Visualizzare un controllo

Al termine di un controllo, Audit Manager crea e archivia gli artefatti di controllo nei bucket di archiviazione di destinazione per consentirti di visualizzarli:

  • Report di riepilogo del controllo
  • Report di panoramica dei controlli
  • Prove

La nuova esperienza della console (anteprima) include un formato diverso per i report. Per ulteriori informazioni, vedi Visualizzare i report di Audit Manager (nuova esperienza).

Prima di iniziare

Assicurati di disporre dei seguenti ruoli IAM:

Visualizzare i report di Audit Manager (esperienza classica)

  1. Nella Google Cloud console, vai alla pagina Audit Manager.

    Vai ad Audit Manager

  2. Nella sezione Controlli di conformità, fai clic su Visualizza controlli.

  3. Nella pagina Visualizza valutazioni, puoi visualizzare lo stato di un controllo in corso o completato da Audit Manager o Compliance Manager.

  4. A seconda del tipo di informazioni di controllo che vuoi visualizzare, segui le istruzioni nella scheda corrispondente.

    Report di riepilogo del controllo

    1. Per visualizzare il riepilogo del controllo, fai clic sul link nella colonna Stato.

      La pagina Informazioni di base mostra le informazioni su controlli di conformità inclusi nell'ambito e lo stato della conformità automatica:

      • Conforme: mostra le configurazioni che soddisfano tutti i requisiti.
      • Violazioni: mostra le configurazioni errate rilevate rispetto a un determinato controllo.
      • È necessaria una revisione manuale: mostra le configurazioni che richiedono input dell'utente per dimostrare la conformità e il controllo del processo.
      • Ignorato:mostra le configurazioni che Audit Manager ha ignorato per un determinato controllo.
    2. Per visualizzare i dettagli di uno stato, fai clic su Visualizza.
    3. Per esportare il report di riepilogo del controllo, fai clic su Esporta. Il report di riepilogo del controllo viene esportato in formato ODS.

    Report di panoramica dei controlli

    Puoi utilizzare la pagina Informazioni di base per visualizzare il report di panoramica dei controlli in base a un controllo o a uno stato.

    • Per visualizzare il report di panoramica dei controlli in base a un controllo:
      1. Espandi il controllo richiesto.
      2. Per visualizzare la valutazione dettagliata della conformità rispetto a ogni regola, fai clic sul collegamento ipertestuale corrispondente. La pagina dei controlli mostra la responsabilità, i risultati e i requisiti.
    • Per visualizzare il report di controllo in base a uno stato:
      1. Per lo stato richiesto, fai clic su Visualizza.
      2. Nell'elenco dei controlli, fai clic sul collegamento ipertestuale richiesto. La pagina dei controlli mostra la responsabilità, i risultati e i requisiti.

    Per esportare il report di panoramica dei controlli, fai clic su Esporta.Nella pagina Dettagli bucket, fai clic sul nome del controllo e poi su Scarica. Il report di panoramica dei controlli viene esportato in formato ODS.

    Prove

    Per visualizzare le prove di un risultato, fai clic sul collegamento ipertestuale corrispondente nella pagina dei controlli. La pagina Dettagli oggetto con i dettagli delle prove si apre in una scheda separata.

    Per scaricare le prove, fai clic su Scarica. Le prove vengono scaricate in formato JSON.

In alternativa, puoi scaricare il report e le prove richiesti direttamente dal bucket di archiviazione di destinazione. Per istruzioni dettagliate, vedi Scaricare un oggetto da un bucket.

Report di riepilogo del controllo

Un report di riepilogo del controllo è un report completo che fornisce una panoramica di alto livello di tutti i controlli di conformità e una matrice delle responsabilità per aiutarti a comprendere il sistema.

Nel bucket di archiviazione di destinazione, il report di riepilogo del controllo utilizza la seguente convenzione di denominazione:

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/overall_report.ods

I valori dei segnaposto sono descritti come segue:

  • FRAMEWORK_NAME: il nome del framework, ad esempio SOC2 2017.
  • TIMESTAMP: un timestamp relativo alla data e all'ora di generazione del report.
  • UNIQUE_ID: un ID univoco per il report.

Per ogni tipo di controllo applicabile, nel report di riepilogo del controllo vengono compilati i seguenti campi:

Tipo di controllo Descrizione
Informazioni sul controllo Una descrizione e un requisito per il controllo.
Responsabilità di Google Google Cloud Responsabilità e dettagli di implementazione.
Responsabilità del cliente Responsabilità del cliente e dettagli di implementazione.
Stato della valutazione Stato di conformità per il controllo. Lo stato può essere uno dei seguenti tipi:
  • Non conforme: deriva di conformità rilevata
  • Conforme: il sistema è conforme
  • È necessaria una revisione manuale: vengono prodotti artefatti, ma è necessario input utente è necessario per concludere sullo stato di conformità
  • Ignorato: controllo manuale, automazione non presente
Link al report di controllo Un link al report di panoramica dei controlli.

Report di panoramica dei controlli

Un report di panoramica dei controlli contiene una descrizione dettagliata della valutazione di conformità per un singolo controllo. Fornisce i dettagli della valutazione per ogni controllo di conformità con osservazioni e valori previsti.

Nel bucket di archiviazione di destinazione, il report di panoramica dei controlli utilizza la seguente convenzione di denominazione:

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/CONTROL_ID.ods

I valori dei segnaposto sono descritti come segue:

  • FRAMEWORK_NAME: il nome del framework, ad esempio CIS_CONTROLS_V8.
  • TIMESTAMP: un timestamp relativo alla data e all'ora di generazione del report.
  • UNIQUE_ID: un ID univoco per il report.
  • CONTROL_ID: l'ID del controllo.

Un report di panoramica dei controlli è simile all'esempio seguente:

ID controllo ID: CONFORME
Nome servizio Numero di risorse Stato Dettagli della valutazione delle risorse
ID risorsa Campo misurato Valore attuale Valore previsto Stato URI della risorsa di prova Timestamp della prova Prove per progetto/cartella Link alle prove
Totale servizi inclusi nell'ambito di questo controllo Totale risorse nell'ambito del controllo Stato di conformità Identificatore di risorse Configurazione da misurare per il controllo Valori osservati Valori conformi Stato di conformità individuale Timestamp relativo alla data e all'ora di raccolta delle prove
product1.googleapis.com 2 CONFORME Risorsa 1 abc 10 >=10 CONFORME Risorsa 1 05/12/2023 12:55:16 Progetto 1 Link 1
def 15 =15 CONFORME Risorsa 4 05/12/2023 13:55:16 Progetto 1 Link 4
Risorsa 2 xyz 20 =20 CONFORME Risorsa 2 05/12/2023 14:55:16 Progetto 1 Link 2
product2.googleapis.com 1 CONFORME Risorsa 3 def 5 >=5 CONFORME Risorsa 3 05/12/2023 15:55:16 Progetto 1 Link 3

Prove

Le prove includono tutte le risorse valutate per ogni controllo, incluso un dump non elaborato dei dati degli asset e il comando eseguito per produrre l'output.

Nel bucket di archiviazione di destinazione, le prove utilizzano la seguente convenzione di denominazione:

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/evidences/evidenceEVIDENCE_ID.json

I valori dei segnaposto sono descritti come segue:

  • FRAMEWORK_NAME: il nome del framework, ad esempio CIS_CONTROLS_V8.
  • TIMESTAMP: un timestamp relativo alla data e all'ora di generazione del report.
  • UNIQUE_ID: un ID univoco per il report.
  • EVIDENCE_ID: un ID univoco per le prove.

Visualizzare i report di Audit Manager (nuova esperienza)

Nella nuova esperienza della console, puoi visualizzare il punteggio di conformità per controlli, controlli cloud e Google Cloud risorse nelle pagine Report di controllo della Google Cloud console.

  1. Nella Google Cloud console, vai alla pagina Audit Manager.

    Vai ad Audit Manager

  2. Nella sezione Controlli di conformità, fai clic su Visualizza controlli.

  3. Fai clic su Passa alla nuova esperienza.

    Nella pagina Visualizza controlli, puoi visualizzare lo stato di un controllo in corso o completato da Audit Manager o Compliance Manager.

  4. Per ulteriori informazioni su un controllo, fai clic sul nome del controllo.

    La dashboard Report di controllo include schede separate per controlli, controlli cloud e risorse, ognuna con conteggi e diagrammi univoci. La dashboard Report di controllo mostra il punteggio di conformità. La dashboard di ogni scheda include quanto segue:

    • Riepilogo conformità:la percentuale viene determinata nel seguente modo:

      (Number of evaluated items that compliance / Total number of items) * 100

      Un elemento può essere un controllo, un controllo cloud o una risorsa. Il numero totale di elementi include tutti gli elementi conformi, in violazione e non valutati (ignorati).

    • Totale:il numero totale di controlli o controlli cloud nel framework oppure il numero totale di risorse valutate.

    • Conforme:il numero di elementi che soddisfano i requisiti di valutazione.

    • Violazioni:il numero di elementi che non soddisfano i requisiti di valutazione.

    • Inconcludente:il numero di elementi per i quali Audit Manager non è riuscito a determinare se fossero conformi. Ad esempio, la configurazione o i dati di log recuperati non corrispondevano chiaramente alle regole di conformità.

    • Ignorato:il numero di elementi che Audit Manager non è riuscito a valutare a causa di un errore o di un problema di sistema riscontrato durante la valutazione. Ad esempio, non sono state concesse autorizzazioni sufficienti per ispezionare una risorsa specifica.

    • Non supportato: il numero di elementi che Audit Manager non è riuscito a ispezionare perché richiedono la valutazione di risorse esterne a Google Cloud.

    • Prove raccolte:la quantità di informazioni estratte tramite la valutazione tecnica degli elementi.

    • Valutazioni in violazione:il numero di regole o risorse che Audit Manager ha valutato come non riuscite.

  5. Per scaricare il report di controllo dal bucket Cloud Storage come foglio di lavoro OpenDocument (ODS), fai clic su Scarica report.

    In alternativa, puoi scaricare il report e le prove richiesti direttamente dal bucket di archiviazione di destinazione. Per istruzioni dettagliate, vedi Scaricare un oggetto da un bucket.

  6. Per visualizzare ulteriori informazioni sullo stato di un elemento, fai clic su Visualizza accanto allo stato. La visualizzazione filtrata mostra il controllo, il controllo cloud o la risorsa applicabile.

    • Nella scheda Controllo, la visualizzazione è raggruppata per controlli. Per visualizzare i controlli e i controlli cloud raggruppati all'interno di un controllo, espandi il filtro.

    • Nella scheda Controllo cloud, la visualizzazione è raggruppata per controlli cloud.

    • Nella scheda Risorse, la visualizzazione è raggruppata per nome dell'API del servizio (ad esempio, cloudresourcemanager.googleapis.com). Per visualizzare le risorse applicabili all'interno di un servizio, espandi il filtro.

  7. Per visualizzare un riepilogo dettagliato di un determinato elemento, fai clic sull'elemento nella visualizzazione filtrata. A seconda della scheda in cui ti trovi, vengono visualizzate le seguenti informazioni:

    Report di controllo

    La pagina del report Controllo mostra quanto segue:

    • L'ID e la famiglia del controllo.
    • Lo stato di responsabilità condivisa.
    • Lo stato della revisione.
    • Lo stato della valutazione.
    • La quantità di prove raccolte durante il controllo.
    • Un riepilogo della valutazione generato da Gemini.
    • Informazioni sui controlli cloud che fanno parte del controllo, incluso il numero di controlli cloud che superano il test e il riepilogo delle prove.
    • Una visualizzazione filtrata che fornisce link ai report dei controlli cloud e alle informazioni sulla responsabilità condivisa.

    Report di controllo cloud

    La pagina del report Controllo cloud mostra quanto segue:

    • Il nome e l'ID del controllo cloud.
    • Lo stato della revisione.
    • I controlli (denominati controlli normativi) a cui appartiene il controllo cloud.
    • Lo stato della valutazione.
    • Un riepilogo della valutazione generato da Gemini.
    • La quantità di prove raccolte durante il controllo.
    • Informazioni sui controlli cloud che fanno parte del controllo, incluso il numero di valutazioni, violazioni e prove.
    • Una visualizzazione filtrata che fornisce link ai riepiloghi delle osservazioni e ai report delle risorse applicabili.

    Report sulle risorse

    La pagina del report Risorsa mostra quanto segue:

    • La risorsa e il servizio applicabili.
    • I controlli (denominati controlli normativi) e i controlli cloud utilizzati per valutare la risorsa.
    • Lo stato della valutazione.
    • Un riepilogo della valutazione generato da Gemini.
    • Le osservazioni rilevate durante il controllo, incluso il numero di valutazioni, violazioni e prove.
    • Una visualizzazione filtrata che fornisce link ai riepiloghi delle osservazioni e ai report dei controlli cloud.

Report in Cloud Storage

I report di controllo di Audit Manager sono disponibili nelle cartelle all'interno dei bucket di archiviazione di Cloud Storage che utilizzano la seguente convenzione:

audit-reports/audit_RESOURCE_NAME_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID

I valori dei segnaposto sono descritti come segue:

  • RESOURCE_NAME: l'ID della cartella o del progetto, ad esempio folders_12345 o projects_12345.
  • FRAMEWORK_NAME: il nome del framework, ad esempio builtin-nist800-53-revision5.
  • TIMESTAMP: un timestamp relativo alla data e all'ora di generazione del report.
  • UNIQUE_ID: un ID univoco per il report.

Ogni cartella di controllo include report separati disponibili per ogni controllo, controllo cloud e prova. I report di controllo e di controllo cloud sono in formato ODS e contengono descrizioni dettagliate della valutazione di conformità per un singolo controllo. Questi report forniscono i dettagli della valutazione per ogni controllo di conformità con osservazioni e valori previsti. I report delle prove sono in formato JSON e includono tutte le risorse valutate per ogni controllo, incluso un dump non elaborato dei dati degli asset e il comando eseguito per produrre l'output.