Professional Cloud Security Engineer — Questions d'entraînement et examen blanc

La certification Professional Cloud Security Engineer valide la capacité à concevoir et déployer des workloads et une infrastructure sécurisés sur Google Cloud. Elle couvre la gestion des identités et des accès (IAM), la hiérarchie des ressources et la définition des politiques, la protection des données grâce aux technologies de sécurité de Google, les défenses réseau, la surveillance des environnements pour détecter les menaces, l’automatisation de la sécurité, la sécurisation des workloads d’IA, la sécurisation de la chaîne d’approvisionnement logicielle et l’application des contrôles réglementaires. Mieux vaut avoir au moins 3 ans d’expérience professionnelle, dont au moins 1 an à concevoir et gérer des solutions sur Google Cloud.

La configuration des accès pèse le plus lourd avec 25 % : administration de Cloud Identity, gestion du cycle de vie des service accounts, politique d’authentification (mots de passe, SAML, OAuth, validation en deux étapes) et rôles et conditions IAM ramenés au moindre privilège sur toute la hiérarchie des ressources. La protection des données suit à 23 % et couvre Sensitive Data Protection, Secret Manager et la stratégie de clés de chiffrement entre CMEK et Cloud EKM, ces mêmes contrôles s’étendant désormais à la façon dont les modèles d’IA sont entraînés et dont ils servent leurs prédictions. La sécurisation des communications et la protection du périmètre prennent 22 %, avec les contrôles de périmètre comme Cloud NGFW et Cloud Armor, VPC Service Controls et la conception de la connectivité privée. La gestion des opérations de sécurité représente 19 %, et le support des exigences de conformité, qui consiste à faire correspondre les obligations réglementaires aux contrôles Google Cloud comme Assured Workloads, ferme le programme à 11 %.

À elle seule, la configuration des accès représente un quart de l’examen : des lacunes sur Workforce et Workload Identity Federation, les conditions IAM ou Privileged Access Manager te coûtent donc plus que leur part proportionnelle de questions. La conformité, le plus petit domaine, exige quand même une connaissance concrète d’Assured Workloads et d’Access Transparency, et pas seulement une idée générale du modèle de responsabilité partagée.

L’examen propose 50 à 60 questions à choix unique et à choix multiples en 120 minutes, réparties sur les cinq domaines, avec un ratio d’environ 80 % de questions à réponse unique pour 20 % à réponses multiples.

Chaque domaine de l’examen GCP-PCSE a assez de questions dans la banque pour être travaillé en profondeur. Un examen blanc te pose 55 questions d’affilée, sur le même chrono de 120 minutes que le jour de l’examen.

Le temps qu’il te faut dépend de ton expérience pratique. Le reste est fixé par l’éditeur : comment l’examen se déroule, quand tu peux le repasser et combien de temps la certification reste valable.

L’examen se passe en ligne via Pearson OnVUE ou dans un centre d’examen Pearson VUE, en anglais ou en japonais. La certification reste valable 2 ans et se renouvelle en repassant l’examen.

La configuration des accès est le domaine le plus lourd : des lacunes sur Workforce Identity Federation, Workload Identity Federation, la sécurité des service accounts, les conditions IAM et les deny policies, ou encore Privileged Access Manager te coûtent proportionnellement plus cher que sur d’autres examens. La sécurité des charges de travail d’IA, c’est-à-dire les contrôles propres à Vertex AI, est un ajout récent que beaucoup de guides de révision passent encore sous silence. Le domaine conformité est le plus petit, mais pas le plus tendre : Assured Workloads, Access Transparency et le modèle de responsabilité partagée tombent sous forme de décisions de configuration précises, pas de concepts généraux. La sécurité réseau a elle aussi dépassé les bases du firewall pour aller vers l’inspection de niveau 7 de Cloud NGFW, Secure Web Proxy et Private Service Connect.