Google Cloud Professional Security Operations Engineer : le guide 2.0 arrive le 24 novembre

Google Cloud mettra en service le 24 novembre 2026 une nouvelle version anglaise de l’examen Professional Security Operations Engineer. Le référentiel 2.0 ne change ni le nom de la certification ni son format annoncé, mais il recompose nettement la préparation : la gestion des données passe de 14 % à 20 %, Google Threat Intelligence devient une plateforme de référence à part entière, et des objectifs explicites apparaissent autour de l’IA, du Model Context Protocol (MCP), des identités non humaines et de l’agent de triage et d’investigation.

Pour une personne déjà inscrite, la date compte autant que le contenu. Google demande d’utiliser le nouveau guide pour un examen en anglais passé à partir du 24 novembre. Le guide antérieur reste donc le bon point de comparaison pour comprendre ce qui doit être ajouté à un plan d’étude, sans supposer que toutes les versions linguistiques changeront au même moment.

Ce qui change le 24 novembre

La page officielle de la certification (nouvel onglet) confirme la date du 24 novembre et précise que la mise à jour reflète les nouvelles fonctions de Google Security Operations (SecOps), Security Command Center (SCC) et Google Threat Intelligence (GTI). Elle ne présente pas cette évolution comme un nouvel examen ou un nouveau code, mais comme une version actualisée du même Professional Security Operations Engineer.

Ces pourcentages ne signifient pas que la détection ou la réponse à incident deviennent secondaires. Ensemble, elles représentent encore environ 38 % de l’examen. La hausse de la gestion des données indique surtout qu’un analyste ne peut plus traiter l’ingestion, les parseurs, la normalisation, l’enrichissement et le coût des journaux comme une simple étape préalable.

Le guide 2.0 officiel (nouvel onglet) ajoute aussi une troisième sous-partie à ce domaine : configurer et ingérer les renseignements sur les menaces. Elle couvre l’ingestion d’indicateurs GTI ou tiers dans l’Entity Context Graph, ainsi que des fonctions comme LiveHunt, Digital Threat Monitoring, Google Insights et l’analyse d’URL.

GTI devient transversal

Le guide précédent (nouvel onglet) citait déjà GTI dans plusieurs objectifs. La version 2.0 va plus loin : son introduction indique désormais que l’examen évalue des tâches effectuées dans SecOps, SCC et GTI. La nuance est importante pour la préparation. Il ne suffit plus de connaître quelques sources de threat intelligence ; il faut savoir choisir, intégrer et exploiter leurs indicateurs et leurs tactiques, techniques et procédures.

Dans les opérations de plateforme, le candidat doit pouvoir évaluer l’efficacité des IOC et TTP remontés, puis intégrer ceux qui conviennent au cas d’usage. Dans la chasse aux menaces, il doit formuler des hypothèses à partir des chemins d’attaque, du contexte d’exposition et du risque d’entité. Dans la détection, il doit exploiter Applied Threat Intelligence, Emerging Threats Center et les détections organisées. Dans la réponse, il doit savoir traiter les alertes issues de Digital Threat Monitoring.

Une bonne préparation ne consiste donc pas à mémoriser une liste de produits. Construisez un même scénario et faites-le traverser les domaines : une source de renseignement fournit un IOC ; l’ingestion l’ajoute au contexte ; une recherche historique révèle une activité ; une règle détecte un comportement connexe ; un playbook enrichit le dossier ; l’équipe mesure enfin le délai de traitement et la qualité de la réponse.

L’IA entre dans les objectifs mesurés

Le guide 2.0 mentionne l’intelligence artificielle à plusieurs endroits précis. Le profil attendu inclut désormais l’usage de l’IA pour la détection et la réponse. Les opérations de plateforme couvrent l’amélioration des processus par l’IA et l’automatisation. Le threat hunting demande de savoir utiliser le langage naturel pour conduire une recherche. La detection engineering inclut la création de règles au moyen d’instructions en langage naturel.

La réponse à incident cite le Triage and Investigation Agent et le widget Gemini Summary dans Google SecOps SOAR. Le candidat doit également analyser les résultats produits par l’agent, puis savoir quand l’invoquer depuis un playbook. Cela ne transforme pas l’examen en test de rédaction de prompts. La compétence réelle consiste à intégrer une assistance générative dans une démarche vérifiable : conserver les éléments de preuve, contrôler les hypothèses, mesurer le risque d’une automatisation et décider ce qui exige une validation humaine.

La détection intègre aussi les risques liés à l’infrastructure IA. Le guide demande de concevoir des règles qui repèrent des risques de posture ou d’infrastructure IA, puis d’exploiter le contexte d’actifs et de menaces pour améliorer leur précision et le score de risque dynamique. Pour réviser, préparez au moins un cas où une ressource IA mal configurée, un changement de privilège ou un comportement rare produit plusieurs signaux qu’il faut corréler.

MCP et identités non humaines

La section consacrée aux accès est renommée pour couvrir les identités humaines et non humaines. Elle inclut l’authentification aux outils de sécurité, notamment SCC, Google SecOps et MCP, ainsi que l’accès aux API pour les automatisations. C’est un changement pratique : un connecteur, un service account ou un agent qui déclenche une action de réponse doit recevoir des autorisations limitées, observables et révocables.

Pour ce domaine, révisez quatre décisions : le choix de l’identité, le rôle IAM, les conditions d’accès et les journaux d’audit. Ajoutez ensuite le stockage des secrets, la rotation des clés ou jetons et la séparation entre lecture, enrichissement et remédiation. MCP ne doit pas être étudié comme un protocole isolé ; le guide l’insère dans une architecture de sécurité où des outils peuvent appeler des ressources sensibles.

Ce point complète utilement les enjeux d’identités d’agents abordés dans la mise à jour SC-100 sur la sécurité de l’IA. SC-100 reste orienté architecture Microsoft, tandis que le Professional Security Operations Engineer attend des décisions opérationnelles dans l’écosystème Google Cloud.

Davantage de précision sur les données et les détections

La nouvelle version rend les objectifs d’ingestion plus concrets. Elle cite l’architecture de pipelines, Bindplane pour collecter des événements Windows, l’ingestion directe des résultats SCC dans SecOps, les modifications de parseurs, la normalisation et les coûts. Elle distingue aussi les journaux d’événements des données d’entité utilisées pour enrichir les investigations.

Dans la detection engineering, le guide 2.0 demande d’analyser la couverture selon MITRE ATT&CK, de créer des détections composites sur des périodes plus longues et de configurer plusieurs détecteurs SCC, notamment pour Cloud Run, les conteneurs et les machines virtuelles. Il mentionne les tables de données plutôt que les seules listes de référence et ajoute la notation dynamique du risque.

Un laboratoire pertinent doit donc partir de données imparfaites. Prenez deux sources aux schémas différents, définissez les champs utiles, vérifiez le parseur, enrichissez les entités et écrivez une règle YARA-L. Mesurez ensuite les faux positifs, la couverture ATT&CK et le coût d’ingestion. Cette chaîne vaut davantage qu’une série de fiches produits apprises séparément.

Format, prix et renouvellement : ce qui ne change pas

La page officielle affiche toujours un examen de deux heures, composé de 50 à 60 questions à choix multiple, proposé à distance ou en centre. Le tarif indiqué est de 200 USD hors taxes éventuelles. Il n’existe pas de prérequis obligatoire, mais Google recommande au moins trois ans d’expérience en sécurité, dont une année d’utilisation pratique des outils de sécurité Google Cloud.

La certification standard est valable deux ans. Google affiche l’anglais et le japonais parmi les langues proposées, mais l’annonce du nouveau référentiel ne confirme le 24 novembre que pour la version anglaise. N’extrapolez donc pas cette date au japonais. Vérifiez la langue et la version lors de la réservation.

Google propose aussi un renouvellement via Google Skills. Les titulaires éligibles doivent terminer les cours ou skill badges désignés dans la dernière année de validité de leur certification. Le parcours de renouvellement donne une validité d’un an. Les règles exactes apparaissent dans le tableau de bord lorsque les comptes Google Skills et CM Connect sont reliés.

Plan de préparation en quatre semaines

Le parcours officiel Google Skills (nouvel onglet) comprend treize activités et couvre SecOps, SCC et GTI. Utilisez-le comme ossature, puis ajoutez des exercices qui relient plusieurs domaines.

Semaine 1 : plateforme, accès et ingestion

Cartographiez SecOps, SCC, GTI, IAM et les sources de télémétrie. Créez une matrice des identités humaines, services et automatisations. Travaillez ensuite un pipeline d’ingestion, un parseur, la normalisation et le contrôle des coûts.

Semaine 2 : contexte et threat hunting

Construisez un contexte utilisateur-actif-entité, ingérez quelques IOC de test et formulez des hypothèses. Alternez requêtes structurées et langage naturel, puis vérifiez manuellement les résultats. Ajoutez une recherche rétrospective et une analyse du score de risque.

Semaine 3 : détection et couverture

Écrivez des règles YARA-L, testez une détection composite et mappez les résultats à MITRE ATT&CK. Analysez les angles morts, les faux positifs et les signaux de posture. Comparez une règle conçue manuellement et une proposition assistée par IA sans supposer que la seconde est correcte.

Semaine 4 : réponse, automatisation et observabilité

Concevez un playbook avec enrichissement, notification, escalade et clôture. Définissez les actions qui peuvent être automatisées et celles qui exigent une approbation. Terminez avec des indicateurs de santé, de délai et de qualité, puis une simulation complète depuis l’alerte jusqu’au retour d’expérience.

Pour replacer cette préparation dans un parcours cloud plus large, le dossier sur le Google Cloud Professional Agentic Architect aide à distinguer architecture d’agents et opérations de sécurité. Les deux certifications se croisent sur l’IA et la gouvernance, mais elles valident des métiers différents.

Faut-il avancer ou attendre le nouveau guide ?

Si votre examen anglais est prévu avant le 24 novembre, travaillez avec la version indiquée lors de la réservation et confirmez-la dans le portail. Pour une session le 24 novembre ou après, bâtissez directement votre plan sur le guide 2.0. Reporter n’est pas automatiquement nécessaire : les fondamentaux de SecOps, SCC, GTI, YARA-L, IAM et SOAR restent utiles dans les deux versions.

En revanche, ne négligez pas les ajouts parce que les six domaines conservent leurs noms. La hausse de la gestion des données, l’usage explicite de l’IA, MCP, les identités non humaines, l’Entity Context Graph et les nouveaux agents changent la profondeur attendue. La meilleure stratégie est de comparer les deux guides, de combler les écarts par des exercices et de vérifier une dernière fois la page officielle avant de réserver.