Google Professional Cloud Security Engineer

Google Professional Cloud Security Engineer – TÀI LIỆU ÔN TẬP

1. TỔNG QUAN KỲ THI

• Tên chính thức: Professional Cloud Security Engineer
• Số câu: khoảng 50–60 câu
• Thời gian: 2 giờ
• Hình thức: trắc nghiệm một đáp án và chọn nhiều đáp án
• Lệ phí tham khảo: 200 USD (cộng thuế nếu có)
• Hiệu lực: 2 năm, phải thi lại để gia hạn
• Điểm đạt: Google không công bố điểm đạt, và kết quả chỉ trả về Đạt / Không đạt — không có điểm số, không có bảng điểm theo từng phần. Đừng tìm con số "cần đúng bao nhiêu phần trăm": không ai biết, kể cả người đã đậu.
• Kinh nghiệm khuyến nghị: 3 năm kinh nghiệm trong ngành, trong đó 1 năm thiết kế và quản lý giải pháp trên Google Cloud

Kỳ thi này không có case study — khác với Professional Cloud Architect. Đề đi thẳng vào từng tình huống bảo mật cụ thể.

2. NỘI DUNG ÔN TẬP THEO 5 PHẦN

Google công bố tỉ lệ kèm dấu ~ (xấp xỉ) chứ không phải số chính xác — mỗi lượt thi phân bổ hơi khác nhau.

Ba phần đầu cộng lại 70% — truy cập, mạng và dữ liệu là trục chính. Phần 5 (tuân thủ) nhẹ nhất nhưng đừng bỏ: câu hỏi ở đó thường ngắn và dễ ăn điểm.

Phần 1: Cấu hình truy cập (~25%)

• Cloud Identity: quản lý người dùng và nhóm, đồng bộ từ Active Directory hoặc LDAP bằng Google Cloud Directory Sync, single sign-on (SAML), super admin và cách bảo vệ tài khoản đó.
• Xác thực: MFA và security key, session control, context-aware access.
• IAM: resource hierarchy (Organization → Folder → Project → Resource) và cách policy kế thừa; role (basic, predefined, custom) và nguyên tắc least privilege; IAM Conditions; Policy Troubleshooter và Policy Analyzer.
• Service account: tạo và quản lý, key của service account (và vì sao nên tránh dùng key tĩnh), impersonation, Workload Identity Federation cho workload ngoài Google Cloud, Workload Identity cho GKE.
• Quản lý quyền truy cập đặc quyền; privileged access manager và just-in-time; soát quyền định kỳ.

Phần 2: Bảo mật truyền thông và thiết lập biên phòng vệ (~22%)

• Thiết kế phân đoạn mạng: VPC, subnet, Shared VPC, VPC peering, Private Service Connect.
• Firewall: VPC firewall rule, hierarchical firewall policy, firewall insight, Cloud NGFW.
• Bảo vệ biên: Cloud Armor (WAF rule, rate limiting, chống DDoS), Cloud Load Balancing với SSL policy, Identity-Aware Proxy (IAP) cho truy cập ứng dụng và cho SSH/RDP.
• VPC Service Controls: service perimeter, bridge, ingress và egress rule — đây là công cụ riêng của Google Cloud để chống rò rỉ dữ liệu và là chủ đề đề hỏi nhiều.
• Private Google Access, Private Service Access, private GKE cluster.
• Kết nối lai an toàn: Cloud VPN (HA VPN), Cloud Interconnect, mã hoá trên đường truyền (MACsec trên Interconnect).
• Bảo mật DNS: Cloud DNS, DNSSEC, DNS policy.

Phần 3: Bảo đảm bảo vệ dữ liệu (~23%)

• Cloud KMS: key ring và key, CMEK (customer-managed encryption key) và CSEK (customer-supplied), Cloud HSM, Cloud External Key Manager (EKM), key rotation, IAM cho key.
• Secret Manager: lưu, xoay và kiểm soát truy cập secret.
• Sensitive Data Protection (tên trước là Cloud DLP): phát hiện và phân loại dữ liệu nhạy cảm, de-identification (masking, tokenization, format-preserving encryption), inspection template và job.
• Bảo vệ dữ liệu trong từng dịch vụ: Cloud Storage (bucket policy, uniform bucket-level access, signed URL, retention policy, Object Versioning), BigQuery (column-level và row-level security, authorized view, policy tag), Cloud SQL, Spanner.
• Ngăn rò rỉ dữ liệu: VPC Service Controls, Organization Policy constraint, Access Transparency và Access Approval.
• Chủ quyền dữ liệu và vị trí lưu trữ; Assured Workloads.

Phần 4: Quản lý vận hành (~19%)

• Cloud Logging: loại log (Admin Activity, Data Access, System Event, Policy Denied), log sink và log router, log bucket, xuất log sang BigQuery hoặc Cloud Storage hoặc Pub/Sub, log tập trung cho cả tổ chức.
• Cloud Audit Logs: phân biệt bốn loại, và biết loại nào bật sẵn loại nào phải bật tay (Data Access log mặc định tắt trừ BigQuery — đề hay hỏi).
• Security Command Center: tier, finding, source, Security Health Analytics, Event Threat Detection, Web Security Scanner, Container Threat Detection, attack path simulation.
• Quản lý lỗ hổng và bản vá: OS Config và patch management, container scanning trong Artifact Registry, Binary Authorization cho GKE.
• Ứng cứu sự cố trên Google Cloud: cô lập tài nguyên, thu hồi credential, điều tra bằng log, pháp y.
• Tự động hoá phản ứng: Pub/Sub và Cloud Functions, Cloud Asset Inventory và feed.

Phần 5: Hỗ trợ yêu cầu tuân thủ (~11%)

• So sánh yêu cầu tuân thủ của tổ chức với năng lực của Google Cloud; shared responsibility và shared fate.
• Chuẩn và chứng nhận: ISO/IEC 27001, SOC 1/2/3, PCI DSS, HIPAA, FedRAMP, GDPR.
• Organization Policy để thực thi ràng buộc bằng kỹ thuật (ví dụ chặn tạo tài nguyên ngoài vùng cho phép, chặn service account key).
• Chuẩn bị cho audit: báo cáo tuân thủ trên Compliance Reports Manager, Access Transparency log, chứng cứ từ Security Command Center.
• Quyền riêng tư: xử lý dữ liệu cá nhân, quyền của chủ thể dữ liệu, điều khoản xử lý dữ liệu.

3. HAI CHỦ ĐỀ RIÊNG CỦA GOOGLE — ĐỀ HỎI RẤT NHIỀU

VPC Service Controls không có tương đương trực tiếp ở AWS hay Azure, nên người đã quen hai nền tảng kia hay bỏ qua. Nó dựng một vành đai dịch vụ quanh các API của Google Cloud để dữ liệu không ra khỏi vành đai dù credential bị lộ. Khi đề nói "ngăn dữ liệu bị mang ra ngoài tổ chức dù kẻ tấn công có credential hợp lệ" thì gần như luôn là VPC Service Controls.

Data Access audit log mặc định TẮT (trừ BigQuery). Nếu đề nói "không tìm được bản ghi về việc ai đã đọc object trong Cloud Storage" thì nguyên nhân là chưa bật loại log đó — không phải log bị xoá.

Và nhớ: Google chỉ trả Đạt / Không đạt, không có điểm và không có phản hồi theo phần. Tự đánh giá kỹ bằng đề luyện trước khi đăng ký thi.

4. LUYỆN ĐỀ Ở ĐÂU

Bộ đề luyện của chứng chỉ này được tổng hợp theo đúng các phần ở trên — danh sách đề nằm ngay phía dưới khối này. Làm hết đề là phủ được toàn bộ nội dung cần ôn, nên tài liệu này không kèm câu hỏi mẫu.

Cách dùng cho hiệu quả:

• Chế độ luyện — trả lời rồi bấm kiểm tra là thấy đáp án kèm giải thích ngay. Đồng hồ bấm riêng từng câu, nên bạn biết câu nào mình mất nhiều thời gian suy nghĩ nhất và nên đọc lại phần nào.
• Thi thật — đếm ngược đúng thời gian thi thật, không hiện đáp án tới khi nộp bài. Dùng để tập nhịp làm bài, đừng dùng để học kiến thức mới.
• Lưới số câu đánh chấm đỏ vào những câu bạn đã chấm mà sai, kèm tổng số câu sai. Quay lại đọc giải thích của đúng những câu đó trước khi sang đề mới.

5. TÀI LIỆU HỌC CHÍNH THỨC

• Exam Guide Professional Cloud Security Engineer: https://cloud.google.com/learn/certification/guides/cloud-security-engineer
• Trang chứng chỉ: https://cloud.google.com/learn/certification/cloud-security-engineer
• Google Cloud security best practices: https://cloud.google.com/security/best-practices
• VPC Service Controls: https://cloud.google.com/vpc-service-controls/docs/overview

Lưu ý: Tỉ lệ các phần lấy từ Exam Guide chính thức của Google Cloud cho Professional Cloud Security Engineer, tra ngày 03/10/2026. Google sửa exam guide khá thường xuyên và không công bố ngày hiệu lực trên trang — nên đối chiếu lại trang Exam Guide ngay trước khi đặt lịch thi.