AWS Security - Specialty (SCS-C03) — Questions d'entraînement et examen blanc

La certification AWS Certified Security – Specialty valide une expertise avancée dans la sécurisation des workloads et des architectures sur AWS. Elle couvre la détection des menaces et la réponse aux incidents, la sécurité de l’infrastructure, la gestion des identités et des accès, la protection des données ainsi que la gouvernance de la sécurité. Tu dois montrer que tu maîtrises GuardDuty, Security Hub, AWS KMS et IAM Access Analyzer pour repérer les menaces, chiffrer les données et appliquer le principe du moindre privilège.

Cette certification s’adresse aux ingénieurs, architectes et analystes sécurité qui cumulent l’équivalent de trois à cinq ans d’expérience dans la sécurisation de solutions cloud. Elle atteste que tu sais concevoir et mettre en œuvre des solutions de sécurité, réagir aux incidents et maintenir la conformité dans des environnements AWS complexes.

L’Identity and Access Management arrive en tête avec 20 % : conception de l’authentification pour les humains, les applications et les systèmes, plus les stratégies d’autorisation par attributs et par rôles qui se construisent par-dessus. Infrastructure Security et Data Protection se partagent la deuxième place avec 18 % chacun. Le premier durcit la périphérie réseau et la couche compute, le second couvre le chiffrement en transit et au repos ainsi que les secrets et les clés cryptographiques qui le protègent.

Detection représente 16 % et porte sur la conception du monitoring, des alertes et des logs à l’échelle d’un compte ou d’une organisation. Security Foundations and Governance et Incident Response se partagent les 14 % restants chacun : l’un traite de la structure multi-comptes et de la vérification continue de conformité, l’autre des runbooks et de la réponse forensique dont une organisation a besoin dès qu’une détection se déclenche. Aucun domaine n’écrase cet examen comme cela peut arriver sur un examen de niveau associate : six domaines resserrés entre 14 et 20 %, cela veut dire que chaque pan de la sécurité AWS doit être solide.

L’examen tire 65 questions (50 notées, 15 non notées) parmi des formats variés : choix multiple, réponses multiples, mise en ordre et appariement, le tout en 170 minutes. Les questions présentent des scénarios de sécurité complexes où il faut identifier la menace, choisir le bon contrôle et raisonner sur une architecture de défense en profondeur, plutôt que réciter la liste des fonctionnalités d’un service. À environ 2,6 minutes par question, ce temps rallongé reflète la quantité de lecture qu’exige chaque scénario.

La banque SCS-C03 couvre tous les domaines de l’examen et continue de s’enrichir de nouvelles questions. Un examen blanc te pose 65 questions d’affilée, sur le même chrono de 170 minutes que le jour de l’examen.

Le temps qu’il te faut dépend de ton expérience pratique. Le reste est fixé par l’éditeur : comment l’examen se déroule, quand tu peux le repasser et combien de temps la certification reste valable.

L’examen passe par Pearson VUE, en centre d’examen ou en ligne avec un surveillant à distance, et il est proposé en anglais, japonais, coréen, portugais (Brésil), espagnol (Amérique latine) et chinois simplifié. La certification est valable 3 ans. Pour la renouveler, tu dois réussir un examen de recertification avant l’expiration, ou obtenir une certification AWS de niveau supérieur, ce qui la renouvelle automatiquement.

Les mécanismes de KMS (key policies, grants, rotation des CMK, partage de clés cross-account, envelope encryption) sont testés assez en profondeur pour qu’une familiarité de surface ne suffise pas, et la logique d’évaluation des policies IAM, y compris les deny explicites, les permission boundaries, les SCP et la façon dont les policies resource-based et identity-based interagissent, revient régulièrement dans les mauvaises réponses. GuardDuty, Inspector, Macie, Security Hub et Detective couvrent des types de menaces différents, et les confondre est le meilleur moyen de choisir une réponse fausse mais crédible. Même chose pour les security groups, les NACL, les règles WAF, Shield et Network Firewall, qui opèrent à des niveaux différents de la protection réseau.