、鍵の作成の制限とは関係しない。

出典: デフォルトで安全な組織のリソース

正解: D 【A（不正解）】 ？ 費用と申し込みについての説明です。 Google は保存されたお客様のデータを、利用者の操作なしで既定で暗号化している。 【B（不正解）】 ？ 鍵を自分で用意するかどうかの説明です。 自分で鍵を管理する方法（Cloud KMS）もあるが、使わなくても既定で暗号化される。 【C（不正解）】 ？ 移動中と保存中の違いについての説明です。 保存中も既定で暗号化される。転送中の暗号化も、多くの経路で既定で行われる。 【D（正解）】 ？ 標準で行われる保護についての説明です。 Google は保存されたお客様のデータを、利用者の操作なしで AES-256 で暗号化している。

出典: 保存データのデフォルトの暗号化／Google Cloud での転送中の暗号化

正解: B 【A（不正解）】 ？ Google が持つ鍵で自動的に守る方法です。 既定の鍵は Google が所有・管理する。利用者はローテーションや無効化を操作できない。 【B（正解）】 ？ Cloud KMS で作った鍵を、各サービスの暗号化に使う方法です。 CMEK では利用者がローテーションを決め、鍵の無効化や破棄でデータを読めなくできる。鍵の場所の指定や利用の記録もできる。 【C（不正解）】 ？ 通信の暗号化に使う証明書の管理です。 証明書は転送中の通信のためのもので、保存データの鍵の管理には使わない。 【D（不正解）】 ？ 機密データを見つけて隠す機能です。 マスキングは値を隠す処理で、暗号鍵のローテーションや無効化とは違う。

出典: 顧客管理の暗号鍵（CMEK）／Cloud Key Management Service の概要

正解: C 【A（不正解）】 ？ 暗号化した通信路でネットワークをつなぐ方法です。 守れるのは転送中のデータで、処理中のメモリ上のデータは対象外である。 【B（不正解）】 ？ 保存データの鍵を自分で管理する方法です。 保存中のデータを守る手段で、処理中のメモリは守れない。 【C（正解）】 ？ ハードウェアの隔離された領域で処理する技術です。 処理中もメモリ上のデータを暗号化したまま扱う。ホストの OS やハイパーバイザーからも読めない。 【D（不正解）】 ？ ウェブへの攻撃をネットワークの端で防ぐサービスです。 外部からの攻撃は防げても、処理中のメモリのデータを暗号化する機能ではない。

出典: Confidential Computing の概要

正解: A 【A（正解）】 ？ 相手が本人かどうかを確かめることです。 2SV はパスワードに別の確認を加えて、本人であることを確かめる。これは認証に当たる。 【B（不正解）】 ？ 何をしてよいかを決めることです。 認可は、本人確認の後にどのリソースで何をしてよいかを決めること。IAM のロールの付与が当たる。 【C（不正解）】 ？ 誰が何をしたかを記録し、後から確かめることです。 監査は記録を残して確かめる仕組みで、ログイン時の本人確認ではない。 【D（不正解）】 ？ データを鍵なしでは読めない形にすることです。 データを守る手段で、ログインする人の確認とは別の話である。

出典: Google の認証の概要／IAM の概要

正解: D 【A（不正解）】 ？ 機密データがどこにあるかの調査結果です。 機密データの場所はわかるが、設定を変えた人の記録はない。 【B（不正解）】 ？ 費用の使われ方を示すレポートです。 費用の内訳からは、誰が設定を変えたかはわからない。 【C（不正解）】 ？ サービスが応答しているかを確かめる機能です。 稼働の監視で、設定を変えた人は記録しない。 【D（正解）】 ？ Cloud Audit Logs の種類の 1 つです。 構成を変える操作を常に記録し、無効にできない。「誰が・どこで・いつ・何を」したかがわかる。

出典: Cloud Audit Logs の概要

正解: B 【A（不正解）】 ？ 設定を変える操作を記録するログの使い方です。 管理アクティビティ監査ログは構成の変更を記録するもので、データの読み取りは対象外である。 【B（正解）】 ？ Cloud Audit Logs の種類の 1 つで、多くのサービスで既定では無効です。 データアクセス監査ログは、BigQuery を除いて既定で無効である。読み取りを残すには明示的に有効にする。 【C（不正解）】 ？ Google の担当者の操作を記録するログです。 記録されるのは Google の担当者の操作で、自社の利用者の読み取りではない。 【D（不正解）】 ？ 方針に反してアクセスが拒否されたときのログです。 拒否されたアクセスを記録するもので、成功した読み取りは残らない。

出典: Cloud Audit Logs の概要／Access Transparency の概要

正解: C 【A（不正解）】 ？ 組織の安全対策の状態や備えの強さです。 自社の対策の状態を指す語で、攻撃者についての情報そのものではない。 【B（不正解）】 ？ 設定の不備で、意図せず外部に公開されることです。 自社の設定の問題を指し、外部の攻撃者の情報ではない。 【C（正解）】 ？ 攻撃者や手口の情報を分析した知見です。 攻撃者、手口、標的などの情報を集めて分析し、防御に役立てるものが脅威インテリジェンスである。 【D（不正解）】 ？ 管理者権限などの強い権限でのアクセスです。 権限の種類を指す語で、攻撃者についての情報ではない。

出典: Google Threat Intelligence／Google Security Operations（製品ページ）

正解: A 【A（正解）】 ？ SIEM・SOAR・脅威インテリジェンスをまとめた基盤です。 テレメトリーを集めて正規化し、脅威インテリジェンスと結び付けて検出する。プレイブックで対応も自動化できる。 【B（不正解）】 ？ コンテンツの配信を速くするサービスです。 配信を速くするためのもので、セキュリティのログは分析しない。 【C（不正解）】 ？ 暗号鍵を管理するサービスです。 鍵の管理のためのもので、ログを集めて脅威を見つける機能はない。 【D（不正解）】 ？ TLS 証明書を管理するサービスです。 証明書の発行と更新のためのもので、脅威の検出や対応はできない。

出典: Google Security Operations の概要／Google Security Operations（製品ページ）

正解: D 【A（不正解）】 ？ AI アプリへの入力と出力を検査するサービスです。 自社の AI アプリを守るためのもので、監視チームの調査を支援する機能ではない。 【B（不正解）】 ？ 機密データを見つけて隠すサービスです。 機密データを守るためのもので、脅威の調査の検索は支援しない。 【C（不正解）】 ？ 規制に合わせた環境を作るサービスです。 保存場所やアクセスの制御のためのもので、調査の効率化とは関係しない。 【D（正解）】 ？ SecOps に組み込まれた AI の支援機能です。 自然言語で検索を作って実行でき、事例の要約や対応の提案も出す。YARA-L の検出ルールやプレイブックも作れる。

出典: Gemini in Google Security Operations

正解: C 【A（不正解）】 ？ ウェブ アプリへの攻撃をネットワークの端で防ぐサービスです。 SQL インジェクションなどのウェブ攻撃は防げるが、AI の回答の中身は検査しない。 【B（不正解）】 ？ 暗号化した通信路で拠点をつなぐサービスです。 通信路を守るもので、回答に含まれる個人情報は見つけられない。 【C（正解）】 ？ 生成 AI 向けのセキュリティ サービスです。 プロンプトと回答を検査し、個人情報や認証情報の漏えいを防ぐ。機密データの判定には Sensitive Data Protection を使う。 【D（不正解）】 ？ 専用の回線などで社内とつなぐサービスです。 接続の方法であり、AI の回答の中身は扱わない。

出典: Model Armor の概要／Model Armor（製品ページ）

正解: B 【A（不正解）】 ？ 費用がしきい値を超えたら知らせる機能です。 費用の通知で、AI の資産の把握やリスクの評価はできない。 【B（正解）】 ？ AI の資産とリスクを管理する機能です。 AI の資産を棚卸しし、脆弱性やリスク、権限が過剰なエージェントを見つける。AI を狙う脅威も検出する。 【C（不正解）】 ？ 配信を速くするための設定です。 配信のためのもので、AI の資産を見つける機能はない。 【D（不正解）】 ？ 通信の暗号化に使う証明書です。 通信を守るためのもので、AI のリスク管理の機能ではない。

出典: AI Protection の概要／AI のセキュリティ（Google Cloud）

正解: A 【A（正解）】 ？ 生成 AI 向けのセキュリティ サービスです。 Model Armor は REST API で使え、他社のクラウドの AI にも使える。プロンプト インジェクションや機密情報の漏えいを検査する。 【B（不正解）】 ？ ウェブへの攻撃の型を見つけて防ぐルールです。 WAF は SQL インジェクションなどのウェブ攻撃を防ぐもので、AI への指示の中身を見るものではない。 【C（不正解）】 ？ VM への通信を許可・拒否するルールです。 通信の相手やポートは絞れるが、AI への入力の内容は検査できない。 【D（不正解）】 ？ 処理中のメモリを暗号化する技術です。 処理中のデータは守れるが、悪意のあるプロンプトは見つけない。

出典: Model Armor の概要／Model Armor（製品ページ）

正解: D 【A（不正解）】 ？ ウェブへの攻撃を防ぐサービスです。 ウェブへの攻撃は防げても、データの中の個人情報は見つけられない。 【B（不正解）】 ？ コピーを利用者の近くに置く仕組みです。 配信を速くする仕組みで、個人情報はそのまま残る。 【C（不正解）】 ？ 社内と Google Cloud を結ぶ接続です。 送る経路の話で、データの中の個人情報は残ったままになる。 【D（正解）】 ？ 機密データを探して、マスキングなどで隠す機能です。 個人情報を検査で見つけ、マスキングやトークン化で見えなくできる。学習に使う前の処理に向く。Gemini Enterprise Agent Platform の旧称は Vertex AI。

出典: Sensitive Data Protection の概要／AI のセキュリティ（Google Cloud）

正解: B 【A（不正解）】 ？ 最前線でインシデント対応を行う専門家の集団です。 Mandiant は、最前線のインシデント対応から得た、専門家が精査した知見を提供する。 【B（正解）】 ？ ファイルや URL が危険かどうかを調べられる、脅威情報のサービスです。 VirusTotal は利用者の協力で集まった巨大な脅威データベースで、クラウドソース型の情報源である。 【C（不正解）】 ？ 自社環境のログを集めるサービスです。 自社のログを管理するもので、世界の脅威情報の情報源ではない。 【D（不正解）】 ？ 規制に合わせた環境を作るサービスです。 規制に合わせた環境づくりのサービスで、脅威情報の情報源ではない。

出典: Google Threat Intelligence／Google Threat Intelligence（デモの案内）

正解: C 【A（不正解）】 ？ Google Cloud 環境のリスクや構成ミスを見つけるサービスです。 クラウド環境の構成ミスや脅威を見つけるもので、メールの添付ファイルの判定が目的ではない。 【B（不正解）】 ？ ウェブへの攻撃をネットワークの端で防ぐサービスです。 ウェブ アプリへの通信を守るもので、ファイルの脅威の判定はしない。 【C（正解）】 ？ 攻撃者や手口についての情報を届けるサービスです。 3 つの情報源をまとめて 1 つの判定を出す。不審なファイルなどが優先すべき脅威かを示す。 【D（不正解）】 ？ TLS 証明書を管理するサービスです。 証明書の発行と更新のためのもので、脅威の判定はしない。

出典: Google Threat Intelligence

正解: A 【A（正解）】 ？ 攻撃者の動きに詳しい専門家による支援です。 Mandiant は 20 年以上の最前線の経験を持ち、インシデント対応や侵害の調査、レッドチームなどを提供する。 【B（不正解）】 ？ ファイルや URL の脅威情報を調べる仕組みです。 個々のファイルは調べられるが、侵入の全体の調査や封じ込めを専門家が担うわけではない。 【C（不正解）】 ？ 費用や性能の改善案を出す機能です。 資源の使い方の改善案で、侵入の調査はできない。 【D（不正解）】 ？ システムの稼働状況を監視する機能です。 稼働の監視で、攻撃者の侵入の痕跡は調べられない。

出典: Mandiant のサービス

正解: D 【A（不正解）】 ？ ログを集めて検索するサービスです。 ログは調べられるが、構成ミスを自動で見つけて優先度を付ける機能が中心ではない。 【B（不正解）】 ？ 費用の請求と支払いを管理する仕組みです。 費用の管理のためのもので、構成ミスは見つけられない。 【C（不正解）】 ？ コードのビルドやテストを自動で行うサービスです。 開発の流れを自動化するもので、組織全体の構成ミスの点検はしない。 【D（正解）】 ？ Google Cloud のセキュリティとリスクを管理するサービスです。 構成ミス、公開されたリソース、漏えいした認証情報、権限が過剰なアカウントを見つけて修復を助ける。

出典: Security Command Center の概要

正解: B 【A（不正解）】 ？ 数の多さで順番を決める方法です。 件数の多さは被害の大きさと一致しない。攻撃の経路に乗る問題を先に直すほうがよい。 【B（正解）】 ？ 攻撃者の動きをまねて危険度を測る機能です。 Premium の仮想レッドチームの機能は攻撃の経路を探し、露出スコアで重要度を示す。危険度の高い問題から直せる。 【C（不正解）】 ？ 対象を最近のものに絞る方法です。 古いプロジェクトに重大な問題が残るおそれがあり、危険度で選べていない。 【D（不正解）】 ？ 確認の回数を減らす方法です。 脅威や構成ミスを放置する期間が長くなり、被害の危険が増える。

出典: Security Command Center（製品ページ）／AI Protection の概要

正解: A 【A（正解）】 ？ 自社環境の設定を基準と照らし合わせる機能です。 SCC は NIST、HIPAA、PCI-DSS、CIS などの基準への準拠を監視できる。自社の環境の状態を確かめられる。 【B（不正解）】 ？ Google 自身の認証や監査報告書の入手先です。 入手できるのは Google 側の ISO 認証や SOC レポートで、自社の設定が基準に合うかは示さない。 【C（不正解）】 ？ Google の担当者の操作の記録です。 Google の担当者の操作はわかるが、自社の設定が基準に合うかは評価しない。 【D（不正解）】 ？ 政府からの開示請求などを公開する報告です。 Google の情報公開の取り組みで、自社の環境が基準に合うかはわからない。

出典: Security Command Center の概要／Compliance reports manager

正解: C 【A（不正解）】 ？ 利用者の暗号鍵を専用の機器で守るサービスです。 利用者の暗号鍵を守るサービスで、Google のサーバーの起動を確かめるチップではない。 【B（不正解）】 ？ AI の計算を速める Google の専用チップです。 機械学習の計算のためのもので、信頼の起点の役割ではない。 【C（正解）】 ？ Google が独自に作ったセキュリティ用のチップです。 Titan はハードウェアの信頼の起点となり、正規の Google の機器と起動コードを確かめる。 【D（不正解）】 ？ 並列の計算が得意な処理装置です。 計算を速める装置で、機器が正規かどうかは確かめない。

出典: Google インフラストラクチャのセキュリティ設計の概要／Google のセキュリティに関するホワイトペーパー／Titan ハードウェア チップ

正解: B 【A（不正解）】 ？ 場所で信頼せず、毎回確かめる考え方です。 場所で信頼しない考え方で、層を重ねて守ることそのものを指す語ではない。 【B（正解）】 ？ 複数の対策を層のように重ねる考え方です。 複数の層で守り、1 つが破られても他の層で守る。Google のインフラは段階的な層で設計されている。 【C（不正解）】 ？ 特定の事業者から離れにくくなる状態です。 乗り換えの難しさの話で、防御の考え方ではない。 【D（不正解）】 ？ データや運用を自らの管理下に置く考え方です。 管理を誰が握るかの話で、層を重ねて守る設計の名前ではない。

出典: Google インフラストラクチャのセキュリティ設計の概要

正解: D 【A（不正解）】 ？ 利用者が建物の警備に関わる形です。 データセンターの物理的な警備は Google が担う。利用者が警備員を置く仕組みではない。 【B（不正解）】 ？ 利用者が機器を用意する形です。 Google は自らサーバーやネットワーク機器を設計し、部品の業者も審査している。 【C（不正解）】 ？ 分担の中で、物理面を誰が持つかの話です。 物理的な安全と下層のインフラは、常に Google の責任である。 【D（正解）】 ？ 事業者が自ら設計した施設と機器の守り方です。 Google はデータセンターと機器を独自に設計し、生体認証やカメラ、侵入検知などの物理対策を重ねている。

出典: Google インフラストラクチャのセキュリティ設計の概要

正解: C 【A（不正解）】 ？ 暗号化した通信路で拠点とつなぐサービスです。 ネットワーク同士をつなぐもので、アプリごとに本人と状況で判断する仕組みではない。 【B（不正解）】 ？ 専用の回線などで社内と Google Cloud をつなぐサービスです。 拠点と Google を結ぶ接続で、個人の ID でアクセスを判断しない。 【C（正解）】 ？ ウェブ アプリなどの手前に置く、アクセス制御の仕組みです。 IAP はアプリ単位でアクセスを制御し、ID と IAM のロールで判断する。VPN なしで守られたアプリを使える。 【D（不正解）】 ？ コンテンツの配信を速くするサービスです。 配信を速くするもので、利用者ごとのアクセスの判断はしない。

出典: Identity-Aware Proxy の概要／BeyondCorp

正解: A 【A（正解）】 ？ 専用の接続の上に、暗号化の層を足す方法です。 Cloud Interconnect は既定では通信を暗号化しない。HA VPN over Cloud Interconnect で IPsec を加えるか、MACsec を使う。 【B（不正解）】 ？ 接続そのものに暗号化の機能があるかの話です。 公式には、既定では暗号化しないと書かれている。暗号化が必須なら、追加の設定が必要である。 【C（不正解）】 ？ 公共のネットワーク上に暗号化した通信路を作る方法です。 Cloud VPN は暗号化できるが、インターネットを通るので「公共のネットワークを通さない」条件を満たさない。 【D（不正解）】 ？ ウェブへの攻撃を防ぐポリシーです。 Cloud Armor は攻撃をふるい分けるもので、拠点間の通信を暗号化する機能はない。

出典: Cloud Interconnect の概要／Cloud VPN の概要

正解: B 【A（不正解）】 ？ ウェブへの攻撃をネットワークの端で防ぐサービスです。 ウェブ アプリへの攻撃を防ぐもので、Google のサービス間のデータのコピーは止めない。 【B（正解）】 ？ Google のサービスの周りに境界を作る仕組みです。 サービス境界の外へのデータの移動を既定で止める。許可されていないネットワークからの、盗まれた認証情報の利用も防ぐ。 【C（不正解）】 ？ アプリの手前で利用者の ID を確かめる仕組みです。 ウェブ アプリなどへの利用者のアクセスを守るもので、データの持ち出しを境界で止める仕組みではない。 【D（不正解）】 ？ コンテンツの配信を速くするサービスです。 配信を速くするもので、データのコピーを止める機能はない。

出典: VPC Service Controls の概要

正解: D 【A（不正解）】 ？ Google のサービスの周りに境界を作る仕組みです。 Google のマネージド サービスからのデータの持ち出しを防ぐもので、VM への SSH の許可には使わない。 【B（不正解）】 ？ 暗号鍵を定期的に新しくする操作です。 鍵の管理の操作で、通信の許可や拒否はできない。 【C（不正解）】 ？ 機密データの場所を調べる処理です。 データの中身を調べるもので、通信を止める機能はない。 【D（正解）】 ？ VPC ネットワークに設定する、通信の規則です。 方向、送信元、ポートなどで VM への通信を許可・拒否できる。受信は暗黙で拒否され、必要な通信だけ許可するのが推奨である。

出典: VPC ファイアウォール ルール

正解: A 【A（正解）】 ？ Google Cloud のコンプライアンスに関わる資料を集めたページです。 ISO/IEC 認証書や SOC レポートなどを、追加費用なしで随時入手できる。試験ガイドの表記: コンプライアンス リソース マネージャー。 【B（不正解）】 ？ 自社環境のリスクを見つけるサービスです。 自社の設定が基準に合うかは監視できるが、Google の認証書そのものは入手できない。 【C（不正解）】 ？ 自社のリソースに対する操作の記録です。 自社の中で誰が何をしたかの記録で、Google が受けた第三者の認証ではない。 【D（不正解）】 ？ 政府からの開示請求などの状況を公開する報告です。 データ開示請求への対応状況を公開するもので、ISO 認証書や SOC レポートは含まれない。

出典: Compliance reports manager／Google のセキュリティに関するホワイトペーパー

正解: C 【A（不正解）】 ？ 自社の利用者によるデータの読み書きの記録です。 記録されるのは自社の組織のメンバーの操作で、Google の担当者の操作ではない。 【B（不正解）】 ？ 方針違反で拒否されたアクセスの記録です。 拒否されたアクセスの記録で、事前に承認を求める機能もない。 【C（正解）】 ？ Google の担当者によるアクセスに関わる 2 つの機能です。 Access Transparency は Google の担当者の操作を理由とともに記録する。Access Approval は事前の承認を必須にできる。 【D（不正解）】 ？ 機密データの場所を調べる機能です。 機密データの場所はわかるが、誰が触れたかの記録や承認はできない。

出典: Access Transparency の概要／Assured Workloads の概要

正解: B 【A（不正解）】 ？ 保存場所を広くとる構成です。 EU 以外にも保存することになり、要件を満たさない。 【B（正解）】 ？ 規制に合わせた制御のまとまりを、フォルダに適用する方法です。 制御パッケージを適用したフォルダでは、作れるリージョンが制限される。EU Data Boundary は EU のリージョンに限る。 【C（不正解）】 ？ 配信を速くするために、コピーを置く仕組みです。 配信を速くするもので、保存場所の制限にはならない。 【D（不正解）】 ？ 処理中のデータを守る技術です。 処理中のデータは守れるが、保存場所は決まらない。

出典: データ所在地（Assured Workloads）／Assured Workloads の概要