감사 관리자 개요

감사 관리자는 Google Cloud에서 규정 준수 감사 프로세스를 간소화하는 데 도움이 되는 규정 준수 감사 솔루션입니다. 감사 관리자를 사용하면 규정 준수 관리자 또는 Assured Workloads 프레임워크 (프리뷰)를 사용하여 정의하는 기본 제공 프레임워크 및 커스텀 프레임워크에 대해 감사를 실행할 수 있습니다.

감사 관리자에는 다음과 같은 기능이 있습니다.

  • 책임을 관리하기 위한 직무 분리 및 권장사항을 보여주는 공동 책임 매트릭스
  • Google Cloud의 규정 준수 문서.
  • 워크로드의 규정 준수 제어를 평가하여 규정 준수 상태를 파악하는 자동화된 규정 준수 평가
  • 규정 준수 감사를 위한 증거 수집
  • 생성된 위반을 해결하는 데 도움이 되는 격차 식별
  • 정기적으로 실행되도록 감사를 예약하는 기능

감사 관리자는 모든 Google Cloud조직, 폴더 또는 프로젝트에 대한 평가를 제공할 수 있습니다.

지원되는 프레임워크

감사 관리자는 다음 기본 제공 프레임워크의 클라우드 제어 및 제어를 기준으로 리소스를 평가할 수 있습니다.

Security Command Center Premium 또는 Enterprise 구독을 구매하거나 Assured Workloads를 사용 설정하는 경우 다음이 적용됩니다.

1 조직 수준에서 감사를 실행하는 경우 이러한 프레임워크는 정식 버전으로 제공됩니다. 다른 모든 프레임워크는 프리뷰로 제공됩니다.

이전 프레임워크에서 이전

2026년 6월 30일 이전에 감사를 실행한 경우 다른 프레임워크를 사용했습니다. 이러한 프레임워크는 더 이상 감사를 실행하는 데 사용할 수 없습니다. 다음 표에서는 이전 프레임워크를 규정 준수 관리자 또는 Assured Workloads 프레임워크 (프리뷰)를 사용하여 배포할 수 있는 프레임워크에 매핑합니다.

이전 프레임워크 동등한 감사 관리자 프레임워크 동등한 규정 준수 관리자 프레임워크 (프리뷰) 동등한 Assured Workloads 프레임워크
NIST 800-53 버전 4 — NIST 800-53 버전 5 NIST 800-53 버전 5
Google 권장 AI 제어 — —[2] —[2]
SOC2 2017 SOC2 2017 SOC2 2017 SOC2 2017
CIS Controls v8 — CIS 중요 보안 제어 v8 CIS 중요 보안 제어 v8
PCI DSS 4.0 — PCI DSS v4.0.1 PCI DSS v4.0.1
Cloud Controls Matrix 4.0 — CSA Cloud Controls Matrix v4.0.11 CSA Cloud Controls Matrix v4.0.11
NIST CSF v1 — NIST 사이버 보안 프레임워크 1.1 NIST 사이버 보안 프레임워크 1.1
CIS Google Cloud Foundation Benchmark 2.0 — CIS GCP Foundations Benchmark v3.0 CIS GCP Foundations Benchmark v3.0
ISO 27001 2022 — ISO 27001:2022 ISO 27001:2022

이전 프레임워크를 사용하여 감사를 실행한 경우 평가 보기 페이지와 보고서를 저장한 Cloud Storage 버킷에서 감사 보고서를 계속 볼 수 있습니다.

2 규정 준수 관리자와 Assured Workloads 프레임워크 (프리뷰) 모두에 Recommendations AI - Gemini Enterprise Agent Platform 기본 제공 프레임워크가 포함되어 있습니다. 이 프레임워크는 이전의 Google 권장 AI 제어 프레임워크 대신 사용할 수 있지만, 환경을 평가하는 데 다른 제어를 사용합니다.

커스텀 프레임워크

2026년 6월 30일 이전에는 감사 관리자에 커스텀 프레임워크를 만들 수 있는 프리뷰 기능이 포함되어 있었습니다. 해당 프리뷰 기능을 사용하여 커스텀 프레임워크를 만든 경우 커스텀 프레임워크에 대한 감사를 계속 실행하고 만든 보고서를 볼 수 있습니다. 하지만 커스텀 프레임워크를 보거나 수정할 수는 없습니다.

Audit Manager의 기본 제공 프레임워크가 환경에 적용되지 않는 경우 다음 옵션을 사용할 수 있습니다.

제어 및 클라우드 제어

Audit Manager는 프레임워크 내에 제어와 클라우드 제어를 포함합니다. 다음 사항을 고려하세요.

  • 제어는 애셋 보호, 위험 완화, 비즈니스 규제 목표를 평가할 수 있는 일반적인 목표입니다. 제어는 기술 및 비기술 클라우드 제어로 구성될 수 있습니다.

  • 클라우드 제어는 Google Cloud 환경에서 특정 구성을 확인하는 소프트웨어 정의 제어입니다. 대부분의 클라우드 제어는 기술적입니다. 예를 들어 제어는 환경을 감사하기 위한 규제 요구사항이고 클라우드 제어는 다양한 API에 Cloud 감사 로그가 사용 설정되어 있는지 확인하는 특정 메커니즘입니다.

  • 프레임워크는 특정 규제 표준을 충족하는 데 도움이 되는 제어 및 클라우드 제어 모음입니다. 예를 들어 감사 관리자에는 ISO 27001 2022 프레임워크가 포함되어 있습니다. 클라우드 제어 및 기술 제어에는 감사 중에 감사 관리자가 확인하고 증거를 수집할 수 있는 하나 이상의 규칙이 포함됩니다.

제어 및 클라우드 제어 감사 방법

감사 관리자가 제어 또는 클라우드 제어를 감사하는 방법은 감사 관리자가 제어 또는 클라우드 제어를 기술적으로 평가할 수 있는지 여부에 따라 달라집니다. 다음 사항을 고려하세요.

  • 일부 제어 또는 클라우드 제어는 감사 관리자가 검증을 위해 수행할 수 있는 API 호출이 없으므로 수동 검토가 필요합니다. 예를 들어 제어를 사용하려면Google Cloud에 없는 액세스 시스템을 검토해야 할 수 있습니다. 제어 또는 클라우드 제어에 수동 검토가 필요한 경우 감사 관리자는 검토를 직접 완료해야 함을 알리는 관찰을 만듭니다. 기술 증거가 생성될 수 있습니다. 제어 또는 클라우드 제어 상태는 선택사항: 수동 검토 필요입니다.

  • 일부 제어 또는 클라우드 제어는Google Cloud의 특정 값에 직접 적용됩니다. 예를 들어 클라우드 제어는 Cloud Storage 버킷에 CMEK를 사용 설정하도록 요구할 수 있습니다. 이 시나리오에서 감사 관리자는 API를 호출하여 특정 설정을 확인할 수 있습니다. 반환되는 값은 증거입니다. 그러면 감사 관리자는 증거가 예상 규칙을 충족하는지 여부를 평가할 수 있습니다. 감사 관리자는 증거와 평가가 포함된 관찰을 만듭니다. 제어 또는 클라우드 제어의 상태는 다음 중 하나일 수 있습니다.

    • 감사 관리자가 증거가 규칙을 충족하는 것으로 평가하면 제어 또는 클라우드 제어 상태는 규정 준수입니다.

    • 감사 관리자가 증거를 규칙을 위반하는 것으로 평가하면 제어 또는 클라우드 제어 상태는 위반입니다. 여러 규칙이 포함된 제어 또는 클라우드 제어의 경우 규칙이 실패하면 상태가 실패입니다.

    • 이 프로세스 중에 감사 관리자에서 오류가 발생하면 (예: API 호출 시간 초과) 제어 또는 클라우드 제어 상태가 건너뜀입니다.

감사 관리자 워크플로

감사 관리자의 대략적인 워크플로에는 감사 관리자 액세스 설정 및 감사 관리가 포함됩니다.

  1. 감사 관리자 액세스 권한을 설정하려면 감사 관리자 관리자(roles/auditmanager.admin)여야 하며 감사를 위해 리소스를 등록해야 합니다.
  2. 감사를 관리하려면 관리자 또는 감사자가 되어 다음을 수행할 수 있습니다.
    1. 감사를 예약하고 주문형 감사를 실행합니다.
    2. 감사 상태를 가져옵니다.
    3. 자세한 감사 관리자 보고서를 확인합니다.

다음 단계