Google Cloud 認定資格「Professional Security Operations Engineer（PSOE）」はNIST CSFと組み合わせて学習・合格しよう

はじめに

こんにちは、NRIの大島です。
先日、Google Cloud 認定資格である「Professional Security Operations Engineer（PSOE）」を取得しました。セキュリティオペレーションに関わる方々にはとても有意義な内容であると思い、どのような資格なのか、どのように勉強したのかなどを紹介したいと思います。

どのような資格か

Professional Security Operations Engineer（PSOE）は、Google Cloud 環境で発生する脅威を検知・分析し、インシデントに対応できる「セキュリティ運用の専門家」であることを証明する資格です。

求められる役割

公式ガイドでは、以下のような役割が求められています。

脅威の検出・監視・分析・調査・対応
Google Security Operations（Google SecOps）や Security Command Center（SCC）を使った運用
検知ルールの作成、ログの優先順位付け、インシデント対応の自動化
脅威インテリジェンスを活用した高度な分析

つまり、単なるセキュリティのアーキテクチャに関する知識ではなく、実際に攻撃が起きたときにどう動くかが問われる運用者向けの資格になっています。

出題範囲

出題範囲は以下のようになっています。

Platform operations（~14%）
検知・対応のための基盤構築やアクセス制御など
Data management（~14%）
ログ取り込みやデータ管理など
Threat hunting（~19%）
脅威ハンティング、インテリジェンス活用など
Detection engineering（~22%）
検知ルールの設計・実装など
Incident response（~21%）
封じ込め、調査手法、プレイブックの活用など
Observability（~10%）
ダッシュボードによる可視化やヘルスチェックなど

特に、Google Security Operations（Google SecOps）と Security Command Center（SCC）に関する理解は必須で、それに加えてSIEM・SOAR・CNAPPの概念を幅広く理解する力が求められます。

Professional Cloud Security Engineerとの違い

同じセキュリティの資格に「Professional Cloud Security Engineer（PCSE）」がありますが、こちらはセキュリティ設計や構築に主眼を置いています。そのため、IAMやネットワーク、データ保護や暗号化などの設計寄りの資格となっています。
一方で、「Professional Security Operations Engineer（PSOE）」は運用に主眼を置いており、Google SecOpsとSCCを中心とした脅威ハンティングやセキュリティインシデント対応の知識が求められます。

Google Cloud に関するソリューション・事例はこちら

NIST CSFとともに体系的に学ぶと理解が深まる

Professional Security Operations Engineer（PSOE）は、単にサービスの知識を覚えるだけでは不十分で、「セキュリティ運用の考え方」から「 Google Cloud での実装方法」という順番で学ぶと、より理解がスムーズになります。

NIST CSF (Cybersecurity Framework)の理解

NIST CSF (Cybersecurity Framework)は、米国国立標準技術研究所が策定したフレームワークです。業種や規模を問わず組織のサイバーセキュリティリスクを管理・低減することを支援するために設計されており、最新のNIST CSF 2.0では、サイバーセキュリティ対策を、統治、識別、防御、検知、対応、復旧の6つの要件で整理しています。
試験ガイドに書かれておらず試験で問われることもないですが、NIST CSFを理解していると問題文の意図が読みやすくなります。PSOE は特に Detect / Respond が中心のため、NIST CSFを理解しておくと、「この問題は検知の話なのか、対応の話なのか」という整理ができ、選択肢の絞り込みが楽になります。

サービス理解

Google Security Operations（Google SecOps）と Security Command Center（SCC）についてはしっかり押さえておく必要があります。

Google Security Operations（Google SecOps）

もっとも問われるサービスです。SIEMとSOARの機能を有しますが、まさに先に説明したNIST CSFの検知と対応に相当するものです。どのような場面で使うのかという点と、特に以下のポイントは押さえておくようにしましょう。

UDM（Unified Data Model）の理解
YARA-L ルールの書き方
脅威ハンティングのクエリ
GTI（Google Threat Intelligence）の活用
ケース管理
SOAR のプレイブック設計

Security Command Center（SCC）

CNAPP機能を有しており、クラウド全体のリスク管理を行います。特に以下のポイントは押さえておくようにしましょう。

SCC Enterprise の機能（脆弱性、誤設定、脅威検知）
Event Threat Detection（ETD）の仕組み
アセットインベントリ
誤検知（False Positive）の扱い方
セキュリティヘルスアナリティクス（SHA）

学習方法

Google Cloud Skills Boostを活用

「 Google Cloud Skills Boost」というGoogleが提供している公式トレーニングプラットフォームがおすすめです。各サービスについて体系的にまとめられており、一時的な Google Cloud アカウントが払い出されて、ハンズオン形式で演習できるのも嬉しいポイントです。パートナー企業に対しては、Google Cloud Skills Boost for Partnersが提供され、より多くのコンテンツにアクセスできるため、自社で利用可能か確認してみると良いでしょう。

試験対策についてまとめているブログを活用

個人ブログや企業ブログなどの活用もおすすめです。試験範囲のサービスの特徴や検証結果など詳細に執筆されているものもあり、具体的なイメージを掴みながら学習できます。

おわりに

「Professional Security Operations Engineer （PSOE）」を受けて感じたのは、セキュリティ運用の全体像が一気に理解できるということでした。NIST CSFで考え方の軸を作り、Google SecOpsで検知・対応の流れを掴み、SCC でクラウド全体のリスクを俯瞰する。これらの関係が結びつくと、日々のアラート対応やインシデント調査の精度が大きく変わると思います。PSOEは学んだ内容がそのまま仕事に活きる、非常に実践的な資格です。 Google Cloud に限らず、セキュリティ運用を強化したい人には間違いなく挑戦する価値があります。
この記事が、これから受験する方の参考になれば幸いです。