Questions d'entraînement — PCSE

Question 1

Votre organisation souhaite implémenter le chiffrement au niveau des colonnes (column-level encryption) dans BigQuery pour protéger les données PII (Personally Identifiable Information). Différents groupes d'analystes doivent avoir accès à différents sous-ensembles de colonnes déchiffrées. Quelle approche est la plus adaptée dans l'écosystème Google Cloud ?

Answer

A. Utiliser les fonctions AEAD (Authenticated Encryption with Associated Data) de BigQuery avec des keyset gérés dans Cloud KMS, en combinant avec des wrapped keys différentes par groupe d'accès et les rôles IAM appropriés sur les clés KMS

Answer

B. Chiffrer les données côté application avant l'insertion dans BigQuery et distribuer les clés de déchiffrement manuellement à chaque groupe d'analystes par email sécurisé

Answer

C. Utiliser uniquement les Column-level Security Policies de BigQuery avec des tags pour masquer les colonnes sans chiffrement réel des données

Answer

D. Créer une vue BigQuery séparée pour chaque groupe d'analystes et appliquer des règles VPC Service Controls pour restreindre l'accès réseau aux vues

Question 2

Vous êtes responsable de la sécurité d'une organisation Google Cloud comportant 200 projets. Vous constatez que les Data Access audit logs ne sont activés que dans quelques projets critiques. La direction exige que tous les accès aux données BigQuery et Cloud Storage soient journalisés dans l'ensemble de l'organisation pour détecter les accès non autorisés. Cependant, vous devez éviter une explosion des coûts liée à un volume excessif de logs. Quelle stratégie adoptez-vous ?

Answer

A. Activer tous les types de Data Access audit logs (ADMIN_READ, DATA_READ, DATA_WRITE) pour tous les services au niveau de l'organisation via la stratégie IAM d'audit par défaut.

Answer

B. Configurer la stratégie d'audit par défaut au niveau de l'organisation pour activer les Data Access audit logs uniquement pour les services bigquery.googleapis.com et storage.googleapis.com, en sélectionnant les types DATA_READ et DATA_WRITE, et exclure les comptes de service à fort volume via des exempted members.

Answer

C. Écrire un script qui active les Data Access audit logs projet par projet uniquement pour les projets contenant des données sensibles.

Answer

D. Activer les VPC Flow Logs sur tous les sous-réseaux et analyser les flux réseau vers BigQuery et Cloud Storage pour détecter les accès non autorisés.

Question 3

Votre entreprise utilise Google Cloud et doit garantir que toutes les modifications apportées aux stratégies IAM sont enregistrées de manière immuable et ne peuvent pas être désactivées par un administrateur de projet. Vous devez également exporter ces logs vers un bucket Cloud Storage dans un projet séparé pour une conservation à long terme. Quelle combinaison d'actions devez-vous effectuer ?

Answer

A. Activer les Data Access audit logs au niveau du projet, puis créer un sink d'exportation vers Cloud Storage dans le même projet.

Answer

B. Utiliser les Admin Activity audit logs (activés par défaut et non désactivables) et créer un aggregated sink au niveau de l'organisation vers un bucket Cloud Storage dans un projet dédié à la sécurité.

Answer

C. Activer les Admin Activity audit logs manuellement au niveau de l'organisation, puis configurer un sink de logs au niveau du projet vers BigQuery.

Answer

D. Créer une Cloud Function déclenchée par Pub/Sub pour copier les logs d'activité admin vers un bucket Cloud Storage dans le même projet.

Question 4

Votre organisation possède un data lake sur BigQuery contenant des données sensibles de clients européens soumises au RGPD. Vous devez vous assurer que seuls les analystes du groupe 'eu-data-analysts@company.com' peuvent exécuter des requêtes sur le dataset 'eu_customers', et que cette permission ne peut pas être contournée par un rôle attribué à un niveau supérieur de la hiérarchie. Quelle combinaison d'actions est la plus appropriée ?

Answer

A. Attribuer roles/bigquery.dataViewer au groupe sur le dataset eu_customers et activer VPC Service Controls autour du projet

Answer

B. Utiliser une IAM deny policy au niveau du projet pour refuser bigquery.tables.getData à allUsers, puis accorder roles/bigquery.dataViewer au groupe sur le dataset

Answer

C. Attribuer roles/bigquery.dataViewer au groupe au niveau du projet et utiliser des authorized views pour restreindre l'accès aux tables du dataset eu_customers

Answer

D. Attribuer roles/bigquery.admin au groupe au niveau du dataset et configurer une Organization Policy pour empêcher l'accès depuis d'autres groupes

Question 5

Votre entreprise migre ses applications vers Google Cloud et doit protéger à la fois des applications hébergées sur Google Cloud (derrière un Global External Application Load Balancer) et des applications on-premises exposées via un reverse proxy externe. Vous devez centraliser la protection DDoS et WAF. Quelle fonctionnalité Cloud Armor permet de protéger les workloads externes à Google Cloud ?

Answer

A. Configurer Cloud Armor avec des Internet NEGs (Network Endpoint Groups) comme backend services du load balancer, permettant de proxy le trafic vers les endpoints on-premises tout en appliquant les security policies Cloud Armor

Answer

B. Installer l'agent Cloud Armor on-premises sur chaque serveur pour qu'il communique avec le control plane Cloud Armor dans Google Cloud

Answer

C. Configurer un Cloud VPN entre le réseau on-premises et Google Cloud puis appliquer Cloud Armor sur le trafic du tunnel VPN

Answer

D. Utiliser Cloud Armor Standalone Mode qui permet d'appliquer des security policies sans load balancer en utilisant uniquement les APIs Cloud Armor

Examen PCSE — PCSE — Google Professional Cloud Security Engineer

À propos de l'examen PCSE

Comment se préparer à l'examen PCSE ?

5 exemples de questions — PCSE

Encore 55 questions dans l'examen complet

📖 Préparez-vous avec nos guides

Commencer l'examen PCSE complet