Microsoft Security, Compliance, and Identity Fundamentals
175 практических вопросов
Последняя проверка: April 2026
Написаны с нуля по официальному руководству к экзамену Microsoft
Личные заметки и ссылки на ресурсы для вашего учебного пути
Отслеживайте экзамены, заметки и ресурсы по дням
Microsoft Security, Compliance, and Identity Fundamentals (SC-900) - это базовый сертификат, подтверждающий концептуальное понимание портфеля Microsoft в области безопасности, соответствия требованиям и идентификации (SCI) для Microsoft 365 и Azure. Он предназначен для бизнес-заинтересованных сторон, IT-специалистов широкого профиля, сотрудников отделов продаж и партнеров, руководителей по соответствию требованиям, а также для всех новичков в сфере безопасности, которым необходим общий словарь для Microsoft Entra, Microsoft Defender, Microsoft Sentinel, Microsoft Purview и Intune. Экзамен является концептуальным, а не практическим: ожидайте, что вы будете узнавать возможности сервисов, определять, какой продукт подходит для данного сценария (Zero Trust, DLP, условный доступ, инсайдерский риск), и объяснять основные принципы идентификации, шифрования и совместной ответственности простым языком.
Основополагающая терминология: Zero Trust, глубокая защита (defense in depth), модель общей ответственности, основы шифрования и хеширования, а также четыре столпа идентификации (администрирование, аутентификация, авторизация, аудит). Самый низкий вес (12%), но концептуальный каркас, на котором строится остальная часть экзамена.
Microsoft Entra ID (ранее Azure AD), внешние идентификаторы (B2B/B2C), условный доступ, многофакторная аутентификация, беспарольный вход, Identity Protection, Privileged Identity Management и Entra Permissions Management / Verified ID. Около 28% экзамена - второй по величине домен.
Самый большой домен (38%). Охватывает Microsoft Sentinel (облачная SIEM/SOAR), семейство Microsoft Defender XDR (Defender for Endpoint, Office 365, Identity, Cloud Apps), Defender for Cloud, сетевую безопасность Azure (NSGs, Azure Firewall, DDoS Protection) и Azure Bastion. Ожидайте сценарные вопросы, которые спрашивают, какой продукт подходит для какой угрозы.
Microsoft Purview (портал соответствия, защита информации, DLP, управление инсайдерскими рисками, eDiscovery, аудит), Service Trust Portal, Compliance Manager, а также управление ресурсами через Azure Policy и Microsoft Purview Data Governance. Около 22% экзамена.
Сервисы, с которыми вы столкнётесь на экзамене, и почему каждый из них важен.
Облачный сервис управления идентификацией и доступом, который аутентифицирует пользователей, устройства и рабочие нагрузки по учётным записям каталога, внешним идентификаторам B2B/B2C и федеративным поставщикам.
Почему он на экзамене: Домен 2 (Возможности Microsoft Entra) сосредоточен на Entra ID как поставщике идентификации - ожидайте вопросов по аутентификации, SSO, MFA и типам клиентов.
Защита идентификации на основе рисков, которая обнаруживает аномалии входа, скомпрометированные учётные данные и шаблоны невозможных перемещений, а затем применяет политики рисков.
Почему он на экзамене: Домен 2 проверяет условный доступ на основе рисков; ID Protection является названным источником сигналов риска входа и пользователя.
Децентрализованный сервис идентификации, выдающий и проверяющий защищённые от подделок цифровые учётные данные на основе открытых стандартов (W3C DIDs, Verifiable Credentials).
Почему он на экзамене: Домен 2 представляет Verified ID как сценарий децентрализованной идентификации - различая проверку на основе утверждений от традиционных запросов в каталоге.
Рабочие процессы повышения и утверждения привилегий "точно в срок" для привилегированных ролей в Entra ID, ресурсах Azure и Microsoft 365, с ограниченным по времени доступом и журналами аудита.
Почему он на экзамене: Домен 2 проверяет паттерны наименьших привилегий; PIM является названным ответом на вопрос «как предоставить административный доступ по запросу без постоянных разрешений» .
Унифицированный набор средств защиты до и после нарушения, который коррелирует сигналы с конечных точек, идентификаторов, электронной почты, облачных приложений и данных в единое представление инцидента.
Почему он на экзамене: Домен 3 (Решения Microsoft Security) фокусируется на Defender XDR как на поверхности для расследования инцидентов между рабочими нагрузками.
Облачная платформа защиты приложений (CNAPP), обеспечивающая управление состоянием безопасности (CSPM) и защиту рабочих нагрузок (CWP) в Azure, AWS и GCP.
Почему он на экзамене: Домен 3 ожидает Defender for Cloud как ответ для мультиоблачного управления состоянием и защиты рабочих нагрузок - безопасная оценка, нормативное соответствие и планы CWP встречаются в вопросах.
Облачный SIEM и SOAR, построенный на Azure, который собирает сигналы по всей среде, ищет угрозы с помощью KQL и автоматизирует реагирование через плейбуки.
Почему он на экзамене: Домен 3 называет Sentinel ответом SIEM/SOAR - вопросы проверяют различие SIEM и SOAR, а также архитектуру коннекторов данных.
Платформа EDR корпоративного уровня с сокращением поверхности атаки, антивирусной защитой нового поколения и автоматическим расследованием для Windows, macOS, Linux, iOS, Android.
Почему он на экзамене: Домен 3 проверяет возможности защиты конечных точек; Defender for Endpoint является названным EDR для сценариев угроз на уровне устройств.
Защита почтовых ящиков Microsoft 365, Teams, SharePoint и OneDrive от фишинга, компрометации деловой переписки и вредоносных вложений через Safe Links и Safe Attachments.
Почему он на экзамене: Домен 3 включает сценарии угроз для электронной почты/совместной работы; Defender for Office 365 является названным средством контроля для Safe Links / Safe Attachments / антифишинговых политик.
Брокер безопасности облачного доступа (CASB), который обнаруживает теневые IT-системы, применяет элементы управления сессиями и защищает санкционированные SaaS-приложения через коннекторы API и обратный прокси.
Почему он на экзамене: Домен 3 описывает сценарии CASB - обнаружение теневых IT, управление доступом к приложениям с помощью условного доступа и SaaS DLP - всё это указывает на Defender for Cloud Apps.
Обнаружение угроз в локальной Active Directory, выявляющее разведку, боковое перемещение, доминирование в домене и атаки Golden Ticket на основе трафика контроллеров домена.
Почему он на экзамене: Домен 3 охватывает гибридные угрозы идентификации - Defender for Identity является названным уровнем обнаружения, ориентированным на AD, в отличие от облачного Entra ID Protection.
Единое управление конечными точками (UEM) для регистрации устройств, настройки, развёртывания приложений и оценки соответствия в Windows, macOS, iOS, Android и Linux.
Почему он на экзамене: Домен 3 связывает соответствие устройств с условным доступом - Intune предоставляет сигнал соответствия, который регулирует доступ к ресурсам.
Метки конфиденциальности, шифрование и классификация с учётом содержимого, которые сопровождают документы и электронные письма в Microsoft 365 и утверждённых сторонних приложениях.
Почему он на экзамене: Домен 4 (Решения Microsoft для соответствия требованиям) проверяет, как метки классифицируют и защищают данные в состоянии покоя, при передаче и использовании.
Механизм политик, который обнаруживает, блокирует или аудитирует конфиденциальные данные в движении через сервисы Microsoft 365, конечные точки и локальные SharePoint/OneDrive.
Почему он на экзамене: Домен 4 называет DLP каноническим ответом на сценарии «не дать конфиденциальному контенту покинуть клиент» для электронной почты, Teams и конечных точек.
Обнаружение вредоносной или непреднамеренной инсайдерской активности на основе ML - утечка данных, кража данных увольняющимся сотрудником, нарушения политик - с использованием псевдонимизированных рабочих процессов расследования.
Почему он на экзамене: Домен 4 рассматривает инсайдерские угрозы как отдельный столп соответствия; Insider Risk Management является названной рабочей нагрузкой.
Возможности юридического удержания, поиска и экспорта контента Microsoft 365 для судебных разбирательств, расследований и реагирования на нормативные требования, с рабочими процессами хранителей eDiscovery (Premium).
Почему он на экзамене: Домен 4 проверяет рабочие процессы юридического/регуляторного удержания - eDiscovery является названным инструментом для сохранения, поиска и экспорта.
Сервис «политика как код», который аудитирует и принудительно применяет конфигурацию ресурсов в подписках Azure, а Blueprints упаковывает политики, назначения ролей и ARM-шаблоны как развёртываемую единицу.
Почему он на экзамене: Домен 1 и Домен 4 ссылаются на применение политик как механизм для базовых показателей управления; Azure Policy + Blueprints является названным средством контроля.
Централизованный портал для документации по соответствию облачным сервисам Microsoft в паре с Compliance Manager, который оценивает соответствие клиента таким фреймворкам, как ISO 27001, NIST и GDPR.
Почему он на экзамене: Домен 4 явно проверяет Service Trust Portal и Compliance Manager как поверхности, которые клиенты используют для подтверждения состояния соответствия.
Механизм политик, который оценивает сигналы - пользователь, местоположение, состояние устройства, приложение, риск - и применяет средства контроля, такие как MFA, соответствующее устройство или ограничения сессии, перед предоставлением доступа.
Почему он на экзамене: Домен 2 рассматривает Conditional Access как центральную точку применения для сигналов Zero Trust; ожидайте сценарных вопросов о назначении политик и исключениях.
Управляемый сервис для ключей, секретов и сертификатов с защитой ключей на основе HSM, интеграцией управляемых клиентом ключей (CMK) и политиками доступа через RBAC или политики доступа хранилища.
Почему он на экзамене: Домен 3 охватывает защиту секретов и сценарии шифрования CMK - Key Vault является названным хранилищем для всех рабочих нагрузок Azure.
$65k-$92k-$130k USD годовая
SC-900 является базовым сертификатом и редко является решающим фактором в определении компенсации - эти диапазоны отражают роли начального уровня в сфере безопасности и смежных областях в США, где SC-900 является одним из нескольких признаков в резюме. Зарплаты на старших должностях в сфере безопасности (где ожидается наличие SC-200, SC-100, AZ-500 или CISSP) значительно выше.
Источник: Бюро трудовой статистики США OEWS май 2024 (15-1212 аналитики информационной безопасности, медиана ~$120k; 15-1232 поддержка пользователей компьютеров, медиана ~$60k), levels.fyi 2025-2026 роли в сфере безопасности и IT-поддержки. Цифры приблизительны; фактическая компенсация зависит от роли, региона и опыта.
Стек безопасности Microsoft - Defender XDR, Sentinel, Purview, Entra и Intune - является стандартом де-факто для значительной части предприятий, уже использующих Microsoft 365 и Azure, что делает SC-900 одним из наиболее широко признанных сертификатов начального уровня в области безопасности. Рекрутеры используют его как отборочный признак того, что кандидат может использовать терминологию безопасности Microsoft на собеседованиях еще до получения практической роли. Он особенно часто встречается в резюме сотрудников службы поддержки, IT-специалистов широкого профиля, специалистов по соответствию требованиям и предпродажных специалистов партнеров, которые переходят в сферу безопасности, а также для нетехнических заинтересованных сторон (руководителей проектов, менеджеров по работе с клиентами, GRC-руководителей), которым нужна достоверность при обсуждении Zero Trust, условного доступа или DLP с командами безопасности. Сам по себе он не дает права на аналитические или инженерные роли, но хорошо сочетается с SC-200 или AZ-500 в качестве следующего шага.
Формальных предварительных требований нет. Microsoft рекомендует ознакомиться с концепциями сетей и облачных вычислений, иметь общую IT-грамотность и базовое понимание Microsoft Azure и Microsoft 365 - но кандидаты без опыта работы с продуктами Microsoft регулярно сдают экзамен после прохождения официального пути Microsoft Learn (~10-14 часов) и одной практической оценки.
Если вы никогда не использовали Azure или Microsoft 365, прохождение AZ-900 (Azure Fundamentals) или MS-900 (Microsoft 365 Fundamentals) сначала значительно облегчит SC-900: многие вопросы SC-900 предполагают, что вы узнаете основные ресурсы Azure и интерфейс администрирования M365. Три экзамена "уровня 900" значительно перекрываются и часто сдаются вместе кандидатами, создающими основу облачных решений Microsoft. Практические лабораторные работы не являются строго обязательными, но бесплатный клиент разработчика Microsoft 365 и бесплатная учетная запись Azure позволяют вам просматривать порталы Entra, Purview и Defender, что запоминается гораздо лучше, чем просто чтение.
SC-900 оценивается как базовый и является одной из наиболее доступных сертификаций Microsoft. Планируйте 20-40 часов обучения в течение 2-4 недель, если у вас нет предварительного опыта работы с облачными технологиями Microsoft или безопасностью, или 8-15 часов в течение недели, если вы уже знакомы с материалами AZ-900 / MS-900. Экзамен длится около 45 минут и содержит примерно 40-60 вопросов с множественным выбором и множественными ответами; проходной балл составляет 700/1000 по масштабируемой модели оценки.
Самой сложной частью для большинства кандидатов является распознавание названий служб: портфель безопасности Microsoft неоднократно переименовывался и реорганизовывался (Azure AD стал Entra ID, набор Defender объединился в Defender XDR, Microsoft 365 Compliance стал Purview), и вопросы экзамена постоянно проверяют, можете ли вы сопоставить текущее название продукта с правильной возможностью. Запоминание роли каждого продукта - Defender for Endpoint против Defender for Cloud против Defender for Identity, Purview против Priva, Entra ID против Entra Permissions Management - это то, что отличает успешную сдачу от неудачи.
Общая доступность в апреле 2021 года в рамках направления Microsoft Security, Compliance, and Identity Fundamentals. Цели периодически обновляются (последний раз для отражения переименования Azure AD в Entra и ребрендинга Microsoft 365 Compliance в Purview); как фундаментальный экзамен, он не отменяется по годовому циклу, и сертификат не истекает.
Это базовая сертификация Microsoft по безопасности - обзор концепций безопасности, соответствия требованиям и идентификации (без кодирования) и решений Microsoft, которые их реализуют (Entra ID, Microsoft Defender, Purview и связанные инструменты). Она подходит для всех, кому необходимы базовые знания в области безопасности Microsoft, будь то технический специалист или бизнес-специалист. Экзамен состоит примерно из 40 вопросов, длится 45 минут, проходной балл 700/1000. Подробнее см. в центре SC-900.
Это доступный экзамен по основам - концептуальный, без практических заданий, для большинства людей его можно сдать за одну-две недели. Основная задача - изучить терминологию по трем областям (безопасность, соответствие требованиям, идентификация) и понять, какой продукт Microsoft решает каждую из них. Практические вопросы - самый быстрый способ оценить свою готовность.
Да, если вы движетесь к работе в области безопасности, соответствия требованиям или идентификации, или вам нужно подтвердить базовую грамотность в области безопасности - это дешево, быстро и является естественным первым шагом к ролевым сертификациям SC (SC-200, SC-300, SC-100). Сам по себе он является фундаментальным; сравните его с другими в нашем Отчёте о состоянии сертификаций.
Срок действия не истекает - как и все сертификации Microsoft Fundamentals, SC-900 является бессрочной после получения. (Только ролевые сертификации SC, такие как SC-200 и SC-100, истекают через 12 months и требуют бесплатного онлайн-продления.)
Около 40 вопросов за 45 minutes, в основном с множественным выбором и множественным ответом (могут также встречаться вопросы с перетаскиванием или сопоставлением). Для прохождения требуется 700/1000 баллов, и за неправильные ответы нет штрафа.
Нет - он стоит $99 USD. Учебные материалы Microsoft Learn бесплатны, и некоторые мероприятия распространяют ваучеры на экзамен, но сам экзамен платный. Постоянно бесплатной версии нет.
$99 USD плюс местный налог. Неудачная попытка требует 24-hour ожидания перед повторной сдачей (14 days для последующих попыток). Подробности о расписании и требованиях к удостоверению личности находятся на нашей странице информации об экзаменах Microsoft.
Нет. Это контролируемый экзамен без использования материалов - в тестовом центре или онлайн с наблюдением через веб-камеру - поэтому никакие заметки, интернет или посторонняя помощь не допускаются, а перед онлайн-попыткой проводится сканирование помещения.
Зарегистрируйтесь через панель мониторинга сертификации Microsoft Learn, которая перенаправит вас в Pearson VUE для выбора тестового центра или онлайн-слота под наблюдением. Наша страница информации об экзаменах Microsoft содержит пошаговое описание регистрации и требований к удостоверению личности.
Пройдите бесплатные курсы Microsoft Learn "SC-900", чтобы охватить три области, затем прорешивайте практические вопросы, пока стабильно не будете набирать более 80%. Наш банк вопросов SC-900 охватывает каждую тему с пояснениями, а Плейбук систематизирует концепции безопасности, соответствия требованиям и идентификации, на которых делается акцент в экзамене.
Обычными следующими шагами являются ролевые сертификации по безопасности: SC-200 (Security Operations Analyst), SC-300 (Identity and Access Administrator) или экспертная сертификация SC-100 Cybersecurity Architect, когда у вас будет больше опыта. Просмотрите полный трек по безопасности Microsoft, чтобы спланировать свой путь.
SC-900 (Microsoft Security, Compliance, and Identity Fundamentals) - это Foundational-уровневый экзамен, считается экзаменом начального уровня, проверяющим широту концептуального понимания, а не глубокие практические навыки. Большинству кандидатов требуется 30-80 часов обучения, распределенных на 3-6 недель, для экзаменов начального уровня. Большинство кандидатов, которые стабильно набирают баллы выше проходного порога на пробных экзаменах, сдают его с первой попытки.
Большинству кандидатов требуется 30-80 часов обучения, распределенных на 3-6 недель, для экзаменов начального уровня. Время, необходимое для сдачи, сильно варьируется в зависимости от предыдущего опыта. Инженерам с практическим опытом работы с базовой технологией обычно требуется меньше времени; кандидатам, новым для платформы, следует ориентироваться на верхнюю границу этого диапазона.
Да - для облачных инженеров, архитекторов и консультантов, работающих с Microsoft, SC-900 обычно стоит усилий. Это признанный сертификат, подтверждающий проверенные знания перед работодателями, рекрутерами и клиентами; окупятся ли время и стоимость лично для вас, зависит от вашей роли и целей.
Проходной балл для SC-900 составляет 700 / 1000. Экзамен содержит 40 вопросов и длится 45 мин.
Стоимость экзамена SC-900 составляет $99 USD. Сборы устанавливаются Microsoft и могут варьироваться в зависимости от региона; всегда уточняйте текущую цену на официальной странице сертификации Microsoft перед бронированием.
Сертификации Microsoft Fundamentals никогда не истекают (AZ-900, AI-900, DP-900, SC-900).
Да. Вы можете сдать экзамен онлайн (с прокторингом через безопасный браузер провайдера, доступный 24/7 в большинстве регионов) или в очном центре тестирования Pearson VUE в рабочее время. Оба формата используют одни и те же вопросы, ограничение по времени и проходной балл.
Режим симуляции экзамена SC-900 на CertLabPro воспроизводит настоящий экзамен: 40 вопросов за 45 мин, с тем же проходным порогом 700 / 1000. Также вам доступно всего 15 режимов обучения, а режим «Обзор» статически показывает каждый вопрос с ответом и пояснением.
$65k-$130k USD - типичный диапазон зарплат в США для ролей, ценящих SC-900, по данным Бюро трудовой статистики США OEWS май 2024 (15-1212 аналитики информационной безопасности, медиана ~$120k; 15-1232 поддержка пользователей компьютеров, медиана ~$60k), levels.fyi 2025-2026 роли в сфере безопасности и IT-поддержки. Фактическая оплата зависит от уровня, местоположения и должности: senior- и архитекторские роли выше, начальные - ниже.
Да - месяц сосредоточенной подготовки реалистичен для большинства кандидатов. Большинству кандидатов требуется 30-80 часов обучения, распределенных на 3-6 недель, для экзаменов начального уровня. Если платформа Microsoft для вас новая, заложите больше времени; с практическим опытом может понадобиться меньше.
Не обязательно - SC-900 это экзамен начального уровня, не требующий предварительного практического опыта, поэтому он часто становится первой сертификацией.