Parece simples até o entrevistador perguntar "why?". Abaixo, uma estrutura de resposta que dá conta do follow-up.
A resposta, como você fala na entrevista
A VPC is a logically isolated network. A public subnet has a route to an internet gateway. That route alone does not make every resource public. Internet access also depends on addressing and security rules. Prefer private subnets for databases, with only required service access. Security groups are stateful traffic filters attached to supported resources.
Source: AWS VPC networking.
Ler é o primeiro passo. No app, essa pergunta vira flashcard com repetição espaçada, e o módulo tem quiz e simulado para testar o que ficou.
Treinar essa pergunta no app