Audit Manager est une solution d'audit de conformité qui vous aide à simplifier votre processus d'audit de conformité sur Google Cloud. Le gestionnaire d'audits vous permet d'effectuer des audits sur des frameworks intégrés et des frameworks personnalisés que vous définissez à l'aide de Compliance Manager ou des frameworks Assured Workloads (preview).
Le gestionnaire d'audit dispose des fonctionnalités suivantes :
- Une matrice de responsabilités partagées qui montre la séparation des tâches et des recommandations pour gérer vos responsabilités.
- Documents de conformité pour Google Cloud.
- Évaluations de conformité automatisées pour évaluer les contrôles de conformité sur les charges de travail afin de comprendre leur état de conformité.
- Collecte de preuves pour les audits de conformité.
- Identification des lacunes pour corriger les cas de non-conformité générés.
- Possibilité de planifier des audits à intervalles réguliers.
Audit Manager peut fournir des évaluations pour n'importe quel Google Cloud organisation, dossier ou projet.
Frameworks compatibles
Audit Manager peut évaluer vos ressources par rapport aux contrôles cloud et aux contrôles des frameworks intégrés suivants :
Si vous souscrivez des abonnements Security Command Center Premium ou Enterprise ou si vous activez Assured Workloads, les éléments suivants :
Tout framework personnalisé que vous créez à l'aide du Gestionnaire de conformité ou des frameworks Assured Workloads (preview).
Les frameworks intégrés suivants :
- Principes essentiels de l'IA recommandés par Google - Gemini Enterprise Agent Platform [1]
- CIS GCP Foundations Benchmark v3.0
- CIS GKE 1.7 [1]
- CIS Critical Security Controls v8
- CSA Cloud Controls Matrix v4.0.11
- Compute Engine Security Essentials [1]
- GKE Essentials [1]
- ISO 27001:2022
- Norme nationale d'assurance des informations du Qatar v2.1
- NIST 800-53, révision 5
- NIST Cybersecurity Framework 1.1
- PCI DSS v4.0.1
Les frameworks Assured Workloads intégrés suivants :
1 Si vous exécutez un audit au niveau de l'organisation, ces frameworks sont en disponibilité générale. Tous les autres frameworks sont disponibles en preview.
Migrer depuis d'anciens frameworks
Si vous avez effectué un audit avant le 30 juin 2026, vous avez utilisé des frameworks différents. Ces frameworks ne sont plus disponibles pour l'exécution d'audits. Le tableau suivant met en correspondance les anciens frameworks avec ceux que vous pouvez déployer à l'aide de Compliance Manager ou des frameworks Assured Workloads (preview).
| Ancien framework | Framework Audit Manager équivalent | Framework Compliance Manager équivalent | (Preview) Frameworks Assured Workloads équivalents |
|---|---|---|---|
| NIST 800-53 (révision 4) | — | NIST 800-53 (révision 5) | NIST 800-53 (révision 5) |
| Contrôles d'IA recommandés par Google | — | —[2] | —[2] |
| SOC2 2017 | SOC2 2017 | SOC2 2017 | SOC2 2017 |
| CIS Controls v8 | — | CIS Critical Security Controls v8 | CIS Critical Security Controls v8 |
| PCI DSS 4.0 | — | PCI DSS v4.0.1 | PCI DSS v4.0.1 |
| Cloud Controls Matrix 4.0 | — | CSA Cloud Controls Matrix v4.0.11 | CSA Cloud Controls Matrix v4.0.11 |
| NIST CSF v1 | — | NIST Cybersecurity Framework 1.1 | NIST Cybersecurity Framework 1.1 |
| Benchmark CIS Google Cloud Foundation 2.0 | — | Benchmark CIS GCP Foundations v3.0 | Benchmark CIS GCP Foundations v3.0 |
| ISO 27001 2022 | — | ISO 27001:2022 | ISO 27001:2022 |
Si vous avez exécuté des audits à l'aide des anciens frameworks, vous pouvez continuer à consulter les rapports d'audit sur la page Afficher les évaluations et dans les buckets Cloud Storage où vous avez stocké les rapports.
2 Les frameworks Compliance Manager et Assured Workloads (preview) incluent le framework intégré Principes essentiels de l'IA recommandés par Google - Gemini Enterprise Agent Platform. Vous pouvez utiliser ce framework au lieu de l'ancien framework de contrôles d'IA recommandé par Google, bien qu'il utilise des contrôles différents pour évaluer votre environnement.
Frameworks personnalisés
Avant le 30 juin 2026, Audit Manager incluait une fonctionnalité en preview qui vous permettait de créer des frameworks personnalisés. Si vous avez créé un framework personnalisé à l'aide de cette fonctionnalité en preview, vous pouvez continuer à exécuter des audits sur le framework personnalisé et à afficher les rapports que vous avez créés. Toutefois, vous ne pouvez pas afficher ni modifier votre framework personnalisé.
Si aucun des frameworks intégrés d'Audit Manager ne s'applique à votre environnement, vous pouvez utiliser les options suivantes :
Créer un framework personnalisé dans Compliance Manager. Compliance Manager inclut une bibliothèque de contrôles cloud intégrés, et vous pouvez créer des contrôles cloud personnalisés si nécessaire. Une fois ce framework créé, vous pouvez utiliser Audit Manager ou Compliance Manager pour exécuter des audits dans votre environnement.
Créer un framework personnalisé dans les frameworks Assured Workloads (preview). Les contrôles cloud intégrés pour les frameworks Assured Workloads incluent la bibliothèque de contrôles cloud de Compliance Manager et une bibliothèque de contrôles cloud préventifs spécifiques aux charges de travail réglementaires. Vous pouvez également utiliser les frameworks Assured Workloads pour créer des contrôles cloud personnalisés, si nécessaire. Si vous créez un framework incluant des contrôles préventifs, vous ne pouvez utiliser Audit Manager que pour exécuter des audits dans votre environnement.
Contrôles et contrôles cloud
Audit Manager inclut des contrôles et des contrôles cloud dans ses frameworks. Tenez compte des points suivants :
Les contrôles sont des objectifs généraux qui vous permettent d'évaluer la protection des éléments, l'atténuation des risques et les objectifs réglementaires de l'entreprise. Les contrôles peuvent être composés de contrôles cloud techniques et non techniques.
Les contrôles cloud sont des contrôles définis par logiciel qui vérifient des configurations particulières dans votre environnement Google Cloud . La plupart des contrôles cloud sont techniques. Par exemple, un contrôle est une exigence réglementaire d'audit de votre environnement, et un contrôle cloud est le mécanisme spécifique permettant de s'assurer que Cloud Audit Logs est activé pour différentes API.
Les frameworks sont des collections de contrôles et de contrôles cloud qui vous aident à respecter une norme réglementaire particulière. Par exemple, le gestionnaire d'audits inclut un framework pour ISO 27001 2022. Les contrôles cloud et les contrôles techniques incluent une ou plusieurs règles qu'Audit Manager peut vérifier lors d'un audit et pour lesquelles il peut collecter des preuves.
Comment les contrôles et les contrôles cloud sont audités
La manière dont le gestionnaire d'audits audite un contrôle ou un contrôle cloud dépend de sa capacité à évaluer techniquement le contrôle ou le contrôle cloud. Tenez compte des points suivants :
Certains contrôles ou contrôles cloud nécessitent des examens manuels, car le gestionnaire d'audits ne peut pas effectuer d'appels d'API pour les valider. Par exemple, un contrôle peut vous obliger à examiner des systèmes d'accès qui ne se trouvent pas dansGoogle Cloud. Si un contrôle ou un contrôle cloud nécessite un examen manuel, Audit Manager crée une observation qui vous indique que vous devez effectuer l'examen vous-même. Des preuves techniques peuvent être générées. L'état du contrôle ou du contrôle cloud est Facultatif : examen manuel requis.
Certains contrôles ou contrôles cloud s'appliquent directement à une valeur particulière dansGoogle Cloud. Par exemple, un contrôle cloud peut exiger que vous activiez les CMEK pour les buckets Cloud Storage. Dans ce scénario, Audit Manager peut effectuer un appel d'API pour vérifier un paramètre particulier. La valeur renvoyée est la preuve. Audit Manager peut ensuite évaluer si les preuves respectent ou non les règles attendues. Audit Manager crée une observation qui inclut les preuves et l'évaluation. L'état d'un contrôle ou d'un contrôle cloud peut être l'un des suivants :
Si Audit Manager évalue que la preuve respecte la règle, l'état du contrôle ou du contrôle cloud est Conformité.
Si Audit Manager évalue que la preuve ne respecte pas la règle, l'état du contrôle ou du contrôle cloud est Violation. Pour les contrôles ou les contrôles cloud qui incluent plusieurs règles, si une règle échoue, l'état est Échec.
Si Audit Manager rencontre une erreur au cours de ce processus (par exemple, un appel d'API a expiré), l'état du contrôle ou du contrôle cloud est Ignoré.
Workflow Audit Manager
Le workflow général du gestionnaire d'audits implique de configurer l'accès au gestionnaire d'audits et de gérer les audits.
- Pour configurer l'accès au Gestionnaire d'audits, vous devez être administrateur du Gestionnaire d'audits (
roles/auditmanager.admin) et enregistrer des ressources pour l'audit. - Pour gérer les audits, vous pouvez être administrateur ou auditeur et effectuer les opérations suivantes :
- Planifier des audits et exécuter des audits à la demande.
- Obtenir l'état de l'audit.
- Afficher des rapports Audit Manager détaillés.