Audit Manager 簡介

Audit Manager 是法規遵循稽核解決方案，可協助您簡化 Google Cloud的法規遵循稽核程序。Audit Manager 可讓您根據內建架構和自訂架構執行稽核，這些架構是使用 Compliance Manager 或 Assured Workloads 架構 (預先發布版) 定義。

稽核管理員具備下列功能：

• 共同責任矩陣，顯示分散權責和管理責任的建議。
• Google Cloud的法規遵循文件。
• 自動化法規遵循評估，評估工作負載的法規遵循控管機制，瞭解其法規遵循狀態。
• 收集法規遵循稽核證據。
• 找出落差，協助修正產生的違規事項。
• 可排定定期執行稽核。

Audit Manager 可為任何 Google Cloud組織、資料夾或專案提供評估。

支援的架構

Audit Manager 可依據雲端控制選項和下列內建架構的控制選項，評估您的資源：

• Security Essentials ^[1]
• SOC2 2017

如果您購買 Security Command Center Premium 或 Enterprise 訂閱方案，或啟用 Assured Workloads，則：

• 您使用 Compliance Manager 或 Assured Workloads 架構 (預先發布版) 建立的任何自訂架構。

• 下列內建架構：

  • Google Recommendations AI - Gemini Enterprise Agent Platform ^[1]
  • CIS GCP Foundations 基準 v3.0
  • CIS GKE 1.7 ^[1]
  • CIS Critical Security Controls 第 8 版
  • CSA Cloud Controls Matrix v4.0.11
  • Compute Engine Security Essentials ^[1]
  • GKE Essentials ^[1]
  • ISO 27001:2022
  • 卡達國家資訊安全標準 2.1 版
  • NIST 800-53 修訂版 5
  • NIST 網路安全架構 1.1
  • PCI DSS 4.0.1 版

• 下列內建 Assured Workloads 架構：

  • 歐盟資料邊界
  • 瑞士資料邊界
  • 英國資料邊界
  • 美國資料邊界

¹ 如果您在組織層級執行稽核，這些架構已正式發布。所有其他架構均為預先發布版。

從舊版架構遷移

如果您在 2026 年 6 月 30 日前執行稽核，則使用的是其他架構。這些架構已無法用於執行稽核。下表將舊版架構對應至可使用 Compliance Manager 或 Assured Workloads 架構 (預先發布版) 部署的架構。

舊版架構	相應的 Audit Manager 架構	對應的 Compliance Manager 架構	(預先發布版) 同等 Assured Workloads 架構
NIST 800-53 Revision 4	—	NIST 800-53 修訂版本 5	NIST 800-53 修訂版本 5
Google 建議採用的 AI 控管機制	—	—^[2]	—^[2]
SOC2 2017	SOC2 2017	SOC2 2017	SOC2 2017
CIS Controls v8	—	CIS Critical Security Controls 第 8 版	CIS Critical Security Controls v8
PCI DSS 4.0	—	PCI DSS 4.0.1 版	PCI DSS 4.0.1 版
Cloud Controls Matrix 4.0	—	CSA Cloud Controls Matrix 4.0.11 版	CSA Cloud Controls Matrix 4.0.11 版
NIST CSF v1	—	NIST 網路安全架構 1.1	NIST 網路安全架構 1.1
CIS Google Cloud Foundation 基準 2.0	—	CIS GCP Foundations Benchmark 3.0 版	CIS GCP Foundations Benchmark 3.0 版
ISO 27001 2022	—	ISO 27001:2022	ISO 27001:2022

如果您使用舊版架構執行稽核，可以繼續在「View assessments」(查看評估) 頁面和儲存報表的 Cloud Storage bucket 中查看稽核報表。

² Compliance Manager 和 Assured Workloads 架構 (預先發布版) 都包含 Google 建議採用的 AI 基礎功能 - Gemini Enterprise Agent Platform 內建架構。您可以使用這個架構，取代 Google 建議的舊版 AI 控制項架構，但這個架構會使用不同的控制項來評估環境。

自訂架構

2026 年 6 月 30 日前，稽核管理工具提供預先發布版功能，可讓您建立自訂架構。如果您使用該預先發布版功能建立了自訂架構，可以繼續對自訂架構執行稽核，並查看建立的報表。但無法查看或編輯自訂架構。

如果 Audit Manager 的內建架構都不適用於您的環境，可以使用下列選項：

• 在法規遵循管理工具中建立自訂架構。法規遵循管理工具包含內建雲端控管機制程式庫，您也可以視需要建立自訂雲端控管機制。建立這個架構後，您可以使用 Audit Manager 或 Compliance Manager，在環境中執行稽核。

• 在 Assured Workloads 架構 (預先發布版) 中建立自訂架構。Assured Workloads 架構的內建雲端控管機制包括 Compliance Manager 雲端控管機制程式庫，以及專為法規工作負載設計的預防性雲端控管機制程式庫。如有需要，您也可以使用 Assured Workloads 架構建立自訂雲端控管機制。如果建立的架構包含預防性控管機制，您只能使用 Audit Manager 在環境中執行稽核。

控管機制和雲端控管機制

稽核管理工具的架構包含控管機制和雲端控管機制。請考量下列事項：

• 控管措施是一般目標，可讓您評估資產保護、風險控管和業務法規目標。控管機制可由技術和非技術雲端控管機制組成。

• 雲端控制項是軟體定義的控制項，可檢查 Google Cloud 環境中的特定設定。大多數雲端控管機制都屬於技術層面。舉例來說，控管措施是稽核環境的法規要求，而雲端控管措施則是確保各種 API 啟用 Cloud 稽核記錄的特定機制。

• 架構是由控管機制和雲端控管機制組成的集合，可協助您符合特定法規標準。舉例來說，Audit Manager 包含 ISO 27001 2022 的架構。雲端控管機制和技術控管機制包含一或多項規則，稽核管理員可在稽核期間檢查這些規則，並收集相關證據。

如何稽核控管機制和雲端控管機制

Audit Manager 稽核控制項或雲端控制項的方式，取決於 Audit Manager 是否能以技術評估控制項或雲端控制項。請考量下列事項：

• 某些控制項或雲端控制項需要手動審查，因為 Audit Manager 無法透過 API 呼叫驗證這些控制項。舉例來說，某項控管機制可能會要求您審查不在Google Cloud中的存取系統。如果控管機制或雲端控管機制需要手動審查，稽核管理員會建立觀測項目，告知您必須自行完成審查。系統可能會產生技術證據。控管機制或雲端控管機制的狀態為「Optional: Manual Review Needed」(選用：需要人工審查)。

• 部分控制項或雲端控制項會直接套用至Google Cloud中的特定值。例如，雲端控制項可以要求您為 Cloud Storage bucket 啟用 CMEK。在這種情況下，稽核管理員可以發出 API 呼叫來檢查特定設定。傳回的值就是「證據」。接著，稽核管理員可以評估證據是否符合預期規則。Audit Manager 會建立觀察結果，其中包含證據和評估結果。控管機制或雲端控管機制的狀態可能是下列任一項：

  • 如果 Audit Manager 評估證據後認為符合規則，控管機制或雲端控管機制的狀態就會是「Compliance」(法規遵循)。

  • 如果稽核管理員評估證據後，判定不符合規則，控管機制或雲端控管機制的狀態就會是「Violation」(違規)。如果控管機制或雲端控管機制包含多項規則，只要有任何規則失敗，狀態就會是「失敗」。

  • 如果稽核管理工具在這個過程中遇到任何類型的錯誤 (例如 API 呼叫逾時)，控管機制或雲端控管機制的狀態就會是「Skipped」(已略過)。

Audit Manager 工作流程

Audit Manager 的高階工作流程包括設定 Audit Manager 存取權和管理稽核。

1. 如要設定 Audit Manager 存取權，您必須是 Audit Manager 管理員 (roles/auditmanager.admin)，並註冊要稽核的資源。
2. 如要管理稽核，您必須是管理員或稽核者，並執行下列操作：
   1. 安排稽核時間，並隨選執行稽核。
   2. 取得稽核狀態。
   3. 查看詳細的稽核管理工具報表。

後續步驟

• 註冊資源以利稽核。
• 安排及執行稽核。