Audit Manager es una solución de auditoría de cumplimiento que te ayuda a simplificar tu proceso de auditoría de cumplimiento en Google Cloud. Audit Manager te permite ejecutar auditorías en relación con frameworks integrados y personalizados que definas con los frameworks de Compliance Manager o Assured Workloads (versión preliminar).
Audit Manager tiene las siguientes capacidades:
- Una matriz de responsabilidades compartidas que muestra la separación de funciones y las recomendaciones para administrar tus responsabilidades.
- Documentos de cumplimiento de Google Cloud.
- Evaluaciones de cumplimiento automatizadas para evaluar los controles de cumplimiento en las cargas de trabajo y comprender su estado de cumplimiento.
- Recopilación de evidencia para auditorías de cumplimiento.
- Identificación de brechas para ayudar a corregir los incumplimientos generados
- Capacidad de programar auditorías para que se ejecuten a intervalos regulares
El Administrador de auditorías puede proporcionar evaluaciones para cualquier organización, carpeta o proyecto de Google Cloud.
Frameworks compatibles
Audit Manager puede evaluar tus recursos en función de los controles de nube y los controles de los siguientes frameworks integrados:
Si compras suscripciones a Security Command Center Premium o Enterprise, o habilitas Assured Workloads, se aplica lo siguiente:
Cualquier framework personalizado que crees con el Administrador de cumplimiento o los frameworks de Assured Workloads (versión preliminar).
Los siguientes frameworks integrados:
- Recomendaciones IA de Google: Gemini Enterprise Agent Platform [1]
- Comparativa de CIS GCP Foundations v3.0
- CIS GKE 1.7 [1]
- CIS Critical Security Controls v8
- Matriz de controles en la nube de CSA v4.0.11
- Conceptos básicos de seguridad de Compute Engine [1]
- GKE Essentials [1]
- ISO 27001:2022
- Estándar Nacional de Garantía de la Información de Catar v2.1
- NIST 800-53 Revisión 5
- Marco de seguridad cibernética de NIST 1.1
- PCI DSS v4.0.1
Los siguientes frameworks integrados de Assured Workloads:
1 Si ejecutas una auditoría a nivel de la organización, estos frameworks están disponibles en Disponibilidad general. Todos los demás frameworks están disponibles en versión preliminar.
Migra desde frameworks anteriores
Si ejecutaste una auditoría antes del 30 de junio de 2026, usaste frameworks diferentes. Estos frameworks ya no están disponibles para ejecutar auditorías. En la siguiente tabla, se asignan los frameworks más antiguos a los que puedes implementar con el Administrador de cumplimiento o los frameworks de Assured Workloads (versión preliminar).
| Framework más antiguo | Framework equivalente del Administrador de auditorías | Framework equivalente del Administrador de cumplimiento | Marcos de Assured Workloads equivalentes (versión preliminar) |
|---|---|---|---|
| NIST 800-53 Revisión 4 | — | NIST 800-53 Revisión 5 | NIST 800-53 Revisión 5 |
| Controles de IA recomendados por Google | — | —[2] | —[2] |
| SOC2 2017 | SOC2 2017 | SOC2 2017 | SOC2 2017 |
| CIS Controls v8. | — | CIS Critical Security Controls v8 | Controles de seguridad críticos de CIS v8 |
| PCI DSS 4.0 | — | PCI DSS v4.0.1 | PCI DSS v4.0.1 |
| Cloud Controls Matrix 4.0 | — | Matriz de controles en la nube de CSA v4.0.11 | Matriz de controles en la nube de CSA v4.0.11 |
| CSF de NIST v1 | — | Marco de ciberseguridad del NIST 1.1 | Marco de ciberseguridad del NIST 1.1 |
| Comparativas de CIS para Google Cloud Foundation 2.0 | — | Comparativas de CIS para GCP Foundations v3.0 | Comparativas de CIS para GCP Foundations v3.0 |
| ISO 27001 2022 | — | ISO 27001:2022 | ISO 27001:2022 |
Si ejecutaste auditorías con los frameworks anteriores, puedes seguir viendo los informes de auditoría en la página Ver evaluaciones y en los buckets de Cloud Storage en los que almacenaste los informes.
2 Los frameworks de Compliance Manager y Assured Workloads (versión preliminar) incluyen el framework integrado Nociones básicas de la IA recomendadas por Google: Gemini Enterprise Agent Platform. Puedes usar este framework en lugar del framework de controles de IA más antiguo recomendado por Google, aunque usa controles diferentes para evaluar tu entorno.
Frameworks personalizados
Antes del 30 de junio de 2026, Audit Manager incluía una función de versión preliminar que te permitía crear frameworks personalizados. Si creaste un framework personalizado con esa función de versión preliminar, puedes seguir ejecutando auditorías en el framework personalizado y ver los informes que creaste. Sin embargo, no puedes ver ni editar tu marco de trabajo personalizado.
Si ninguno de los frameworks integrados en Audit Manager se aplica a tu entorno, puedes usar las siguientes opciones:
Crea un marco de trabajo personalizado en el Administrador de cumplimiento. El Administrador de cumplimiento incluye una biblioteca de controles de nube integrados, y puedes crear controles de nube personalizados, si es necesario. Después de crear este framework, puedes usar el Administrador de auditorías o el Administrador de cumplimiento para ejecutar auditorías en tu entorno.
Crea un framework personalizado en los frameworks de Assured Workloads (versión preliminar). Los controles de nube integrados para los frameworks de Assured Workloads incluyen la biblioteca de controles de nube de Compliance Manager y una biblioteca de controles de nube preventivos que son específicos para las cargas de trabajo regulatorias. También puedes usar los frameworks de Assured Workloads para crear controles de nube personalizados, si es necesario. Si creas un framework que incluye controles preventivos, solo puedes usar Audit Manager para ejecutar auditorías en tu entorno.
Controles y controles de la nube
Audit Manager incluye controles y controles de nube en sus frameworks. Ten en cuenta lo siguiente:
Los controles son objetivos generales que te permiten evaluar la protección de los recursos, la mitigación de riesgos y los objetivos regulatorios de la empresa. Los controles pueden estar compuestos por controles de nube técnicos y no técnicos.
Los controles de la nube son controles definidos por software que verifican parámetros de configuración específicos en tu entorno de Google Cloud . La mayoría de los controles de nube son técnicos. Por ejemplo, un control es un requisito regulatorio para auditar tu entorno, y un control de nube es el mecanismo específico para garantizar que los Registros de auditoría de Cloud estén habilitados para varias APIs.
Los frameworks son colecciones de controles y controles de la nube que te ayudan a cumplir con un estándar regulatorio en particular. Por ejemplo, Audit Manager incluye un framework para ISO 27001 2022. Los controles de nube y los controles técnicos incluyen una o más reglas que Audit Manager puede verificar durante una auditoría y recopilar evidencia para ellas.
Cómo se auditan los controles y los controles de la nube
La forma en que Audit Manager audita un control o un control de nube depende de si Audit Manager puede evaluar técnicamente el control o el control de nube. Ten en cuenta lo siguiente:
Algunos controles o controles de la nube requieren revisiones manuales porque no hay llamadas a la API que el Administrador de auditorías pueda realizar para validarlos. Por ejemplo, un control puede requerir que revises los sistemas de acceso que no están en Google Cloud. Si un control o un control de la nube requiere una revisión manual, el Administrador de auditorías crea una observación que te indica que debes completar la revisión por tu cuenta. Es posible que se generen pruebas técnicas. El estado del control o del control de la nube es Opcional: Se necesita una revisión manual.
Algunos controles o controles de la nube se aplican directamente a un valor específico en Google Cloud. Por ejemplo, un control de la nube puede requerir que actives CMEK para los buckets de Cloud Storage. En esta situación, el Administrador de auditorías puede realizar una llamada a la API para verificar un parámetro de configuración específico. El valor que se devuelve es la evidencia. Luego, el Administrador de auditorías puede evaluar si la evidencia cumple o no con las reglas esperadas. Audit Manager crea una observación que incluye la evidencia y la evaluación. El estado de un control o control de nube puede ser cualquiera de los siguientes:
Si el Administrador de auditorías evalúa que la evidencia cumple con la regla, el estado del control o del control de la nube es Cumplimiento.
Si el Administrador de auditorías evalúa que la evidencia no cumple con la regla, el estado del control o del control de la nube es Incumplimiento. En el caso de los controles o controles de nube que incluyen varias reglas, si alguna de ellas falla, el estado es con errores.
Si el Administrador de auditorías encuentra algún tipo de error durante este proceso (por ejemplo, se agotó el tiempo de espera de una llamada a la API), el estado del control o del control de la nube es Omitido.
Flujo de trabajo del Gestor de auditorías
El flujo de trabajo de alto nivel de Audit Manager implica configurar el acceso a Audit Manager y administrar las auditorías.
- Para configurar el acceso a Audit Manager, debes ser administrador de Audit Manager
(
roles/auditmanager.admin) y registrar los recursos para la auditoría. - Para administrar auditorías, puedes ser administrador o auditor y hacer lo siguiente:
- Programar auditorías y ejecutarlas on demand
- Obtener el estado de la auditoría
- Ver informes detallados del Administrador de auditorías