Microsoft Security, Compliance, and Identity Fundamentals
175 שאלות תרגול
נבדק לאחרונה: April 2026
הערות אישיות וקישורים למשאבים למסע הלמידה שלך
סנן לפי הסמכה
Microsoft Security, Compliance, and Identity Fundamentals (SC-900) הוא הסמכה בסיסית המאמתת הבנה מושגית של פורטפוליו האבטחה, התאימות והזהות (SCI) של מיקרוסופט על פני Microsoft 365 ו-Azure. הוא מיועד לבעלי עניין עסקיים, כלכלני IT, אנשי מכירות ושותפים, מובילי תאימות, וכל מי שחדש בתחום האבטחה וזקוק לאוצר מילים משותף עבור Microsoft Entra, Microsoft Defender, Microsoft Sentinel, Microsoft Purview ו-Intune. הבחינה היא מושגית ולא מעשית: צפו לזהות יכולות שירות, לזהות איזה מוצר מטפל בתרחיש נתון (Zero Trust, DLP, גישה מותנית, סיכון פנימי), ולהסביר עקרונות ליבה של זהות, הצפנה ואחריות משותפת בשפה פשוטה.
אוצר מילים בסיסי: Zero Trust, הגנה לעומק, מודל האחריות המשותפת, יסודות הצפנה וגיבוב, וארבעת עמודי התווך של הזהות (ניהול, אימות, הרשאה, ביקורת). המשקל הנמוך ביותר (12%), אך הפיגומים המושגיים שעליהם נבנית יתר הבחינה.
Microsoft Entra ID (לשעבר Azure AD), זהויות חיצוניות (B2B/B2C), גישה מותנית, אימות רב-שלבי, ללא סיסמה, Identity Protection, Privileged Identity Management, ו-Entra Permissions Management / Verified ID. כ-28% מהבחינה — התחום השני בגודלו.
התחום הגדול ביותר (38%). מכסה את Microsoft Sentinel (SIEM/SOAR מבוסס ענן), משפחת Microsoft Defender XDR (Defender for Endpoint, Office 365, Identity, Cloud Apps), Defender for Cloud, אבטחת רשת Azure (NSGs, Azure Firewall, DDoS Protection), ו-Azure Bastion. צפו לשאלות תרחיש המבקשות להתאים איזה מוצר מתאים לאיזה איום.
Microsoft Purview (פורטל תאימות, הגנת מידע, DLP, ניהול סיכונים פנימיים, eDiscovery, ביקורת), Service Trust Portal, Compliance Manager, וניהול משאבים באמצעות Azure Policy ו-Microsoft Purview Data Governance. כ-22% מהבחינה.
שירותים שתפגוש במבחן ומדוע כל אחד מהם חשוב.
שירות ניהול זהות וגישה מבוסס ענן המאמת משתמשים, התקנים ועומסי עבודה מול חשבונות מדריך, זהויות חיצוניות B2B/B2C וספקי פדרציה.
מדוע הוא במבחן: Domin 2 (יכולות של Microsoft Entra) מתמקד ב-Entra ID כספק הזהות — צפו לשאלות על אימות, SSO, MFA וסוגי דיירים.
הגנת זהות מבוססת סיכון המזהה חריגות התחברות, פרטי כניסה שדלפו ותבניות נסיעה בלתי אפשריות, ולאחר מכן אוכפת מדיניות סיכון.
מדוע הוא במבחן: Domin 2 בוחן גישה מותנית מבוססת סיכון; ID Protection הוא המקור הנקוב לאותות סיכון של התחברות ומשתמשים.
שירות זהות מבוזר המנפיק ומאמת אישורי זהות דיגיטליים חסיני-שינוי המבוססים על תקנים פתוחים (W3C DIDs, Verifiable Credentials).
מדוע הוא במבחן: Domin 2 מציג את Verified ID כתסריט הזהות המבוזרת — ומבחין בין אימות מבוסס טענות לבין בדיקות מדריך מסורתיות.
זרימות עבודה של העלאת הרשאות ואישור בזמן אמת לתפקידים בעלי הרשאות ב-Entra ID, במשאבי Azure וב-Microsoft 365, עם גישה מוגבלת בזמן ושבילי ביקורת.
מדוע הוא במבחן: Domin 2 בוחן דפוסי הרשאות מינימליות; PIM הוא התשובה הנקובה לשאלה "כיצד מעניקים גישת מנהל לפי דרישה ללא הרשאות קבועות".
חבילת הגנה מאוחדת לפני ואחרי פריצה המתאמת אותות מנקודות קצה, זהויות, דוא"ל, יישומי ענן ונתונים לתצוגת אירוע אחת.
מדוע הוא במבחן: Domin 3 (פתרונות אבטחה של Microsoft) נסמך על Defender XDR כמשטח חקירת אירועים בין עומסי עבודה.
פלטפורמת הגנה על יישומים מבוססת ענן (CNAPP) המספקת ניהול מצב אבטחה (CSPM) והגנת עומסי עבודה (CWP) ברחבי Azure, AWS ו-GCP.
מדוע הוא במבחן: Domin 3 רואה ב-Defender for Cloud את התשובה להגנה על מצב ועל עומסי עבודה בריבוי עננים — ציון אבטחה, ציות רגולטורי ותוכניות CWP עולים בשאלות.
SIEM ו-SOAR מבוססי ענן הבנויים על Azure הקולט אותות מכלל הנכסים, צד איומים עם KQL, וממכן תגובה באמצעות Playbooks.
מדוע הוא במבחן: Domin 3 נוקב ב-Sentinel כתשובת ה-SIEM/SOAR — שאלות בוחנות את ההבחנה בין SIEM ל-SOAR וארכיטקטורת מחברי נתונים.
פלטפורמת EDR (זיהוי ותגובה בנקודות קצה) ארגונית עם צמצום משטח תקיפה, אנטי-תוכנות זדוניות מהדור הבא וחקירה אוטומטית בכלל Windows, macOS, Linux, iOS, Android.
מדוע הוא במבחן: Domin 3 בוחן יכולות הגנה על נקודות קצה; Defender for Endpoint הוא ה-EDR הנקוב עבור תסריטי איום ברמת ההתקן.
הגנה על תיבות דוא"ל של Microsoft 365, Teams, SharePoint ו-OneDrive מפני דיוג, פריצת דוא"ל עסקי (BEC) וקבצים מצורפים זדוניים באמצעות Safe Links ו-Safe Attachments.
מדוע הוא במבחן: Domin 3 כולל תסריטי איום על דוא"ל/שיתוף פעולה; Defender for Office 365 הוא הבקרה הנקובה עבור Safe Links / Safe Attachments / מדיניות אנטי-דיוג.
מתווך אבטחת גישת ענן (CASB) המגלה Shadow IT, מיישם בקריות סשן, ומגן על יישומי SaaS מאושרים באמצעות מחברי API ו-Reverse Proxy.
מדוע הוא במבחן: Domin 3 מציג תסריטי CASB — גילוי Shadow IT, בקרת גישת אפליקציות מותנית, ו-SaaS DLP כולם מצביעים על Defender for Cloud Apps.
זיהוי איומים ב-Active Directory מקומי החושף סריקות, תנועה רוחבית, שליטה בדומיין והתקפות Golden Ticket מתעבורת בקרי דומיין.
מדוע הוא במבחן: Domin 3 מכסה איומי זהות היברידיים — Defender for Identity הוא שכבת הזיהוי הנקובה הממוקדת ב-AD, הנפרדת מ-Entra ID Protection המבוסס ענן בלבד.
ניהול נקודות קצה מאוחד (UEM) להרשמת התקנים, הגדרה, פריסת אפליקציות והערכת ציות בכלל Windows, macOS, iOS, Android ו-Linux.
מדוע הוא במבחן: Domin 3 מקשר ציות התקנים ל-Conditional Access — Intune מספק את אות הציות שחוסם גישה למשאבים.
תוויות רגישות, הצפנה וסיווג מודע-תוכן הנלווים למסמכים ודוא"ל ברחבי Microsoft 365 ואפליקציות צד שלישי מאושרות.
מדוע הוא במבחן: Domin 4 (פתרונות ציות של Microsoft) בוחן כיצד תוויות מסווגות ומגינות על נתונים במנוחה, במעבר ובשימוש.
מנוע מדיניות המזהה, חוסם או מבקר נתונים רגישים בתנועה ברחבי שירותי Microsoft 365, נקודות קצה ו-SharePoint/OneDrive מקומיים.
מדוע הוא במבחן: Domin 4 נוקב ב-DLP כתשובה הקנונית לתרחישי "מניעת תוכן רגיש מלצאת מהדייר" ברחבי דוא"ל, Teams ונקודות קצה.
זיהוי מבוסס ML של פעילות פנימית זדונית או בשוגג — הוצאת נתונים, גניבת עובד עוזב, הפרות מדיניות — עם זרימות עבודה של חקירה אנונימית למחצה.
מדוע הוא במבחן: Domin 4 מכסה איומי פנים כעמוד תווך נפרד של ציות; Insider Risk Management הוא עומס העבודה הנקוב.
יכולות Legal Hold, חיפוש וייצוא ברחבי תוכן Microsoft 365 עבור התדיינות משפטית, חקירה ותגובה רגולטורית, עם זרימות עבודה של custodian ב-eDiscovery (Premium).
מדוע הוא במבחן: Domin 4 בוחן זרימות עבודה של Legal/Regulatory Hold — eDiscovery הוא הכלי הנקוב לשימור, חיפוש וייצוא.
שירות Policy-as-code המבקר ואוכף תצורת משאבים ברחבי מנויי Azure, עם Blueprints האורז מדיניות, הקצאות תפקידים ותבניות ARM כיחידה ניתנת לפריסה.
מדוע הוא במבחן: Domin 1 ו-Domin 4 מתייחסים לאכיפת מדיניות כמנגנון מאחורי בסיסי ממשל; Azure Policy + Blueprints היא הבקרה הנקובה.
פורטל מרכזי לתיעוד ציות ענן של Microsoft בשילוב עם Compliance Manager, המעריך את ציות הדייר מול Frameworks כמו ISO 27001, NIST ו-GDPR.
מדוע הוא במבחן: Domin 4 בוחן במפורש את Service Trust Portal ו-Compliance Manager כמשטחים שבהם לקוחות משתמשים כדי להוכיח מצב ציות.
מנוע מדיניות המעריך אותות — משתמש, מיקום, מצב התקן, יישום, סיכון — ואוכף בקרות כמו MFA, התקן תואם או הגבלות סשן לפני מתן גישה.
מדוע הוא במבחן: Domin 2 מתייחס ל-Conditional Access כנקודת האכיפה המרכזית לאותות Zero Trust; צפו לשאלות תרחיש על הקצאת מדיניות והחרגות.
שירות מנוהל למפתחות, סודות ותעודות עם הגנת מפתחות מגובת HSM, אינטגרציית CMK (מפתח מנוהל לקוח) ומדיניות גישה באמצעות RBAC או מדיניות גישת כספת.
מדוע הוא במבחן: Domin 3 מכסה תסריטי הגנה על סודות והצפנת CMK — Key Vault הוא המאגר הנקוב ברחבי עומסי עבודה של Azure.
$65k–$92k–$130k USD שנתי
SC-900 הוא בסיסי ולעתים רחוקות מהווה את הגורם המכריע בשכר — טווחי שכר אלה משקפים תפקידי אבטחה וזהות התחלתיים בארה"ב, שבהם SC-900 הוא אחד מכמה סימנים בקורות החיים. תפקידי אבטחה בכירים (שבהם מצופים SC-200, SC-100, AZ-500 או CISSP) נוטים להיות גבוהים משמעותית.
מקור: הלשכה לסטטיסטיקה של העבודה בארה"ב OEWS מאי 2024 (15-1212 information security analysts, חציון ~120 אלף דולר; 15-1232 computer user support, חציון ~60 אלף דולר), levels.fyi 2025–2026 security and IT support roles. הנתונים משוערים; התגמול בפועל תלוי בתפקיד, באזור ובניסיון.
ערימת האבטחה של מיקרוסופט — Defender XDR, Sentinel, Purview, Entra ו-Intune — היא ברירת המחדל בחלק גדול מהארגונים שכבר מריצים Microsoft 365 ו-Azure, מה שהופך את SC-900 לאחת ההסמכות ברמת כניסה לאבטחה המוכרות ביותר. מגייסים משתמשים בה כאות סינון לכך שמועמד יכול לדבר בשפת האבטחה של מיקרוסופט בראיונות עוד לפני שהוא מחזיק בתפקיד מעשי. היא נפוצה במיוחד בקורות חיים של צוותי תמיכה טכנית (help-desk), כלכלני IT כלליים, אנשי תאימות ואנשי טרום-מכירה של שותפים המבצעים מעבר לכיוון אבטחה, ולבעלי עניין לא-טכניים (מנהלי פרויקטים, מנהלי לקוחות, ראשי GRC) הזקוקים לאמינות בעת דיון ב-Zero Trust, גישה מותנית או DLP עם צוותי אבטחה. בפני עצמה היא אינה מכשירה אדם לתפקידי אנליסט או מהנדס, אך היא משתלבת היטב עם SC-200 או AZ-500 כשלב הבא.
אין דרישות קדם רשמיות. מיקרוסופט ממליצה על היכרות עם מושגי רשת ומחשוב ענן, אוריינות IT כללית, והבנה בסיסית של Microsoft Azure ו-Microsoft 365 — אך מועמדים ללא רקע של מיקרוסופט עוברים באופן קבוע לאחר שעברו את מסלול Microsoft Learn הרשמי (כ-10–14 שעות) והערכה מעשית אחת.
אם מעולם לא השתמשת ב-Azure או ב-Microsoft 365, השלמת AZ-900 (Azure Fundamentals) או MS-900 (Microsoft 365 Fundamentals) תחילה תהפוך את SC-900 לקל יותר באופן ניכר: שאלות רבות ב-SC-900 מניחות שאתה מזהה משאבי Azure ליבה ומשטחי ניהול של M365. שלוש הבחינות ברמת "900" חופפות באופן משמעותי ולעתים קרובות נלקחות יחד על ידי מועמדים הבונים יסוד ענן של מיקרוסופט. מעבדות מעשיות אינן נדרשות בהכרח, אך דייר מפתח חינם של Microsoft 365 וחשבון Azure חינם מאפשרים לך ללחוץ על פורטלי Entra, Purview ו-Defender, מה שנשאר טוב יותר מאשר קריאה בלבד.
SC-900 מדורג כיסודי והוא אחד מההסמכות הנגישות יותר של מיקרוסופט. תכננו 20–40 שעות לימוד על פני 2–4 שבועות אם אין לכם רקע קודם בענן או באבטחה של מיקרוסופט, או 8–15 שעות על פני שבוע אם אתם כבר מכירים את תחום AZ-900 / MS-900. הבחינה אורכת כ-45 דקות עם כ-40–60 שאלות רב-ברירה ורב-תשובתיות; ציון המעבר הוא 700/1000 במודל ניקוד מותאם.
החלק הקשה ביותר עבור רוב המועמדים הוא זיהוי שמות שירותים: פורטפוליו האבטחה של מיקרוסופט שונה שמו ואורגן מחדש שוב ושוב (Azure AD הפך ל-Entra ID, חבילת Defender אוחדה ל-Defender XDR, Microsoft 365 Compliance הפך ל-Purview), ושאלות הבחינה בודקות בעקביות אם אתם יכולים להתאים את שם המוצר הנוכחי ליכולת הנכונה. שינון התפקיד של כל מוצר — Defender for Endpoint לעומת Defender for Cloud לעומת Defender for Identity, Purview לעומת Priva, Entra ID לעומת Entra Permissions Management — הוא רוב מה שמפריד בין מעבר לכישלון.
זמינות כללית באפריל 2021 כחלק ממסלול Microsoft Security, Compliance, and Identity Fundamentals. היעדים מתרעננים מעת לעת (לאחרונה כדי לשקף את שינוי השם של Azure AD ל-Entra ואת מיתוג מחדש של Microsoft 365 Compliance ל-Purview); כבחינה בסיסית היא אינה פורשת במחזור של שנה וההסמכה אינה פגה.
SC-900 (Microsoft Security, Compliance, and Identity Fundamentals) הוא מבחן ברמת Foundational נחשב למבחן ברמת כניסה הבודק רוחב הבנה מושגית ולא עומק מעשי. רוב המועמדים זקוקים ל-30–80 שעות לימוד הפרוסות על פני 3–6 שבועות עבור מבחני רמת יסוד. רוב המועמדים שמקבלים ציונים באופן עקבי מעל סף המעבר במבחני תרגול עוברים בניסיון הראשון.
רוב המועמדים זקוקים ל-30–80 שעות לימוד הפרוסות על פני 3–6 שבועות עבור מבחני רמת יסוד. משך הזמן למעבר משתנה מאוד בהתאם לניסיון קודם. מהנדסים בעלי ניסיון מעשי בסביבת ייצור בטכנולוגיה הבסיסית זקוקים בדרך כלל לפחות זמן; מועמדים חדשים לפלטפורמה צריכים לתכנן את לימודיהם לכיוון הקצה העליון של טווח זה.
SC-900 הוא אישור מוכר במערכת האקולוגית של Microsoft ומסמן ידע מאומת למעסיקים, מגייסים ולקוחות. האם זה שווה את הזמן והעמלה עבורך תלוי בתפקיד ובמטרות שלך – זה נוטה להשתלם ביותר עבור מהנדסי ענן, אדריכלים ויועצים שעובדים עם Microsoft על בסיס יומיומי או רוצים לעבור לתפקידים כאלה.
ציון המעבר עבור SC-900 הוא 700 / 1000. המבחן מכיל 40 שאלות ונמשך 45 דק'.
עמלת מבחן ה-SC-900 היא $99 USD. העמלות נקבעות על ידי Microsoft ועשויות להשתנות לפי אזור; תמיד אשרו את המחיר הנוכחי בדף ההסמכה הרשמי של Microsoft לפני ההזמנה.
הסמכות יסוד של Microsoft לעולם אינן פגות תוקף (AZ-900, AI-900, DP-900, SC-900).
כן. ניתן לגשת למבחן באופן מקוון (בפיקוח דרך הדפדפן המאובטח של הספק, זמין 24/7 ברוב האזורים) או במרכז בחינה פיזי של Pearson VUE בשעות הפעילות. שני הפורמטים משתמשים באותן שאלות, מגבלת זמן וציון מעבר.
CertLabPro מספק 15 מצבי לימוד על פני בנק השאלות לתרגול עבור SC-900. מצב סימולציית המבחן משקף את המבחן האמיתי: 40 שאלות ב-45 דק', עם אותו סף מעבר של 700 / 1000. מצב עיון מאפשר לך לקרוא כל שאלה ותשובה באופן סטטי.