Podstawy bezpieczeństwa w chmurze Microsoft – od jakiej certyfikacji zacząć?

Jeśli jesteś osobą, która zaczyna swoją ścieżkę zawodową w IT lub planuje zmianę branży w tym kierunku i interesują Cię rozwiązania w obszarze bezpieczeństwa chmur publicznych, to warto rozważyć ścieżki certyfikacyjne Microsoft. Są one regularnie wzbogacane o kolejne certyfikaty. Przygotowanie do egzaminów umożliwiających ich pozyskanie jest pomocne w systematyzowaniu zdobytej wiedzy, a uzyskane poświadczenia potwierdzają posiadane umiejętności w komunikacji z pracodawcą.

Certyfikaty – który wybrać?

Najnowszą perłą w koronie poświadczeń kompetencji Microsoft jest długo zapowiadany certyfikat Cybersecurity Architect Expert, do którego niezbędne jest zdanie egzaminu SC-100. Może on stanowić długoterminowy cel dla osób zaczynających swoja przygodę z tematyką chmury publicznej i bezpieczeństwa.

Zanim jednak uzyskana wiedza i doświadczenie pozwolą na uzyskanie tego certyfikatu, należy wykonać pierwszy krok na tej ścieżce. Może być nim certyfikat wprowadzony przez Microsoft ponad rok temu, tj. Security, Compliance, and Identity Fundamentals, który można uzyskać, zdając egzamin SC-900. Jemu właśnie poświęcony został niniejszy tekst.

Ścieżki rozwoju w obszarze Cloud Security

Większość ścieżek certyfikacyjnych w obrębie bezpieczeństwa rozwiązań chmurowych wiedzie poprzez certyfikat SC-900. Choć nie jest to poświadczenie obligatoryjne w przypadku chęci uzyskania bardziej zaawansowanych certyfikatów, to Microsoft poleca je dla osób początkujących lub chcących porządkować swoją wiedzę.

Poniżej przedstawiono wybrane ścieżki w obszarze Security, które rozpoczynają się uzyskaniem wspomnianego certyfikatu:

Identity and Access Administrator

Information Protection Administrator

Security Operations Analyst

Cybersecurity Architect

Dla dwóch niżej wymienionych ścieżek związanych z Security jako rekomendowany start wskazano popularną i rozpoznawalną certyfikację Azure Fundamentals, której wymogiem jest zdanie innego egzaminu, tj. AZ-900.

Azure Security Engineer

Windows Server Hybrid Administrator

Egzaminowi AZ-900 i dalszym krokom certyfikacyjnym po jego zdaniu swoją uwagę poświecił Maciej Poborca w swoim artykule pt. „Rozwój ścieżki zawodowej w kierunku specjalizacji z chmury publicznej”.

Podstawowe informacje o egzaminie SC-900

Na wstępie warto jeszcze raz zaznaczyć, że SC-900 to egzamin na poziomie Fundamentals, czyli wstępnym, niewymagającym bardzo zaawansowanej wiedzy technicznej. Niemniej jednak, pełne zrozumienie wszystkich zagadnień ułatwia posiadanie podstawowej wiedzy IT, w tym szczególnie w obszarze sieci i szeroko pojętego cloud computing.

Typy zadań

Egzamin nie zawiera zadań czysto praktycznych. Składa się z 40-60 pytań zamkniętych o różnej strukturze, tj.:

• jednokrotnego wyboru,
• wielokrotnego wyboru,
• wymagających wyboru najlepszego rozwiązania dla podanego scenariusza,
• wymagających uporządkowania w odpowiedniej kolejności podanych odpowiedzi,
• typu przeciągnij i upuść (najczęściej dotyczących dopasowania definicji do odpowiednich pojęć).

Czas na ukończenie egzaminu to 60 minut. Najczęściej liczba zadań nie przekracza 50, zatem na każde z nich przypada więcej niż minuta. Przy dobrym przygotowaniu jest to czas zdecydowanie wystarczający.

Limit punktów i cena

Na egzaminie można uzyskać maksymalnie 1000 punktów, z czego 700 wystarcza do uzyskania pozytywnego wyniku.

Cena certyfikacji SC-900 na obszarze Polski to 69 dolarów (dane na sierpień 2022 r.). Dla osób, które nie chcą ponosić kosztów egzaminu, polecane jest skorzystanie z darmowych voucherów, które można uzyskać ukończywszy Microsoft Virtual Day, o którym więcej w dalszej części artykułu.

Zakres egzaminu SC-900

Egzamin sprawdza wiedzę i umiejętności dotyczące 4 głównych zakresów tematycznych:

• Describe the concepts of security, compliance, and Identity (5-10%) – czyli znajomość podstawowych pojęć związanych z zabezpieczeniami, zgodnością i tożsamością.
• Describe the capabilities of Microsoft identity and access management solutions (25-30%) – czyli znajomość zagrożeń dotyczących tożsamości, w tym w szczególności wiedza na temat usług Microsoft służących do ochrony i zarządzania tożsamościami (Azure Active Directory).
• Describe the capabilities of Microsoft Security solutions (25—30%) – czyli znajomość zagadnień dotyczących mechanizmów bezpieczeństwa oferowanych przez Microsoft Azure oraz Microsoft 365.
• Describe the capabilities of Microsoft compliance solutions (25-30%) – czyli wiedza nt. rozwiązań Microsoft służących do zapewniania zgodności z regulacjami, np. prawnymi, politykami/standardami firmy, zapisami umownymi

Szczegółowy zakres egzaminu jest dostępny w dokumentacji Microsoft. Wnikliwej uwadze polecam SC-900 study guide, który znajdziemy na podanej stronie.

Formy egzaminu

Sam przebieg rejestracji do egzaminu szczegółowo opisał Maciek Poborca w swoim wpisie na blogu. Dodam jednak, że istnieją dwa sposoby zdawania egzaminów Microsoft:

• Online, za pomocą platformy Pearson Vue, która pozwala na elastyczny wybór terminów egzaminów, także w godzinach wczesno-porannych, wieczornych oraz nawet nocnych.
• Stacjonarnie, w akredytowanych ośrodkach egzaminacyjnych (w czasie, gdy powstaje ten tekst, tylko Warszawa i Szczecin oferują możliwość przystąpienia do SC-900).

Źródła wiedzy

Odpowiednie przygotowanie do egzaminu to podstawa, jeśli nie chcemy, aby na nasz wynik miał wpływ dodatkowy stres, związany z myślą, że przystępujemy do sprawdzenia wiedzy niegotowi. W dobrym przygotowaniu do uzyskania certyfikatu może pomóc wiele ogólnodostępnych materiałów. W pierwszej kolejności warto zwrócić uwagę na oficjalne zasoby Microsoft opisane poniżej.

Microsoft Learn

Na platformie Learn znajdziemy cztery ścieżki szkoleniowe. Każda z nich obejmuje kompetencje odpowiadające jednemu z czterech zakresów tematycznych wymienionych we wcześniejszej części artykułu.

Informacje w ramach każdego bloku podzielone są na moduły, a te z kolei na mniejsze części składowe. Warto w tym miejscu zauważyć, że po każdej części składowej modułu następuje podsumowanie oraz krótki test umożliwiający sprawdzenie oraz utrwalenie zdobytej wiedzy. Ukończenie danej części skutkuje także zdobyciem punktów i kolejnych poziomów zaawansowania.

Wszystkie wspomniane rozwiązania pomagają w porządkowaniu nauki, pozytywnie wpływają na motywację i podnoszą zadowolenie z poczynionych postępów w zdobywaniu wiedzy. 

Microsoft Virtual Training Days

Kolejna, pomocna dla adeptów certyfikatu SC-900 inicjatywa Microsoft to darmowe szkolenie online oparte na wcześniej zarejestrowanych materiałach video. Virtual Days odbywają się w różnych językach i strefach czasowych. W szczególności warto skorzystać ze szkolenia organizowanego w polskiej strefie czasowej, najlepiej w języku angielskim.

Obecnie występuje także polska wersja szkolenia, jednakże nie rekomenduję takiego rozwiązania, bowiem podstawowym językiem egzaminu jest angielski. Dla osób, które potrzebują wsparcia językowego, zapewniono możliwość uruchomienia napisów w języku polskim.

Szkolenie Microsoft Security Virtual Training Day: Security, Compliance, and Identity Fundamentals rozłożone jest na dwie sesje, najczęściej zorganizowane w ciągu dwóch kolejnych dni roboczych. Pierwsza z nich trwa 2h i 45 minut, druga 2h i 5 minut. Pomiędzy poszczególnymi elementami szkolenia przewidziano 10-minutowe przerwy.

Materiał zawarty na szkoleniu pokrywa znaczną część wymagań egzaminacyjnych, jednakże nie wszystkie z nich podejmowane są wyczerpująco, dlatego ważne jest uzupełnienie nauki o inne źródła.

Oficjalne ćwiczenia do SC-900 od Microsoftu

Najlepszym sposobem na wykorzystanie wiedzy teoretycznej w działaniu jest skorzystanie z oficjalnych zadań do egzaminu przygotowanych przez Microsoft. Zestaw 16 ćwiczeń pozwala na sprawdzenie w praktyce np.

• jak działa usługa Azure Active Directory,
• jak wygląda podstawowa konfiguracja Network Security Groups,
• jakie możliwości daje Microsoft Sentinel,
• jak tworzyć Azure policies.

Uzupełnienie materiałów teoretycznych labami znacznie ułatwia lepsze zapamiętanie i zrozumienie treści egzaminacyjnych.

John Savill’s Technical Training

Jest to kanał na Youtube.com prowadzony przez prawdziwego pasjonata Azure i rozwiązań Microsoft. John w prosty i przejrzysty sposób, krok po kroku, prowadzi przez wymagania egzaminacyjne. Dodatkowo, wśród jego filmów można znaleźć wiele materiałów, które pozwolą pogłębić wiedzę w ramach tematyki „ogólno-azurowej” oraz z obszaru security i compliance.

Pod kątem samego przygotowania do certyfikacji, dobrym uzupełnieniem bądź metodą na powtórzenie poszczególnych treści, będzie przejście razem z Johnem przez wszystkie zagadnienia egzaminacyjne w ramach tego nagrania.

Warto dodać, że Savill to także świetny kompan w dalszej części przygody z rozwiązaniami chmurowymi od Microsoft.

freeCodeCamp.org technical courses (Andrew Brown)

Alternatywą dla kanału Savilla jest przygotowanie do egzaminu z Andrew Brownem, który przygotował równie popularny kurs przygotowujący do SC-900.

Scott Duffy

Wartym polecenia materiałem do nauki jest także platforma Udemy. Scott Duffy to godny zaufania autor kursów, które są na bieżąco aktualizowane pod kątem wymagań egzaminacyjnych. Jak twierdzi, jego ambicją jest stworzenie najlepszych na całym Udemy kursów przygotowujących do zdania egzaminów Microsoft. W jego szkoleniach uczestniczyło już prawie 800k osób. Kursy są płatne, jednakże ich promocyjna cena nie jest przesadnie wysoka i z reguły nie przekracza 30-40 zł.

Egzaminy próbne

W trakcie przygotowywania do egzaminu bardzo cenną lekcją jest przećwiczenie zadań egzaminacyjnych. Dla osób przechodzących do obszaru IT z innych profesji lub pracujących na stanowiskach nietechnicznych, które nie miały do czynienia z egzaminami prowadzonymi w branżowym języku angielskim, skorzystanie z próbnych egzaminów powinno stanowić bardzo ważne uzupełnienie przygotowania. Najlepiej przystąpić do tego etapu już po zapoznaniu się ze wszystkimi zagadnieniami objętymi zakresem egzaminu.

Istnieje wiele platform oferujących płatny dostęp do egzaminów próbnych z SC-900. Microsoft poleca skorzystanie z mindhub.com, jednak na rynku istnieją też tańsze oferty. Alternatywą może być skorzystanie z Enterprise Skills Initiative. Platforma Microsoft udostępnia próbne arkusze egzaminacyjne, a także pozwala na losowanie wybranej liczby pytań z ograniczeniem czasowym lub bez niego oraz umożliwia kontrolę typów pytań, jakie znajdą się na próbnym teście. Należy jednak podkreślić, że dostępem do ESI dysponują jedynie firmy, które już współpracują z Microsoft.

Meet’upy, konferencje, Azure User Group

Wiedzę na temat zagadnień związanych z bezpieczeństwem chmury można pogłębiać i rozszerzać uczestnicząc aktywnie w spotkaniach społeczności Azure. Oczywiście, tematy spotkań, webinarów, czy konferencji dotyczą szerokiego zakresu zagadnień technicznych, ale można wśród nich znaleźć wiele wydarzeń w obszarze security, np. ostatnie wystąpienie Andrzeja Kokocińskiego na temat Microsoft Sentinela podczas konferencji Azure Summit 2022. Informację nt. nadchodzących wydarzeń można czerpać między innymi z Microsoft Azure User Group Poland.

Dobre praktyki dot. egzaminu SC-900

Po pierwsze, zdecydowanie polecam formę egzaminu online. Dostępność ośrodków i terminów stacjonarnych jest bardzo ograniczona, a egzaminy online gwarantują dużą elastyczność w zakresie terminu oraz miejsca ich zdawania. W czasie nie późniejszym niż 24h przed planowanym terminem egzaminu istnieje możliwość jego przełożenia, w tym także na termin wcześniejszy, co może się przydać, np. gdy przygotowaliśmy się szybciej niż wcześniej zakładaliśmy, a bardzo chcemy mieć test już za sobą.

Po drugie, należy pamiętać, że podstawowym językiem egzaminu, ale także pracy z rozwiązaniami Microsoft, jest angielski. Dlatego podkreślam, że korzystanie z materiałów lub testów w języku polskim na dłuższą metę mija się z celem, gdy chcemy sprawnie poruszać się w omawianej tematyce, posługiwać się stosowanymi na co dzień branżowymi pojęciami i ułatwić sobie praktyczne działanie z zastosowaniem zdobytej wiedzy.

Po trzecie, choć egzamin ma charakter czysto teoretyczny, to dla lepszego zrozumienia i zapamiętania przekazywanych treści warto wzbogacić naukę o próbę rozwiązywania zadań praktycznych stworzonych przez Microsoft. Takie postepowanie pomoże zmobilizować się do zapoznania się z platformami Azure czy Office365 osobom, które wcześniej nie miały okazji do kontaktu z tymi rozwiązaniami, a wszystkim ubiegającym się o certyfikat, pozwoli utrwalić wiedzę.

Po czwarte, polecam solidne zgłębianie zagadnień, które nie są w pełni zrozumiałe. Większa ilość informacji dostarczanych na dany temat pozwala naszemu umysłowi lepiej ugruntować przyswajaną wiedzę. Treści, które zrozumiemy, a może nawet komuś wytłumaczymy, pozostaną z nami na dłużej. Taka nauka jest zdecydowanie bardziej efektywna.

Po piąte, pamiętajmy, że egzamin, mimo że bywa stresujący, to także stanowi kolejną formę nauki. Sprawdzanie własnej wiedzy poprzez testy nie tylko pozwala oswoić i przećwiczyć techniczne aspekty rozwiązywania poszczególnych typów zadań, ale także mobilizuje do powtarzania tematów, które sprawiają największy problem i odkrywania naszych słabych stron. Nie bójmy się tego i wykorzystujmy ewentualne niepowodzenia podczas testów próbnych do lepszego przygotowania do egzaminu docelowego. W tym zakresie pomocne będą zarówno pytania kontrolne w ramach podsumowań poszczególnych modułów w Microsoft Learn, jak i, po zapoznaniu się z całością materiałów, próbne arkusze egzaminacyjne.

Na koniec

Egzamin SC-900 to pierwszy krok rozwojowy w kierunku cloud security na drodze osób początkujących lub w trakcie zmiany zawodowej. Jego zdanie potwierdza dobre rozeznanie w obszarze usług Microsoft, które mają na celu dbanie o bezpieczeństwo organizacji, w tym urządzeń, aplikacji, kont, tożsamości, a także zapewnienie zgodności z regulacjami czy przyjętymi standardami. Ucząc się do niego, z pewnością zweryfikujemy, czy ten kierunek w ramach IT jest dla nas interesujący i czy jesteśmy gotowi, aby podejmować dalsze kroki na ekscytującej drodze do Cybersecurity Architect Expert.

Jak pokazałem, Wasza droga może wieść przez różne specjalizacje, w tym np. tożsamości i dostępy (SC-300), bezpieczeństwo informacji (SC-400), monitoring security operations (SC-200), czy bezpieczeństwo rozwiązań Azure (AZ-500).

Napiszcie w komentarzach, która ścieżka wydaje się Wam najciekawsza.