CertPass

Question 206

あなたは、組織の Google Cloud 環境で実行されている一連の Cloud Functions を担当しています。前回の年次セキュリティレビューで、これらの Cloud Functions の一部の環境変数にシークレットが特定されました。シークレットがタイムリーに特定されるようにする必要があります。どうすればよいですか？

Cloud Functions の環境変数を評価し、シークレットを特定するために定期的なピアレビューを実施します。シークレットが発見された場合は、セキュリティインシデントを報告します。

環境変数を1日に複数回スキャンする Cloud Function を実装し、シークレットが発見された場合は Security Command Center に検出結果を作成します。

Sensitive Data Protection を使用して環境変数を1日に複数回スキャンし、シークレットが発見された場合は Security Command Center に検出結果を作成します。

Cloud Functions のアプリケーションコードをスキャンする動的アプリケーションセキュリティテストを CI/CD パイプラインに統合します。シークレットが発見された場合は、ビルドプロセスを失敗させます。

Question 207

あなたの組織は、Google Cloud上で新しいSaaSアプリケーションを開発しています。厳格なコンプライアンス基準により、特権アカウントのアクティビティ、およびアプリケーションのインフラストラクチャに対する潜在的に不正な変更や設定ミスに対する可視性が求められています。あなたは、管理アクションを監視し、IAMロールと権限への変更をログに記録し、潜在的に不正な設定変更を追跡できる必要があります。何をすべきですか？

長期保存のためにCloud Storageへのログシンクを作成します。関連するログタイプに基づいてCloud Loggingでログベースのアラートを設定します。ネットワークの可視性のためにVPCフローログを有効にします。

Cloud IDSをデプロイし、ファイアウォールルールロギングを有効化します。Security Command Centerにカスタムダッシュボードを作成し、潜在的な侵入の試みを可視化します。

カスタムフィルターを使用してCloud Loggingで機密性の高い管理アクションを検出します。ネットワークトラフィックパターンの迅速な分析のために、BigQueryエクスポートを使用してVPCフローログを有効にします。

Security Command CenterでEvent Threat DetectionとSecurity Health Analyticsを有効にします。Cloud Audit Logsをデプロイして、IAM関連のアクティビティと関連するプロジェクトリソースの詳細なログ記録を設定します。

Question 208

あなたのアプリケーション開発チームは、新しい重要な機能をリリースしようとしています。最終テストを完了するために、チームは1万件の実際のトランザクション記録を要求しました。この新機能には、クレジットカードのプライマリアカウント番号（PAN）のフォーマットチェックが含まれています。あなたはこの要求をサポートし、意図しない個人識別情報（PII）の漏洩リスクを最小限に抑える必要があります。何をすべきでしょうか？

Confidential Computing を使用して新しいアプリケーションを実行し、使用中の PII とカード PAN が暗号化されるようにします。

Cloud Data Loss Prevention API を使用して記録から PII をスキャンして墨消しします。カード PAN にはフォーマット保持暗号化を実行します。

Cloud Key Management Service を使用して記録を暗号化し、PII とカード PAN を保護します。

カード PAN と PII フィールドをランダムに生成された値に置き換えるツールを構築します。

Question 209

あなたは銀行組織に勤務しています。現在オンプレミスで保存時に暗号化されている機密性の高い顧客データをGoogle Cloudに移行しています。機密データをクラウドに移行する際には、厳格な規制要件があります。クラウドサービスプロバイダーから独立して、鍵の使用状況を監査し、特定の種類の復号リクエストを拒否できる必要があります。堅牢なセキュリティと規制遵守を保証する暗号化戦略を選択する必要があります。どうすべきですか？

Googleのデフォルト暗号化とCloud IAMを利用して、鍵を組織の管理下に置きます。

Cloud External Key Manager (Cloud EKM) と Access Approval を実装し、既存のオンプレミス鍵管理ソリューションと統合します。

Cloud External Key Manager (Cloud EKM) と Key Access Justifications を実装し、既存のオンプレミス鍵管理ソリューションと統合します。

組織の管理下で、Confidential Computing 暗号化を備えた専用の Google Compute Engine インスタンスで作成された顧客管理の暗号鍵 (CMEK) を利用します。

Question 210

あなたの組織は、企業ユーザーと一般ユーザーの両方が利用するアプリケーションを開発しています。あなたは、これらの顧客のIDと認可を一元管理したいと考えています。企業ユーザーは、自社のユーザー名とドメイン名を使用してアプリケーションにアクセスする必要があります。どうすればよいでしょうか？

組織のドメイン制限共有に、企業ユーザーと一般ユーザーのドメインを追加する。

アプリケーションのプロジェクトで、顧客のIDプロバイダー（IdP）をWorkforce Identity Federationと連携させる。

何もしない。Google Workspace IDを使用すれば、個人アカウントをフィルタリングしてアクセスを無効にできる。

Identity Platformのような顧客IDおよびアクセス管理（CIAM）ツールを使用する。

Professional Cloud Security Engineer