O Audit Manager é uma solução de auditoria de compliance que ajuda a simplificar o processo de auditoria de compliance no Google Cloud. Com o Audit Manager, é possível executar auditorias em frameworks integrados e personalizados que você define usando os frameworks do Compliance Manager ou do Assured Workloads (pré-lançamento).
O Gerenciador de Auditoria tem os seguintes recursos:
- Uma matriz de responsabilidades compartilhadas que mostra a segregação de funções e recomendações para gerenciar suas responsabilidades.
- Documentos de compliance para o Google Cloud.
- Avaliações de compliance automatizadas para avaliar os controles de compliance em cargas de trabalho e entender o estado de compliance delas.
- Coleta de evidências para auditorias de compliance.
- Identificação de lacunas para ajudar a corrigir as violações geradas.
- Capacidade de programar auditorias para serem executadas em intervalos regulares.
O Audit Manager pode fornecer avaliações para qualquer organização, pasta ou projeto do Google Cloud.
Frameworks compatíveis
O Audit Manager pode avaliar seus recursos em relação aos controles de nuvem e aos controles dos seguintes frameworks integrados:
Se você comprar assinaturas do Security Command Center Premium ou Enterprise ou ativar o Assured Workloads, o seguinte:
Qualquer framework personalizado que você criar usando o Gerenciador de compliance ou os frameworks do Assured Workloads (pré-lançamento).
Os seguintes frameworks integrados:
- Recommendations AI do Google: Gemini Enterprise Agent Platform [1]
- Comparativo de mercado do CIS GCP Foundations v3.0
- CIS GKE 1.7 [1]
- CIS Critical Security Controls v8
- Matriz de controles da nuvem da CSA v4.0.11
- Princípios básicos de segurança do Compute Engine [1]
- GKE Essentials [1]
- ISO 27001:2022
- Padrão Nacional de Garantia de Informações do Catar v2.1
- NIST 800-53 Revisão 5
- Framework de segurança cibernética do NIST 1.1
- PCI DSS v4.0.1
Os seguintes frameworks integrados do Assured Workloads:
1 Se você executar uma auditoria no nível da organização, esses frameworks estarão disponíveis em Disponibilidade geral. Todos os outros frameworks estão disponíveis em pré-lançamento.
Como migrar de frameworks mais antigos
Se você realizou uma auditoria antes de 30 de junho de 2026, usou frameworks diferentes. Esses frameworks não estão mais disponíveis para a execução de auditorias. A tabela a seguir mapeia os frameworks mais antigos para os frameworks que podem ser implantados usando o Compliance Manager ou o Assured Workloads (pré-lançamento).
| Framework mais antigo | Framework equivalente do Audit Manager | Framework equivalente do Compliance Manager | (Pré-lançamento) Frameworks equivalentes do Assured Workloads |
|---|---|---|---|
| Revisão 4 da NIST 800-53 | — | Revisão 5 da NIST 800-53 | Revisão 5 da NIST 800-53 |
| Controles de IA recomendados pelo Google | — | —[2] | —[2] |
| SOC2 2017 | SOC2 2017 | SOC2 2017 | SOC2 2017 |
| CIS Controls v8 | — | CIS Critical Security Controls v8 | CIS Critical Security Controls v8 |
| PCI DSS 4.0 | — | PCI DSS v4.0.1 | PCI DSS v4.0.1 |
| Matriz de controles de nuvem 4.0 | — | Matriz de controles de nuvem da CSA v4.0.11 | Matriz de controles de nuvem da CSA v4.0.11 |
| NIST CSF v1 | — | Framework de segurança cibernética do NIST 1.1 | Framework de segurança cibernética do NIST 1.1 |
| CIS Google Cloud Foundation Benchmark 2.0 | — | CIS GCP Foundations Benchmark v3.0 | CIS GCP Foundations Benchmark v3.0 |
| ISO 27001 2022 | — | ISO 27001:2022 | ISO 27001:2022 |
Se você tiver executado auditorias usando os frameworks mais antigos, poderá continuar visualizando os relatórios de auditoria na página Visualizar avaliações e nos buckets do Cloud Storage em que os relatórios foram armazenados.
2 Os frameworks do Compliance Manager e do Assured Workloads (pré-lançamento) incluem o framework integrado Google Recommendations AI Essentials - Gemini Enterprise Agent Platform. É possível usar esse framework em vez do framework de controles de IA recomendado pelo Google, embora ele use controles diferentes para avaliar seu ambiente.
Frameworks personalizados
Antes de 30 de junho de 2026, o Gerenciador de Auditoria incluía um recurso em fase de pré-lançamento que permitia criar frameworks personalizados. Se você criou um framework personalizado usando esse recurso em fase de pré-lançamento, pode continuar executando auditorias nele e visualizar os relatórios criados. No entanto, não é possível visualizar ou editar seu framework personalizado.
Se nenhum dos frameworks integrados do Gerenciador de Auditoria se aplicar ao seu ambiente, use as seguintes opções:
Crie um framework personalizado no Compliance Manager. O Compliance Manager inclui uma biblioteca de controles de nuvem integrados, e é possível criar controles de nuvem personalizados, se necessário. Depois de criar esse framework, use o Gerenciador de Auditoria ou o Gerenciador de Compliance para executar auditorias no seu ambiente.
Criar um framework personalizado nos frameworks do Assured Workloads (pré-lançamento). Os controles de nuvem integrados para frameworks do Assured Workloads incluem a biblioteca de controles de nuvem do Compliance Manager e uma biblioteca de controles de nuvem preventivos específicos para cargas de trabalho regulatórias. Também é possível usar os frameworks do Assured Workloads para criar controles de nuvem personalizados, se necessário. Se você criar um framework que inclua controles preventivos, só poderá usar o Gerenciador de Auditoria para executar auditorias no seu ambiente.
Controles e controles de nuvem
O Gerenciador de Auditoria inclui controles e controles de nuvem nos frameworks. Considere o seguinte:
Os controles são objetivos gerais que permitem avaliar a proteção de recursos, a redução de riscos e os objetivos regulatórios de negócios. Os controles podem ser compostos de controles de nuvem técnicos e não técnicos.
Os controles de nuvem são controles definidos por software que verificam configurações específicas no ambiente do Google Cloud . A maioria dos controles de nuvem é técnica. Por exemplo, um controle é um requisito regulatório para auditar seu ambiente, e um controle de nuvem é o mecanismo específico para garantir que os Registros de Auditoria do Cloud estejam ativados para várias APIs.
Frameworks são coleções de controles e controles de nuvem que ajudam você a atender a um padrão regulatório específico. Por exemplo, o Gerenciador de Auditoria inclui um framework para a ISO 27001 2022. Os controles de nuvem e os controles técnicos incluem uma ou mais regras que o Audit Manager pode verificar durante uma auditoria e coletar evidências.
Como os controles e os controles de nuvem são auditados
A forma como o Audit Manager audita um controle ou controle de nuvem depende de se o Audit Manager pode avaliar tecnicamente o controle ou o controle de nuvem. Considere o seguinte:
Alguns controles ou controles de nuvem exigem revisões manuais porque não há chamadas de API que o Gerenciador de Auditoria possa fazer para validá-los. Por exemplo, um controle pode exigir que você revise sistemas de acesso que não estão no Google Cloud. Se um controle ou controle de nuvem exigir uma revisão manual, o Gerenciador de Auditoria vai criar uma observação informando que você precisa concluir a revisão por conta própria. Evidências técnicas podem ser geradas. O estado do controle ou do controle de nuvem é Opcional: análise manual necessária.
Alguns controles ou controles de nuvem se aplicam diretamente a um valor específico em Google Cloud. Por exemplo, um controle de nuvem pode exigir que você ative a CMEK para buckets do Cloud Storage. Nesse cenário, o Gerenciador de Auditoria pode fazer uma chamada de API para verificar uma configuração específica. O valor retornado é a evidência. O Gerenciador de Auditoria pode avaliar se as evidências atendem ou não às regras esperadas. O Audit Manager cria uma observação que inclui as evidências e a avaliação. O estado de um controle ou controle de nuvem pode ser qualquer um dos seguintes:
Se o Gerenciador de Auditoria avaliar que a evidência atende à regra, o estado do controle ou do controle de nuvem será Conformidade.
Se o Gerenciador de Auditoria avaliar que a evidência não segue a regra, o estado do controle ou do controle de nuvem será Violação. Para controles ou controles de nuvem que incluem várias regras, se alguma regra falhar, o estado será falha.
Se o Gerenciador de Auditoria encontrar qualquer tipo de erro durante esse processo (por exemplo, uma chamada de API expirou), o estado do controle ou do controle de nuvem será Ignorado.
Fluxo de trabalho do Audit Manager
O fluxo de trabalho de alto nível do Audit Manager envolve a configuração do acesso ao Audit Manager e o gerenciamento de auditorias.
- Para configurar o acesso ao Gerenciador de Auditoria, você precisa ser um administrador do Gerenciador de Auditoria
(
roles/auditmanager.admin) e registrar recursos para auditoria. - Para gerenciar auditorias, você pode ser um administrador ou um auditor e fazer o
seguinte:
- Programar auditorias e executar auditorias sob demanda.
- Receber o status da auditoria.
- Ver relatórios detalhados do Gerenciador de Auditoria.