הכלי לניהול ביקורות הוא פתרון לביקורת תאימות שעוזר לפשט את תהליך ביקורת התאימות ב- Google Cloud. בעזרת Audit Manager אתם יכולים להריץ ביקורות על מסגרות מובנות ועל מסגרות בהתאמה אישית שאתם מגדירים באמצעות Compliance Manager או מסגרות של Assured Workloads (גרסת טרום-השקה (Preview)).
הכלי לניהול ביקורות כולל את היכולות הבאות:
- מטריצת אחריות משותפת שמציגה את הפרדת התפקידים והמלצות לניהול תחומי האחריות שלכם.
- מסמכי תאימות עבור Google Cloud.
- הערכות תאימות אוטומטיות כדי להעריך את אמצעי הבקרה על התאימות בעומסי עבודה, כדי להבין את מצב התאימות שלהם.
- איסוף הוכחות לביקורות תאימות.
- זיהוי פערים כדי לעזור בתיקון ההפרות שנוצרו.
- אפשרות לתזמן ביקורות שיפעלו במרווחי זמן קבועים.
הכלי לניהול ביקורות יכול לספק הערכות לכל Google Cloud ארגון, תיקייה או פרויקט.
frameworks נתמכים
הכלי לניהול ביקורות יכול להעריך את המשאבים שלכם בהתאם לאמצעי הבקרה בענן ולאמצעי הבקרה של המסגרות המובנות הבאות:
אם רוכשים מינויים ל-Security Command Center Premium או Enterprise או מפעילים את Assured Workloads, אז:
כל מסגרת בהתאמה אישית שאתם יוצרים באמצעות Compliance Manager או מסגרות של Assured Workloads (גרסת טרום-השקה (Preview)).
המסגרות המובנות הבאות:
- המלצות של Google לשימוש ב-AI – פלטפורמת Gemini Enterprise Agent [1]
- CIS GCP Foundations Benchmark v3.0
- CIS GKE 1.7 [1]
- CIS Critical Security Controls v8
- CSA Cloud Controls Matrix גרסה 4.0.11
- Compute Engine Security Essentials [1]
- <!-- empty -->GKE Essentials [1]
- ISO 27001:2022
- תקן אבטחת המידע הלאומי של קטאר, גרסה 2.1
- NIST 800-53 Revision 5
- NIST Cybersecurity Framework 1.1
- PCI DSS v4.0.1
מסגרות העבודה המובנות הבאות של Assured Workloads:
1 אם מריצים ביקורת ברמת הארגון, מסגרות העבודה האלה זמינות בגרסת זמינות לכלל המשתמשים (GA). כל שאר המסגרות זמינות בגרסת טרום-השקה (Preview).
מעבר ממסגרות ישנות יותר
אם הרצתם ביקורת לפני 30 ביוני 2026, השתמשתם במסגרות אחרות. אי אפשר יותר להריץ ביקורות באמצעות המסגרות האלה. בטבלה הבאה מופיע מיפוי של המסגרות הישנות למסגרות שאפשר לפרוס באמצעות Compliance Manager או Assured Workloads (גרסת טרום-השקה (Preview)).
| מסגרת ישנה יותר | מסגרת מקבילה בכלי לניהול ביקורות | מסגרת מקבילה ב-Compliance Manager | (גרסת טרום-השקה (Preview)) מסגרות מקבילות של Assured Workloads |
|---|---|---|---|
| NIST 800-53 גרסה 4 | — | NIST 800-53 גרסה 5 | NIST 800-53 גרסה 5 |
| אמצעי בקרה מומלצים של Google ל-AI | — | —[2] | —[2] |
| SOC2 2017 | SOC2 2017 | SOC2 2017 | SOC2 2017 |
| CIS Controls v8 | — | CIS Critical Security Controls v8 | CIS Critical Security Controls v8 |
| PCI DSS 4.0 | — | PCI DSS גרסה 4.0.1 | PCI DSS גרסה 4.0.1 |
| Cloud Controls Matrix 4.0 | — | CSA Cloud Controls Matrix גרסה 4.0.11 | CSA Cloud Controls Matrix גרסה 4.0.11 |
| NIST CSF v1 | — | NIST Cybersecurity Framework 1.1 | NIST Cybersecurity Framework 1.1 |
| CIS Google Cloud Foundation Benchmark 2.0 | — | CIS GCP Foundations Benchmark גרסה 3.0 | CIS GCP Foundations Benchmark גרסה 3.0 |
| ISO 27001 2022 | — | ISO 27001:2022 | ISO 27001:2022 |
אם הרצתם ביקורות באמצעות המסגרות הישנות, אתם יכולים להמשיך לצפות בדוחות הביקורת בדף View assessments ובקטגוריות של Cloud Storage שבהן שמרתם את הדוחות.
2 גם Compliance Manager וגם Assured Workloads (גרסת טרום-השקה (Preview)) כוללים את המסגרת המובנית Google Recommended AI Essentials - Gemini Enterprise Agent Platform. אתם יכולים להשתמש במסגרת הזו במקום במסגרת הישנה יותר של אמצעי הבקרה המומלצים של Google ל-AI, אבל היא משתמשת באמצעי בקרה שונים כדי להעריך את הסביבה שלכם.
מסגרות בהתאמה אישית
לפני 30 ביוני 2026, הכלי לניהול ביקורות כלל תכונה בגרסת טרום-השקה (Preview) שאיפשרה ליצור מסגרות בהתאמה אישית. אם יצרתם מסגרת בהתאמה אישית באמצעות התכונה הזו בגרסת טרום-השקה (Preview), אתם יכולים להמשיך להריץ ביקורות על המסגרת בהתאמה אישית ולצפות בדוחות שיצרתם. עם זאת, אי אפשר לראות או לערוך את המסגרת בהתאמה אישית.
אם אף אחד מהמסגרות המובנות בכלי לניהול ביקורות לא מתאים לסביבה שלכם, אתם יכולים להשתמש באפשרויות הבאות:
יצירת מסגרת בהתאמה אישית ב-Compliance Manager. ב-Compliance Manager יש ספרייה של אמצעי בקרה מובנים בענן, ואפשר ליצור אמצעי בקרה בהתאמה אישית בענן לפי הצורך. אחרי שיוצרים את המסגרת הזו, אפשר להשתמש ב-Audit Manager או ב-Compliance Manager כדי להריץ ביקורות בסביבה שלכם.
יצירת מסגרת בהתאמה אישית במסגרות של Assured Workloads (גרסת טרום-השקה (Preview)). אמצעי הבקרה המובנים בענן למסגרות של Assured Workloads כוללים את ספריית אמצעי הבקרה בענן של Compliance Manager וספרייה של אמצעי בקרה מונעים בענן, שספציפיים לעומסי עבודה רגולטוריים. במידת הצורך, אתם יכולים גם להשתמש במסגרות של Assured Workloads כדי ליצור אמצעי בקרה מותאמים אישית בענן. אם אתם יוצרים מסגרת שכוללת אמצעי בקרה למניעה, אתם יכולים להשתמש רק בכלי לניהול ביקורות כדי להריץ ביקורות בסביבה שלכם.
אמצעי בקרה ואמצעי בקרה בענן
הכלי לניהול ביקורות כולל אמצעי בקרה ואמצעי בקרה בענן במסגרות שלו. כמה נקודות שכדאי לחשוב עליהן:
אמצעי בקרה הם יעדים כלליים שמאפשרים להעריך את ההגנה על הנכסים, את צמצום הסיכונים ואת היעדים הרגולטוריים של העסק. אמצעי הבקרה יכולים להיות טכניים ולא טכניים.
אמצעי בקרה בענן הם אמצעי בקרה שמוגדרים בתוכנה, שבודקים הגדרות ספציפיות בסביבת Google Cloud . רוב אמצעי הבקרה בענן הם טכניים. לדוגמה, אמצעי בקרה הוא דרישה רגולטורית לבדיקת הסביבה, ואמצעי בקרה בענן הוא המנגנון הספציפי שמוודא שיומני הביקורת של Cloud מופעלים בממשקי API שונים.
מסגרות הן אוספים של אמצעי בקרה ואמצעי בקרה בענן שעוזרים לכם לעמוד בתקן רגולטורי מסוים. לדוגמה, הכלי לניהול ביקורות כולל מסגרת ל-ISO 27001 2022. אמצעי בקרה טכניים ואמצעי בקרה ב-Cloud כוללים כלל אחד או יותר שהכלי לניהול ביקורות יכול לבדוק במהלך ביקורת ולאסוף הוכחות לגביהם.
איך מתבצעת ביקורת על אמצעי הבקרה ועל אמצעי הבקרה בענן
האופן שבו הכלי לניהול ביקורות בודק אמצעי בקרה או אמצעי בקרה בענן תלוי ביכולת הטכנית של הכלי להעריך את אמצעי הבקרה או את אמצעי הבקרה בענן. כמה נקודות שכדאי לחשוב עליהן:
חלק מהבקרות או מהבקרות בענן דורשות בדיקות ידניות, כי אין קריאות ל-API שהכלי לניהול ביקורות יכול לבצע כדי לאמת אותן. לדוגמה, יכול להיות שדרישה מסוימת תחייב אתכם לבדוק מערכות גישה שלא נמצאות ב-Google Cloud. אם נדרשת בדיקה ידנית של אמצעי בקרה או של אמצעי בקרה בענן, הכלי לניהול ביקורות יוצר תצפית שבה מצוין שאתם צריכים להשלים את הבדיקה בעצמכם. יכול להיות שייווצרו ראיות טכניות. סטטוס הבקרה או בקרת הענן הוא Optional: Manual Review Needed.
חלק מהפקדים או פקדי הענן חלים ישירות על ערך מסוים ב-Google Cloud. לדוגמה, אמצעי בקרה בענן יכול לדרוש שתפעילו את CMEK בקטגוריות של Cloud Storage. בתרחיש הזה, הכלי לניהול ביקורות יכול לבצע קריאה ל-API כדי לבדוק הגדרה מסוימת. הערך שמוחזר הוא ההוכחה. לאחר מכן, הכלי לניהול ביקורות יכול להעריך אם ההוכחות עומדות בכללים הצפויים או לא. הכלי לניהול ביקורות יוצר תצפית שכוללת את ההוכחות ואת ההערכה. הסטטוס של אמצעי בקרה או של אמצעי בקרה בענן יכול להיות אחד מהבאים:
אם כלי ניהול הביקורות מעריך שההוכחה עומדת בכלל, הסטטוס של אמצעי הבקרה או אמצעי הבקרה בענן הוא תאימות.
אם כלי ניהול הביקורות מעריך שההוכחה לא עומדת בכלל, המצב של אמצעי הבקרה או של אמצעי הבקרה בענן הוא הפרה. אם יש אמצעי בקרה או אמצעי בקרה בענן שכוללים כמה כללים, ואחד מהכללים נכשל, הסטטוס הוא failed.
אם הכלי לניהול ביקורות נתקל בשגיאה כלשהי במהלך התהליך (לדוגמה, הזמן הקצוב לתפוגה של קריאה ל-API חלף), המצב של אמצעי הבקרה או של אמצעי הבקרה בענן הוא Skipped.
תהליך העבודה בכלי לניהול ביקורות
תהליך העבודה הכללי של הכלי לניהול ביקורות כולל הגדרת הגישה לכלי וניהול הביקורות.
- כדי להגדיר גישה לכלי לניהול ביקורות, אתם צריכים להיות אדמינים בכלי לניהול ביקורות (
roles/auditmanager.admin) ולרשום משאבים לביקורת. - כדי לנהל ביקורות, אתם יכולים להיות אדמינים או מבקרי חשבונות ולבצע את הפעולות הבאות:
- לתזמן ביקורות ולהריץ ביקורות על פי דרישה.
- קבלת סטטוס הביקורת.
- לצפות בדוחות מפורטים של Audit Manager.