タグ: 試験対策

Google CloudのVertex AI Workbenchは、機械学習プロジェクトにおいて強力なツールですが、特に医療・金融・政府データなどの機密性の高いデータを扱う際には、堅牢なセキュリティ対策が求められます。本記事では、GCP認定Professional Machine Learning Engineer試験で出題されたシナリオ問題を元に、Vertex AI Workbenchにおけるセキュリティ対策を以下の6つのカテゴリに整理して紹介します。

---

1. アクセス制御（認証・認可）

✅ ベストプラクティス

• IAM（Identity and Access Management）ロールの設定
  → 誰がVertex AI Workbenchにアクセスできるか、何ができるかを厳格に制御。
• 監査ログ（Audit Logging）の有効化
  → 誰がいつ、どのリソースにアクセス・変更したかを記録。

❌ よくある誤解

• Cloud ArmorやVPC Flow Logsではアクセス管理や監視はできない。

---

2. データ暗号化（転送中・保存時）

✅ ベストプラクティス

• TLSによる転送中のデータ暗号化
  → Vertex AI WorkbenchとGCPサービス間の通信を安全に。
• CMEK（Customer Managed Encryption Keys）による保存データの暗号化
  → 鍵を顧客自身が管理することで、より厳密な制御が可能。
• KMS（Key Management Service）の利用
  → 暗号鍵のライフサイクルを安全に管理。

❌ よくある誤解

• Cloud Storageのデフォルト暗号化だけではセキュリティ強化とは言えない（カスタム鍵の活用が重要）。

---

3. ネットワーク境界の制御

✅ ベストプラクティス

• VPC Service Controlsの導入
  → 他のプロジェクトやネットワークからのデータ漏洩を防ぐ仮想境界を構築。

❌ 注意点

• VPCはアクセス制御や監査の代替にはならない。
• 地域制限（region-based VPC Service Controls）だけでは完全なセキュリティ対策にならない。

---

4. 監視とインシデント対応

✅ ベストプラクティス

• Security Command Centerの導入
  → 脅威検知、リスク評価、対応までを一貫して支援。

❌ 陥りやすい罠

• 自動化（Cloud Functionsなど）でのセキュリティ監視は便利だが、直接的なセキュリティベストプラクティスではない。

---

5. データ損失防止・匿名化

✅ 選択的に有効

• DLP API（Data Loss Prevention API）の活用
  → 機密データをVertex AI Workbenchに送信する前にマスキングや削除を行う。

❌ 誤用例

• DLP APIは便利だが、アクセス制御やネットワーク監視の代替にはならない。

---

6. その他の補足的対策

❌ あまり推奨されない（試験で不正解の選択肢になったもの）

• 2FA（二要素認証）のみを設定すること
  → 認証は強化されるが、暗号化・監査・監視の代替にはならない。
• Cloud ArmorによるDDoS対策
  → ネットワークレベルでは有効だが、Vertex AIのデータセキュリティや監査には無関係。

---

総括：試験で問われやすい組み合わせ

セキュリティ目的	ベストプラクティスの例（正解選択肢）
認証・認可	IAM、Audit Logging、IAP（補足）
暗号化	TLS、CMEK、KMS
ネットワーク境界	VPC Service Controls
脅威監視	Security Command Center
データ損失防止	DLP API（補助的に）

---

試験対策TIPS

• IAMだけでは不十分。Audit Loggingとセットで使うことが必須。
• “便利”なもの（e.g., DLP, Cloud Armor, VPC Logs）はセキュリティの本質対策としての得点にならないことがある。
• 各対策がどの「目的」（認証、暗号化、監査、監視）に対応しているかを意識して選択する。

---

このように、Vertex AI Workbenchのセキュリティでは「認証・認可」「暗号化」「監査」「監視」の4本柱が基本です。GCP MLエンジニア試験でもこの構造を意識すれば、高得点が狙えます。