Microsoft Security, Compliance, and Identity Fundamentals
175 практических вопросов
Последняя проверка: April 2026
Личные заметки и ссылки на ресурсы для вашего учебного пути
Фильтр по сертификации
Microsoft Security, Compliance, and Identity Fundamentals (SC-900) — это базовый сертификат, подтверждающий концептуальное понимание портфеля Microsoft в области безопасности, соответствия требованиям и идентификации (SCI) для Microsoft 365 и Azure. Он предназначен для бизнес-заинтересованных сторон, IT-специалистов широкого профиля, сотрудников отделов продаж и партнеров, руководителей по соответствию требованиям, а также для всех новичков в сфере безопасности, которым необходим общий словарь для Microsoft Entra, Microsoft Defender, Microsoft Sentinel, Microsoft Purview и Intune. Экзамен является концептуальным, а не практическим: ожидайте, что вы будете узнавать возможности сервисов, определять, какой продукт подходит для данного сценария (Zero Trust, DLP, условный доступ, инсайдерский риск), и объяснять основные принципы идентификации, шифрования и совместной ответственности простым языком.
Основополагающая терминология: Zero Trust, глубокая защита (defense in depth), модель общей ответственности, основы шифрования и хеширования, а также четыре столпа идентификации (администрирование, аутентификация, авторизация, аудит). Самый низкий вес (12%), но концептуальный каркас, на котором строится остальная часть экзамена.
Microsoft Entra ID (ранее Azure AD), внешние идентификаторы (B2B/B2C), условный доступ, многофакторная аутентификация, беспарольный вход, Identity Protection, Privileged Identity Management и Entra Permissions Management / Verified ID. Около 28% экзамена — второй по величине домен.
Самый большой домен (38%). Охватывает Microsoft Sentinel (облачная SIEM/SOAR), семейство Microsoft Defender XDR (Defender for Endpoint, Office 365, Identity, Cloud Apps), Defender for Cloud, сетевую безопасность Azure (NSGs, Azure Firewall, DDoS Protection) и Azure Bastion. Ожидайте сценарные вопросы, которые спрашивают, какой продукт подходит для какой угрозы.
Microsoft Purview (портал соответствия, защита информации, DLP, управление инсайдерскими рисками, eDiscovery, аудит), Service Trust Portal, Compliance Manager, а также управление ресурсами через Azure Policy и Microsoft Purview Data Governance. Около 22% экзамена.
Сервисы, с которыми вы столкнётесь на экзамене, и почему каждый из них важен.
Облачный сервис управления идентификацией и доступом, который аутентифицирует пользователей, устройства и рабочие нагрузки по учётным записям каталога, внешним идентификаторам B2B/B2C и федеративным поставщикам.
Почему он на экзамене: Домен 2 (Возможности Microsoft Entra) сосредоточен на Entra ID как поставщике идентификации — ожидайте вопросов по аутентификации, SSO, MFA и типам клиентов.
Защита идентификации на основе рисков, которая обнаруживает аномалии входа, скомпрометированные учётные данные и шаблоны невозможных перемещений, а затем применяет политики рисков.
Почему он на экзамене: Домен 2 проверяет условный доступ на основе рисков; ID Protection является названным источником сигналов риска входа и пользователя.
Децентрализованный сервис идентификации, выдающий и проверяющий защищённые от подделок цифровые учётные данные на основе открытых стандартов (W3C DIDs, Verifiable Credentials).
Почему он на экзамене: Домен 2 представляет Verified ID как сценарий децентрализованной идентификации — различая проверку на основе утверждений от традиционных запросов в каталоге.
Рабочие процессы повышения и утверждения привилегий "точно в срок" для привилегированных ролей в Entra ID, ресурсах Azure и Microsoft 365, с ограниченным по времени доступом и журналами аудита.
Почему он на экзамене: Домен 2 проверяет паттерны наименьших привилегий; PIM является названным ответом на вопрос «как предоставить административный доступ по запросу без постоянных разрешений» .
Унифицированный набор средств защиты до и после нарушения, который коррелирует сигналы с конечных точек, идентификаторов, электронной почты, облачных приложений и данных в единое представление инцидента.
Почему он на экзамене: Домен 3 (Решения Microsoft Security) фокусируется на Defender XDR как на поверхности для расследования инцидентов между рабочими нагрузками.
Облачная платформа защиты приложений (CNAPP), обеспечивающая управление состоянием безопасности (CSPM) и защиту рабочих нагрузок (CWP) в Azure, AWS и GCP.
Почему он на экзамене: Домен 3 ожидает Defender for Cloud как ответ для мультиоблачного управления состоянием и защиты рабочих нагрузок — безопасная оценка, нормативное соответствие и планы CWP встречаются в вопросах.
Облачный SIEM и SOAR, построенный на Azure, который собирает сигналы по всей среде, ищет угрозы с помощью KQL и автоматизирует реагирование через плейбуки.
Почему он на экзамене: Домен 3 называет Sentinel ответом SIEM/SOAR — вопросы проверяют различие SIEM и SOAR, а также архитектуру коннекторов данных.
Платформа EDR корпоративного уровня с сокращением поверхности атаки, антивирусной защитой нового поколения и автоматическим расследованием для Windows, macOS, Linux, iOS, Android.
Почему он на экзамене: Домен 3 проверяет возможности защиты конечных точек; Defender for Endpoint является названным EDR для сценариев угроз на уровне устройств.
Защита почтовых ящиков Microsoft 365, Teams, SharePoint и OneDrive от фишинга, компрометации деловой переписки и вредоносных вложений через Safe Links и Safe Attachments.
Почему он на экзамене: Домен 3 включает сценарии угроз для электронной почты/совместной работы; Defender for Office 365 является названным средством контроля для Safe Links / Safe Attachments / антифишинговых политик.
Брокер безопасности облачного доступа (CASB), который обнаруживает теневые IT-системы, применяет элементы управления сессиями и защищает санкционированные SaaS-приложения через коннекторы API и обратный прокси.
Почему он на экзамене: Домен 3 описывает сценарии CASB — обнаружение теневых IT, управление доступом к приложениям с помощью условного доступа и SaaS DLP — всё это указывает на Defender for Cloud Apps.
Обнаружение угроз в локальной Active Directory, выявляющее разведку, боковое перемещение, доминирование в домене и атаки Golden Ticket на основе трафика контроллеров домена.
Почему он на экзамене: Домен 3 охватывает гибридные угрозы идентификации — Defender for Identity является названным уровнем обнаружения, ориентированным на AD, в отличие от облачного Entra ID Protection.
Единое управление конечными точками (UEM) для регистрации устройств, настройки, развёртывания приложений и оценки соответствия в Windows, macOS, iOS, Android и Linux.
Почему он на экзамене: Домен 3 связывает соответствие устройств с условным доступом — Intune предоставляет сигнал соответствия, который регулирует доступ к ресурсам.
Метки конфиденциальности, шифрование и классификация с учётом содержимого, которые сопровождают документы и электронные письма в Microsoft 365 и утверждённых сторонних приложениях.
Почему он на экзамене: Домен 4 (Решения Microsoft для соответствия требованиям) проверяет, как метки классифицируют и защищают данные в состоянии покоя, при передаче и использовании.
Механизм политик, который обнаруживает, блокирует или аудитирует конфиденциальные данные в движении через сервисы Microsoft 365, конечные точки и локальные SharePoint/OneDrive.
Почему он на экзамене: Домен 4 называет DLP каноническим ответом на сценарии «не дать конфиденциальному контенту покинуть клиент» для электронной почты, Teams и конечных точек.
Обнаружение вредоносной или непреднамеренной инсайдерской активности на основе ML — утечка данных, кража данных увольняющимся сотрудником, нарушения политик — с использованием псевдонимизированных рабочих процессов расследования.
Почему он на экзамене: Домен 4 рассматривает инсайдерские угрозы как отдельный столп соответствия; Insider Risk Management является названной рабочей нагрузкой.
Возможности юридического удержания, поиска и экспорта контента Microsoft 365 для судебных разбирательств, расследований и реагирования на нормативные требования, с рабочими процессами хранителей eDiscovery (Premium).
Почему он на экзамене: Домен 4 проверяет рабочие процессы юридического/регуляторного удержания — eDiscovery является названным инструментом для сохранения, поиска и экспорта.
Сервис «политика как код», который аудитирует и принудительно применяет конфигурацию ресурсов в подписках Azure, а Blueprints упаковывает политики, назначения ролей и ARM-шаблоны как развёртываемую единицу.
Почему он на экзамене: Домен 1 и Домен 4 ссылаются на применение политик как механизм для базовых показателей управления; Azure Policy + Blueprints является названным средством контроля.
Централизованный портал для документации по соответствию облачным сервисам Microsoft в паре с Compliance Manager, который оценивает соответствие клиента таким фреймворкам, как ISO 27001, NIST и GDPR.
Почему он на экзамене: Домен 4 явно проверяет Service Trust Portal и Compliance Manager как поверхности, которые клиенты используют для подтверждения состояния соответствия.
Механизм политик, который оценивает сигналы — пользователь, местоположение, состояние устройства, приложение, риск — и применяет средства контроля, такие как MFA, соответствующее устройство или ограничения сессии, перед предоставлением доступа.
Почему он на экзамене: Домен 2 рассматривает Conditional Access как центральную точку применения для сигналов Zero Trust; ожидайте сценарных вопросов о назначении политик и исключениях.
Управляемый сервис для ключей, секретов и сертификатов с защитой ключей на основе HSM, интеграцией управляемых клиентом ключей (CMK) и политиками доступа через RBAC или политики доступа хранилища.
Почему он на экзамене: Домен 3 охватывает защиту секретов и сценарии шифрования CMK — Key Vault является названным хранилищем для всех рабочих нагрузок Azure.
$65k–$92k–$130k USD годовая
SC-900 является базовым сертификатом и редко является решающим фактором в определении компенсации — эти диапазоны отражают роли начального уровня в сфере безопасности и смежных областях в США, где SC-900 является одним из нескольких признаков в резюме. Зарплаты на старших должностях в сфере безопасности (где ожидается наличие SC-200, SC-100, AZ-500 или CISSP) значительно выше.
Источник: Бюро трудовой статистики США OEWS май 2024 (15-1212 аналитики информационной безопасности, медиана ~$120k; 15-1232 поддержка пользователей компьютеров, медиана ~$60k), levels.fyi 2025–2026 роли в сфере безопасности и IT-поддержки. Цифры приблизительны; фактическая компенсация зависит от роли, региона и опыта.
Стек безопасности Microsoft — Defender XDR, Sentinel, Purview, Entra и Intune — является стандартом де-факто для значительной части предприятий, уже использующих Microsoft 365 и Azure, что делает SC-900 одним из наиболее широко признанных сертификатов начального уровня в области безопасности. Рекрутеры используют его как отборочный признак того, что кандидат может использовать терминологию безопасности Microsoft на собеседованиях еще до получения практической роли. Он особенно часто встречается в резюме сотрудников службы поддержки, IT-специалистов широкого профиля, специалистов по соответствию требованиям и предпродажных специалистов партнеров, которые переходят в сферу безопасности, а также для нетехнических заинтересованных сторон (руководителей проектов, менеджеров по работе с клиентами, GRC-руководителей), которым нужна достоверность при обсуждении Zero Trust, условного доступа или DLP с командами безопасности. Сам по себе он не дает права на аналитические или инженерные роли, но хорошо сочетается с SC-200 или AZ-500 в качестве следующего шага.
Формальных предварительных требований нет. Microsoft рекомендует ознакомиться с концепциями сетей и облачных вычислений, иметь общую IT-грамотность и базовое понимание Microsoft Azure и Microsoft 365 — но кандидаты без опыта работы с продуктами Microsoft регулярно сдают экзамен после прохождения официального пути Microsoft Learn (~10–14 часов) и одной практической оценки.
Если вы никогда не использовали Azure или Microsoft 365, прохождение AZ-900 (Azure Fundamentals) или MS-900 (Microsoft 365 Fundamentals) сначала значительно облегчит SC-900: многие вопросы SC-900 предполагают, что вы узнаете основные ресурсы Azure и интерфейс администрирования M365. Три экзамена "уровня 900" значительно перекрываются и часто сдаются вместе кандидатами, создающими основу облачных решений Microsoft. Практические лабораторные работы не являются строго обязательными, но бесплатный клиент разработчика Microsoft 365 и бесплатная учетная запись Azure позволяют вам просматривать порталы Entra, Purview и Defender, что запоминается гораздо лучше, чем просто чтение.
SC-900 оценивается как базовый и является одной из наиболее доступных сертификаций Microsoft. Планируйте 20–40 часов обучения в течение 2–4 недель, если у вас нет предварительного опыта работы с облачными технологиями Microsoft или безопасностью, или 8–15 часов в течение недели, если вы уже знакомы с материалами AZ-900 / MS-900. Экзамен длится около 45 минут и содержит примерно 40–60 вопросов с множественным выбором и множественными ответами; проходной балл составляет 700/1000 по масштабируемой модели оценки.
Самой сложной частью для большинства кандидатов является распознавание названий служб: портфель безопасности Microsoft неоднократно переименовывался и реорганизовывался (Azure AD стал Entra ID, набор Defender объединился в Defender XDR, Microsoft 365 Compliance стал Purview), и вопросы экзамена постоянно проверяют, можете ли вы сопоставить текущее название продукта с правильной возможностью. Запоминание роли каждого продукта — Defender for Endpoint против Defender for Cloud против Defender for Identity, Purview против Priva, Entra ID против Entra Permissions Management — это то, что отличает успешную сдачу от неудачи.
Общая доступность в апреле 2021 года в рамках направления Microsoft Security, Compliance, and Identity Fundamentals. Цели периодически обновляются (последний раз для отражения переименования Azure AD в Entra и ребрендинга Microsoft 365 Compliance в Purview); как фундаментальный экзамен, он не отменяется по годовому циклу, и сертификат не истекает.
SC-900 (Microsoft Security, Compliance, and Identity Fundamentals) — это Foundational-уровневый экзамен, считается экзаменом начального уровня, проверяющим широту концептуального понимания, а не глубокие практические навыки. Большинству кандидатов требуется 30–80 часов обучения, распределенных на 3–6 недель, для экзаменов начального уровня. Большинство кандидатов, которые стабильно набирают баллы выше проходного порога на пробных экзаменах, сдают его с первой попытки.
Большинству кандидатов требуется 30–80 часов обучения, распределенных на 3–6 недель, для экзаменов начального уровня. Время, необходимое для сдачи, сильно варьируется в зависимости от предыдущего опыта. Инженерам с практическим опытом работы с базовой технологией обычно требуется меньше времени; кандидатам, новым для платформы, следует ориентироваться на верхнюю границу этого диапазона.
SC-900 — это признанная квалификация в экосистеме Microsoft, которая подтверждает знания для работодателей, рекрутеров и клиентов. Стоит ли это затраченного времени и платы, зависит от вашей роли и целей — это чаще всего окупается для облачных инженеров, архитекторов и консультантов, которые ежедневно работают с Microsoft или хотят перейти на такие должности.
Проходной балл для SC-900 составляет 700 / 1000. Экзамен содержит 40 вопросов и длится 45 мин.
Стоимость экзамена SC-900 составляет $99 USD. Сборы устанавливаются Microsoft и могут варьироваться в зависимости от региона; всегда уточняйте текущую цену на официальной странице сертификации Microsoft перед бронированием.
Сертификации Microsoft Fundamentals никогда не истекают (AZ-900, AI-900, DP-900, SC-900).
Да. Вы можете сдать экзамен онлайн (с прокторингом через безопасный браузер провайдера, доступный 24/7 в большинстве регионов) или в очном центре тестирования Pearson VUE в рабочее время. Оба формата используют одни и те же вопросы, ограничение по времени и проходной балл.
CertLabPro предлагает 15 режимов обучения по банку практических вопросов для SC-900. Режим симуляции экзамена имитирует реальный экзамен: 40 вопросов за 45 мин, с тем же проходным порогом 700 / 1000. Режим просмотра позволяет статически читать каждый вопрос и ответ.