Audit Manager – Übersicht

Audit Manager ist eine Compliance-Audit-Lösung, mit der Sie Ihren Compliance-Audit-Prozess in Google Cloudvereinfachen können. Mit Audit Manager können Sie Audits anhand von integrierten Frameworks und benutzerdefinierten Frameworks ausführen, die Sie mit Compliance Manager- oder Assured Workloads-Frameworks (Vorschau) definieren.

Audit Manager bietet die folgenden Funktionen:

  • Eine Matrix der gemeinsamen Verantwortung, die die Aufgabentrennung und Empfehlungen für die Verwaltung Ihrer Verantwortlichkeiten zeigt.
  • Compliance-Dokumente für Google Cloud.
  • Automatisierte Compliance-Bewertungen, um Compliance-Kontrollen für Arbeitslasten zu bewerten und ihren Compliance-Status zu ermitteln.
  • Erfassung von Nachweisen für Compliance-Audits.
  • Identifizierung von Lücken, um die generierten Verstöße zu beheben.
  • Möglichkeit, Audits in regelmäßigen Abständen zu planen.

Audit Manager kann Bewertungen für jede Organisation, jeden Ordner oder jedes Projekt von Google Cloudbereitstellen.

Unterstützte Frameworks

Audit Manager kann Ihre Ressourcen anhand der Cloud-Kontrollen und Kontrollen für die folgenden integrierten Frameworks bewerten:

Wenn Sie Security Command Center Premium- oder Enterprise-Abos kaufen oder Assured Workloads aktivieren, gilt Folgendes:

1 Wenn Sie eine Prüfung auf Organisationsebene ausführen, sind diese Frameworks in der allgemeinen Verfügbarkeit verfügbar. Alle anderen Frameworks sind in der Vorabversion verfügbar.

Von älteren Frameworks migrieren

Wenn Sie vor dem 30. Juni 2026 eine Prüfung durchgeführt haben, wurden andere Frameworks verwendet. Diese Frameworks sind nicht mehr für die Ausführung von Audits verfügbar. In der folgenden Tabelle werden die älteren Frameworks den Frameworks zugeordnet, die Sie mit Compliance Manager oder Assured Workloads-Frameworks (Vorschau) bereitstellen können.

Älteres Framework Entsprechendes Audit Manager-Framework Entsprechendes Compliance-Manager-Framework (Vorabversion) Äquivalente Assured Workloads-Frameworks
NIST 800-53 Version 4 – NIST 800-53 Version 5 NIST 800-53 Version 5
Von Google empfohlene KI-Kontrollen – —[2] —[2]
SOC2 2017 SOC2 2017 SOC2 2017 SOC2 2017
CIS Controls v8 – CIS Critical Security Controls v8 CIS Critical Security Controls v8
PCI-DSS 4.0 – PCI DSS v4.0.1 PCI DSS v4.0.1
Cloud Controls Matrix 4.0 – CSA Cloud Controls Matrix v4.0.11 CSA Cloud Controls Matrix v4.0.11
NIST CSF v1 – NIST Cybersecurity Framework 1.1 NIST Cybersecurity Framework 1.1
CIS Google Cloud Foundation Benchmark 2.0 – CIS GCP Foundations Benchmark 3.0 CIS GCP Foundations Benchmark 3.0
ISO 27001 2022 – ISO 27001:2022 ISO 27001:2022

Wenn Sie Audits mit den älteren Frameworks ausgeführt haben, können Sie die Auditberichte weiterhin auf der Seite Bewertungen ansehen und in den Cloud Storage-Buckets aufrufen, in denen Sie die Berichte gespeichert haben.

2 Sowohl das Compliance Manager- als auch das Assured Workloads-Framework (Vorabversion) enthalten das integrierte Framework Von Google empfohlene KI-Grundlagen – Gemini Enterprise Agent Platform. Sie können dieses Framework anstelle des älteren, von Google empfohlenen KI-Kontroll-Frameworks verwenden. Es verwendet jedoch andere Kontrollen, um Ihre Umgebung zu bewerten.

Benutzerdefinierte Frameworks

Vor dem 30. Juni 2026 enthielt Audit Manager eine Funktion in der Vorabversion, mit der Sie benutzerdefinierte Frameworks erstellen konnten. Wenn Sie mit dieser Funktion in der Vorabversion ein benutzerdefiniertes Framework erstellt haben, können Sie weiterhin Audits für das benutzerdefinierte Framework ausführen und die von Ihnen erstellten Berichte aufrufen. Sie können Ihr benutzerdefiniertes Framework jedoch nicht ansehen oder bearbeiten.

Wenn keines der integrierten Frameworks in Audit Manager auf Ihre Umgebung zutrifft, können Sie die folgenden Optionen verwenden:

Kontrollen und Cloud-Kontrollen

Der Audit Manager umfasst Kontrollen und Cloud-Kontrollen in seinen Frameworks. Berücksichtige Folgendes:

  • Kontrollen sind allgemeine Ziele, mit denen Sie den Schutz von Assets, die Risikominderung und die regulatorischen Ziele des Unternehmens bewerten können. Kontrollen können aus technischen und nicht technischen Cloud-Kontrollen bestehen.

  • Cloud-Steuerelemente sind softwarebasierte Steuerelemente, die nach bestimmten Konfigurationen in Ihrer Google Cloud -Umgebung suchen. Die meisten Cloud-Kontrollen sind technischer Art. Eine Kontrolle ist beispielsweise eine regulatorische Anforderung, Ihre Umgebung zu prüfen, und eine Cloud-Kontrolle ist der spezifische Mechanismus, mit dem sichergestellt wird, dass Cloud-Audit-Logs für verschiedene APIs aktiviert sind.

  • Frameworks sind Sammlungen von Kontrollen und Cloud-Kontrollen, mit denen Sie einen bestimmten regulatorischen Standard erfüllen können. Audit Manager enthält beispielsweise ein Framework für ISO 27001 2022. Cloud-Kontrollen und technische Kontrollen umfassen eine oder mehrere Regeln, die Audit Manager während eines Audits prüfen und für die Nachweise erfasst werden können.

Wie Kontrollen und Cloud-Kontrollen geprüft werden

Wie Audit Manager eine Kontrolle oder Cloud-Kontrolle prüft, hängt davon ab, ob Audit Manager die Kontrolle oder Cloud-Kontrolle technisch bewerten kann. Berücksichtige Folgendes:

  • Einige Kontrollen oder Cloud-Kontrollen erfordern manuelle Überprüfungen, da es keine API-Aufrufe gibt, die Audit Manager zur Validierung ausführen kann. Beispielsweise kann eine Kontrolle erfordern, dass Sie Zugriffssysteme prüfen, die nicht inGoogle Cloudenthalten sind. Wenn für eine Kontrolle oder Cloud-Kontrolle eine manuelle Überprüfung erforderlich ist, erstellt Audit Manager eine Beobachtung, die Sie darüber informiert, dass Sie die Überprüfung selbst durchführen müssen. Es können technische Beweise generiert werden. Der Status des Steuerelements oder der Cloud-Steuerung ist Optional: Manuelle Überprüfung erforderlich.

  • Einige Kontrollen oder Cloud-Kontrollen gelten direkt für einen bestimmten Wert inGoogle Cloud. Eine Cloud-Steuerung kann beispielsweise erfordern, dass Sie CMEK für Cloud Storage-Buckets aktivieren. In diesem Szenario kann Audit Manager einen API-Aufruf ausführen, um eine bestimmte Einstellung zu prüfen. Der zurückgegebene Wert ist der Nachweis. Audit Manager kann dann bewerten, ob die Nachweise die erwarteten Regeln erfüllen oder nicht. Audit Manager erstellt eine Beobachtung, die den Nachweis und die Bewertung enthält. Der Status einer Kontrolle oder Cloud-Kontrolle kann einer der folgenden sein:

    • Wenn Audit Manager die Nachweise als regelkonform bewertet, lautet der Status der Kontrolle oder Cloud-Kontrolle Compliance.

    • Wenn der Audit Manager die Nachweise als nicht regelkonform einstuft, lautet der Status der Kontrolle oder Cloud-Kontrolle Verstoß. Wenn bei Kontrollen oder Cloud-Kontrollen mit mehreren Regeln eine Regel fehlschlägt, ist der Status Fehlgeschlagen.

    • Wenn Audit Manager während dieses Vorgangs einen Fehler feststellt (z. B. ein API-Aufruf-Timeout), wird der Status der Kontrolle oder Cloud-Kontrolle auf Übersprungen gesetzt.

Audit Manager-Workflow

Der allgemeine Workflow von Audit Manager umfasst das Einrichten des Zugriffs auf Audit Manager und das Verwalten von Audits.

  1. Um den Zugriff auf Audit Manager einzurichten, müssen Sie Audit Manager-Administrator (roles/auditmanager.admin) sein und Ressourcen für die Prüfung registrieren.
  2. Als Administrator oder Auditor können Sie Audits verwalten und Folgendes tun:
    1. Audits planen und On-Demand-Audits ausführen.
    2. Auditstatus abrufen.
    3. Detaillierte Audit Manager-Berichte ansehen.

Nächste Schritte