GCP PSE（Professional Cloud Security Engineer）の勉強法と勉強時間【2026年版】

Q: 合格ラインは何点ですか？

公式に合格ラインの記載はありません。 数値のスコアではなく、合否が通知される方式です。

サムネイルの Level は資格自体の難易度です（Level 1（やさしめ）〜Level 5（難関））。

結論：IAMとリソース階層を制すれば、半分の土台ができる

Professional Cloud Security Engineer（PSE）は、Google Cloud認定のうちProfessionalレベル（上級）に置かれるセキュリティ専門資格です。公式の出題範囲は5セクションで、最大の比重は「アクセスの構成」の約25%。ここにはCloud Identityの管理、サービスアカウント、認証、認可制御、そしてリソース階層の定義が含まれます。

このリソース階層（組織 → フォルダ → プロジェクト → リソース）の理解は、単独の論点として出るだけでなく、他のセクションの前提にもなります。階層型ファイアウォールポリシー、組織のポリシー制約、VPC Service Controlsの境界 ── いずれも「どの階層に何を適用するか」で答えが変わるためです。まずIAMとリソース階層を固めることが、遠回りに見えていちばん短い道になります。

GCP PSEの問題演習はこちら →(まず50問は、会員登録もログインもなしで解けます)

試験の基本情報

項目	内容
試験名	Professional Cloud Security Engineer（一般に「PSE」と略されます）
運営	Google Cloud
出題形式	択一選択問題と複数選択問題
問題数	50〜60問（公式は幅で案内しており、固定数の公表はありません）
試験時間	2時間（120分）
合格ライン	公式に合格ラインの記載はありません（合否のみが通知されます）
受験料	200米ドル（別途、該当地域では税がかかります）
試験言語	英語・日本語（日本語で受験できます）
受験方法	オンライン監督（リモート）またはテストセンターでの現地監督

認定の有効期間は、公式ページでは更新（Certification renewal）の案内と更新FAQへの参照にとどまり、年数の明記がありません。受験前に公式の更新FAQでご確認ください。

出題範囲と配点

セクション	配点
アクセスの構成（Configuring access）	約25%
通信の保護と境界防御の確立（Securing communications and establishing boundary protection）	約22%
データ保護の確保（Ensuring data protection）	約23%
運用の管理（Managing operations）	約19%
コンプライアンス要件への対応（Supporting compliance requirements）	約11%

配点は公式試験ガイド（PDF）のセクション見出しに「~25% of the exam」のように約（〜）付きで記載された値であり、確定値ではありません。1.1・1.2といった到達目標（objective）単位の配分はGoogle Cloudが公表していないため、学習計画に使える粒度はこのセクション単位までです。

読み解くと、上位3セクション（アクセス・境界防御・データ保護）だけで約70%を占めます。「運用の管理」（約19%）はSecurity Command CenterやCloud Loggingを使った検知と自動化、最後の「コンプライアンス要件への対応」（約11%）は規制・業界標準への対応です。比重の小さいコンプライアンスに時間を吸われないことも、地味ですが効きます。

なお「データ保護の確保」にはAIワークロードの保護が到達目標として含まれています。生成AIの利用が広がったことを反映した項目で、従来のセキュリティ知識だけではカバーしきれない部分です。

独学の順番

リソース階層とIAMから始める ── 組織・フォルダ・プロジェクトの構造、基本ロールと事前定義ロールとカスタムロール、IAM条件、組織のポリシー制約。ここを先に固めると、後続がすべて速くなります。
サービスアカウントと認証を整理する ── サービスアカウントの権限借用（impersonation）、Workload Identity連携、鍵を作らない運用。「なぜ鍵ファイルを配らないのか」を説明できる状態を目指してください。
境界防御を構成の違いで覚える ── VPC Service Controls、Private Google Access、Private Service Connect、Cloud Armor、Cloud NGFW。それぞれが何から何を守るのかを1行で言えるようにします。
データ保護は暗号化の3状態で整理 ── 保存時（CMEK／CSEK・Cloud KMS）、転送時、使用時（Confidential Computing）。あわせてSensitive Data Protectionによる機密データの検出とマスキングを押さえます。
最後に運用とコンプライアンス ── Security Command Center、Cloud Audit Logs、Assured Workloads。ログの種類（管理アクティビティ／データアクセス／システムイベント）の違いは頻出です。

勉強時間は、一般的な目安として、クラウドセキュリティの実務経験がある方で60〜100時間程度、Google Cloud自体が初めてなら100〜150時間程度と言われることが多い試験です。これは公式の基準ではありませんので、あくまで目安としてお使いください。

つまずきやすいところ

VPC Service ControlsとVPCファイアウォールの混同 ── 前者はAPIレベルでのデータ持ち出しを防ぐ境界、後者はネットワークレベルのパケット制御です。守る層が違うため、置き換え関係にはありません。
CMEKとCSEKの選び分け ── どちらも顧客管理の鍵ですが、鍵の保管場所と運用責任が異なります。「Cloud KMSで管理するのか、自分で持ち込むのか」という軸で覚えると混ざりません。
監査ログの有効化範囲 ── データアクセス監査ログは既定で無効な種類があり、「なぜログが残っていないのか」を問う設問につながります。既定の挙動を押さえておいてください。
AIワークロードの保護 ── 比較的新しい到達目標のため、参考書の情報が追いついていないことがあります。公式ドキュメントで直接確認するのが確実です。
IAMの「基本ロール」を使う癖 ── オーナー・編集者・閲覧者といった基本ロールは範囲が広すぎるため、最小権限の観点では原則として避ける対象です。設問でも「どのロールを付与すべきか」の形で、事前定義ロールやカスタムロールを選ばせる問い方をします。
組織のポリシーとIAMの役割の違い ── IAMは「誰が何をできるか」、組織のポリシーは「何が構成可能か」を決めます。外部IPの付与禁止やドメイン制限つき共有のような制約は後者の担当で、IAMでは実現できません。この線引きは繰り返し問われます。

よくある質問

Q. 日本語で受験できますか？

できます。公式ページの提供言語は英語と日本語です。ただし公式試験ガイドは英語のPDFで提供されているため、範囲の確認は英語で読むことになります。

Q. 合格ラインは何点ですか？

公式に合格ラインの記載はありません。 数値のスコアではなく、合否が通知される方式です。

Q. GCP ACEを先に取っておくべきですか？

前提資格は課されていませんが、Professionalレベルは実務経験を前提にした問い方をします。Google Cloudのコンソールとgcloudの操作に不慣れであれば、先にGCP ACEで土台を作るほうが結果的に近道です。

Q. セキュリティの一般知識はどの程度必要ですか？

最小権限、多層防御、鍵管理、監査といった基本概念は前提として扱われます。用語自体が初めての方は、ベンダー中立のセキュリティ入門資格で語彙を揃えてから臨むと、範囲の読み方が変わります。

まとめ

50〜60問・2時間、受験料は200米ドル（別途税）、日本語受験可
合格ラインは公式に記載なし（合否のみ通知）
配点はアクセス約25%・データ保護約23%・境界防御約22%で約7割
到達目標（1.1等）単位の配分は非公表。セクション単位の比率までを判断材料にする
学習はリソース階層とIAM → サービスアカウント → 境界防御 → 暗号化 → 運用・コンプライアンスの順
勉強時間の目安は60〜150時間程度（公式の基準ではありません）

出題範囲に沿って手を動かして確かめたい方は、資格道場のGCP PSE問題集をどうぞ。収録は550問（本番目安55問×10回の模試形式）、価格は2,980円（税込）の買い切りです。まず50問は、会員登録もログインもなしでその場で解けます（すぐ解いてみる）。