【ITニュース解説】What I Learned About the SC-900 Exam

システムエンジニアを目指す上で、クラウドセキュリティ、コンプライアンス、アイデンティティの基本的な知識はますます重要になっている。Microsoft Certified: Security, Compliance, and Identity Fundamentals認定資格の取得を目指すSC-900試験は、これらの分野の基礎を固めるのに非常に役立つ。この試験は、セキュリティの専門家だけでなく、ビジネス関係者や学生を含む幅広い層を対象としており、クラウド環境でのセキュリティの考え方を学ぶための入門として最適である。

SC-900試験は、Microsoftが提供するセキュリティ、コンプライアンス、アイデンティティに関するコアな概念と、それらをサポートするMicrosoft製品の役割を理解しているかを確認する。ここで問われるのは、製品の具体的な設定や実装スキルではなく、それぞれの製品がどのような目的で使われ、どの問題を解決するのかという基本的な知識だ。試験は初心者向けの「ファンダメンタルズ」レベルであり、AzureやMicrosoft 365に関するある程度の知識は役立つものの、必須の前提条件はない。

試験は一般的に45分間で実施され、1,000点満点中700点以上が合格基準となる。受験はオンラインまたはピアソンVUEのテストセンターで行われ、学生はCertiportを通じて予約することも可能だ。もし初回で不合格になった場合でも、24時間後には再受験が許可される。試験の費用は国によって異なるが、英国では約70ポンド程度である。Microsoftは、受験者が試験形式に慣れるための無料練習問題や試験サンドボックスも提供しており、これらを活用することで本番での戸惑いを減らせる。

この試験がカバーする内容は、主に以下の4つのスキル領域に分けられる。最も大きな割合を占めるのは「Microsoftセキュリティソリューション」で、Azureネットワークセキュリティ、Defender for Cloud、Microsoft Sentinel、Defender XDRといった製品群の理解が問われる。次に「Microsoft Entra」として、Entra ID、多要素認証（MFA）、条件付きアクセス、ロールベースのアクセス制御（RBAC）、特権ID管理（PIM）、ID保護といったアイデンティティ関連の知識が続く。「Microsoftコンプライアンスソリューション」では、Purview、コンプライアンスマネージャー、秘密度ラベル、データ損失防止（DLP）、eDiscoveryといったコンプライアンス管理ツールが範囲となる。そして、最も比重は低いが、他のすべての基盤となる「セキュリティ、コンプライアンス、アイデンティティの概念」のセクションがある。ここでは、ゼロトラスト、共有責任モデル、暗号化、認証と認可といったセキュリティの基本原則が理解の対象となる。この概念セクションは、すべての学習コースで最初に扱われることが多く、その重要性がうかがえる。

SC-900試験で特に重要視される概念の一つに、「アイデンティティが主要なセキュリティ境界である」という考え方がある。これは、従来のネットワーク中心のセキュリティから、ユーザーやデバイスの認証・認可を重視する現代のセキュリティパラダイムへの転換を示すものだ。

クラウド環境では「共有責任モデル」の理解が不可欠となる。これは、クラウドプロバイダーと利用者がセキュリティに関する責任を分担するという考え方だ。サービスモデル（IaaS、PaaS、SaaSなど）によって責任の範囲は変わるものの、データ、アイデンティティ、デバイスのセキュリティは常に利用者側が責任を持つことになる。

また、「多層防御（Defence in depth）」も重要な概念だ。これは、物理セキュリティからアイデンティティ、ネットワーク、コンピューティング、アプリケーション、そしてデータに至るまで、システムを複数の層で保護することで、ある層が破られても次の層で攻撃を防ぐというアプローチを指す。

「ゼロトラスト」は、現代のセキュリティ戦略の中心的な原則の一つだ。「ネットワーク内部からのリクエストだからといって決して信頼しない」という考え方に基づき、「明示的に検証する」「最小特権アクセスを使用する」「侵害を前提とする」という三つの原則で構成される。

「認証と認可」の違いも明確に理解する必要がある。認証は「あなたが誰であるか」を証明するプロセスであり、認可は「認証されたあなたが何をする権限を持つか」を決定するプロセスだ。フェデレーションは、一つのIDプロバイダーが複数の組織間でユーザーの身元を保証し、異なるシステム間で単一の認証情報でアクセスできるようにする仕組みである。

「暗号化とハッシュ」も基本的ながら重要な概念だ。暗号化は適切な鍵を使えば元に戻せる双方向の処理であるのに対し、ハッシュは一方向の処理であり、パスワードの保存など、元に戻せないことが求められる場面で利用される。

さらに、「SIEM（Security Information and Event Management）とSOAR（Security Orchestration, Automation, and Response）」の区別も役立つ。SIEMはセキュリティ関連のデータを収集・分析し、脅威を特定する役割を担う。一方SOARは、SIEMが特定した脅威に対して、例えば侵害されたアカウントを無効化するプレイブックを実行するなど、自動化された応答を行う。Microsoft Sentinelは、この両方の機能を提供するクラウドネイティブなソリューションである。

これらの概念は、具体的なMicrosoft製品と深く結びついている。例えば、Microsoft Entraはサインイン、MFA、条件付きアクセス、特権ID管理、アクセスレビューといったアイデンティティ関連の機能を提供する。Azureインフラストラクチャセキュリティには、DDoS保護、Azure Firewall、WAF、ネットワークセキュリティグループ、Bastion、Key Vaultなどが含まれる。Microsoft Defender for Cloudは、クラウドセキュリティ体制管理とワークロード保護を目的とし、Microsoft SentinelはクラウドSIEMとSOARの機能を提供する。Microsoft Defender XDRは、Office 365、エンドポイント、アイデンティティ、クラウドアプリ全体の脅威保護を行う。そしてMicrosoft Purviewは、データ分類、秘密度ラベル、DLP、データ保持、インサイダーリスク管理、eDiscovery、監査といったコンプライアンス関連の機能を提供する。それぞれの製品がどのような問題を解決し、どのような状況で選択されるかを理解することが重要である。

SC-900の学習にあたっては、様々な無料リソースを活用できる。まず、YouTubeなどで提供されているクリストファー・ネット氏のような「フルスタディクラム」動画で試験の全体像を把握すると良い。次に、Microsoft Learnで提供されている無料の自己学習パスを進めることで、体系的な知識を習得できる。公式の学習ガイドをチェックリストとして利用し、「〜を説明する」といった各目標を一つずつクリアしていくと効率的だ。また、無料の練習問題を繰り返し解き、間違えた問題を徹底的に復習することは非常に効果的な学習法である。試験サンドボックスを試して、本番の質問形式に慣れておくことも忘れてはならない。特に、Defender for CloudとDefender for Cloud Apps、あるいは秘密度ラベルと保持ラベルのように、名前が似ていて混同しやすいツールの違いを明確に理解するよう努めるべきだ。

SC-900試験は、サイバーセキュリティやクラウドに興味を持つ人にとって、良い最初の認定資格となる。短期間で学習でき、費用も手頃であるため、気軽に挑戦できる点が魅力だ。この試験を通じて、より高度なMicrosoftセキュリティ試験で当然とされる基本的な語彙や概念を身につけることができる。クリストファー・ネット氏のスタディクラム動画とMicrosoft Learnの無料パスを活用すれば、十分に準備を進められるだろう。