Audit ansehen

Wenn ein Audit abgeschlossen ist, erstellt und speichert Audit Manager Audit-Artefakte in den Ziel-Storage-Buckets, die Sie sich ansehen können:

• Zusammenfassender Prüfbericht
• Übersichtsbericht zu Kontrollen
• Belege

Die neue Console (Vorschau) bietet ein anderes Format für die Berichte. Weitere Informationen finden Sie unter Audit Manager-Berichte ansehen (neue Oberfläche).

Hinweis

Prüfen Sie, ob Sie die folgenden IAM-Rollen haben:

• Eine der folgenden Audit Manager-Rollen für die Ressource:

  • Audit Manager-Administrator (roles/auditmanager.admin)
  • Audit Manager Auditor (roles/auditmanager.auditor)
  • Compliance Manager-Betrachter (roles/cloudsecuritycompliance.viewer) (erforderlich, wenn Sie ein Framework prüfen, das Sie mit dem Compliance-Manager erstellt haben)

• Eine der folgenden Cloud Storage-Rollen für den Storage-Bucket, der Audit Manager-Berichte enthält:

  • Storage-Administrator (roles/storage.admin)
  • Inhaber alter Storage-Buckets (roles/storage.legacyBucketOwner)
  • Leser von Legacy-Storage-Objekten (roles/storage.legacyObjectReader)

Audit Manager-Berichte ansehen (klassische Version)

1. Rufen Sie in der Google Cloud Console die Seite Audit Manager auf.

   Zu Audit Manager

2. Klicken Sie im Bereich Compliance-Audits auf Audits ansehen.

3. Auf der Seite View assessments (Prüfungen ansehen) können Sie den Status einer laufenden oder abgeschlossenen Prüfung aus Audit Manager oder Compliance Manager aufrufen.

4. Folgen Sie der Anleitung auf dem entsprechenden Tab, je nachdem, welche Art von Prüfinformationen Sie aufrufen möchten.

   Zusammenfassender Prüfbericht

   1. Wenn Sie die Zusammenfassung der Prüfung aufrufen möchten, klicken Sie auf den Link in der Spalte Status.

      Auf der Seite Grundlegende Informationen werden Informationen zu den relevanten Compliance-Kontrollen und der Status der automatisierten Compliance angezeigt:

      • Konform: Zeigt die Konfigurationen an, die alle Anforderungen erfüllen.
      • Verstöße: Zeigt die Fehlkonfigurationen an, die für eine bestimmte Kontrolle erkannt wurden.
      • Manuelle Überprüfung erforderlich:Hier werden die Konfigurationen angezeigt, für die Nutzereingaben erforderlich sind, um die Einhaltung der Richtlinien und die Prozesskontrolle nachzuweisen.
      • Übersprungen:Hier werden die Konfigurationen angezeigt, die Audit Manager für eine bestimmte Kontrollmaßnahme übersprungen hat.
   2. Wenn Sie die Details eines Status aufrufen möchten, klicken Sie auf Ansehen.
   3. Wenn Sie den Prüfungszusammenfassungsbericht exportieren möchten, klicken Sie auf Exportieren. Der Zusammenfassungsbericht für die Prüfung wird im ODS-Format exportiert.

   Übersichtsbericht zu Kontrollvariablen

   Auf der Seite Grundlegende Informationen können Sie den Übersichtsbericht zu Kontrollen basierend auf einer Kontrolle oder einem Status aufrufen.

   • So rufen Sie den Übersichtsbericht für ein Steuerelement auf:
     1. Maximieren Sie die gewünschte Einstellung.
     2. Klicken Sie auf den entsprechenden Hyperlink, um die detaillierte Compliance-Bewertung für jede Regel aufzurufen. Auf der Seite „Kontrollen“ werden die Verantwortlichkeit, die Ergebnisse und die Anforderungen angezeigt.
   • So rufen Sie den Kontrollbericht basierend auf einem Status auf:
     1. Klicken Sie für den gewünschten Status auf Ansehen.
     2. Klicken Sie in der Liste der Steuerelemente auf den gewünschten Hyperlink. Auf der Seite „Kontrollen“ werden die Verantwortlichkeiten, Ergebnisse und Anforderungen angezeigt.

   Klicken Sie auf Exportieren, um den Übersichtsbericht zu den Kontrollen zu exportieren.Klicken Sie auf der Seite Bucket-Details auf den Namen der Kontrolle und dann auf Herunterladen. Der Übersichtsbericht zu Kontrollen wird im ODS-Format exportiert.

   Belege

   Klicken Sie auf der Seite „Kontrollen“ auf den entsprechenden Hyperlink, um die Nachweise für ein Ergebnis aufzurufen. Die Seite Objektdetails mit den Nachweisdetails wird in einem separaten Tab geöffnet.

   Klicken Sie auf Herunterladen, um den Nachweis herunterzuladen. Der Beweis wird im JSON-Format heruntergeladen.

Alternativ können Sie den erforderlichen Bericht und die erforderlichen Nachweise direkt aus dem Ziel-Storage-Bucket herunterladen. Eine ausführliche Anleitung finden Sie unter Objekt aus einem Bucket herunterladen.

Zusammenfassender Prüfbericht

Ein Audit-Zusammenfassungsbericht ist ein umfassender Bericht, der einen allgemeinen Überblick über alle Compliance-Kontrollen und eine Verantwortlichkeitsmatrix bietet, um Ihnen das Verständnis des Systems zu erleichtern.

Im Ziel-Storage-Bucket wird für den Audit-Zusammenfassungsbericht die folgende Namenskonvention verwendet:

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/overall_report.ods

Die Platzhalterwerte werden so beschrieben:

• FRAMEWORK_NAME: Der Name des Frameworks, z. B. SOC2 2017.
• TIMESTAMP: Ein Zeitstempel, der angibt, wann der Bericht erstellt wurde.
• UNIQUE_ID: Eine eindeutige ID für den Bericht.

Für jeden anwendbaren Steuerungstyp werden im Prüfungsübersichtsbericht die folgenden Felder ausgefüllt:

Einstellungstyp	Beschreibung
Kontrollinformationen	Eine Beschreibung und Anforderung für die Kontrolle.
Verantwortlichkeit von Google	Google Cloud Verantwortlichkeiten und Implementierungsdetails.
Verantwortung des Kunden	Verantwortlichkeiten des Kunden und Implementierungsdetails.
Prüfungsstatus	Compliancestatus für die Kontrolle. Der Status kann einer der folgenden Typen sein: Nicht konform: Compliance-Abweichung erkannt Konform: Das System ist konform. Manuelle Überprüfung erforderlich: Artefakte werden erstellt, aber es ist eine Nutzereingabe erforderlich, um den Compliancestatus zu ermitteln. Übersprungen: Manuelle Kontrolle, keine Automatisierung vorhanden
Link zum Kontrollbericht	Einen Link zum Übersichtsbericht für Steuerelemente.

Übersichtsbericht zu Kontrollvariablen

Ein Kontrollübersichtsbericht enthält eine detaillierte Beschreibung der Compliance-Bewertung für eine einzelne Kontrolle. Es enthält Bewertungsdetails für jede Compliance-Prüfung mit Beobachtungen und erwarteten Werten.

Im Ziel-Storage-Bucket wird für den Übersichtsbericht der Kontrollen die folgende Namenskonvention verwendet:

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/CONTROL_ID.ods

Die Platzhalterwerte werden folgendermaßen beschrieben:

• FRAMEWORK_NAME: Der Name des Frameworks, z. B. CIS_CONTROLS_V8.
• TIMESTAMP: Ein Zeitstempel, der angibt, wann der Bericht erstellt wurde.
• UNIQUE_ID: Eine eindeutige ID für den Bericht.
• CONTROL_ID: Die ID für das Steuerelement.

Ein Übersichtsbericht zu Kontrollen sieht in etwa so aus:

Control ID: COMPLIANT
Dienstname	Anzahl der Ressourcen	Status	Details zur Ressourcenbewertung
			Ressourcen-ID	Gemessenes Feld	Aktueller Wert	Erwarteter Wert	Status	Ressourcen-URI für Nachweise	Zeitstempel für Beweise	Belege für Projekt/Ordner	Evidence Link
Gesamtzahl der Dienste, die von dieser Kontrolle abgedeckt werden	Gesamtzahl der Ressourcen im Audit-Umfang	Compliancestatus	Ressourcenkennzeichnung	Konfiguration, die für die Prüfung gemessen werden soll	Beobachtete Werte	Konforme Werte	Individueller Compliancestatus		Zeitstempel für die Erfassung des Nachweises
product1.googleapis.com	2	KONFORM	Ressource 1	abc	10	>=10	KONFORM	Ressource 1	12/05/2023 12:55:16	Projekt 1	Link 1
				def	15	=15	KONFORM	Ressource 4	12/05/2023 13:55:16	Projekt 1	Link 4
			Ressource 2	xyz	20	=20	KONFORM	Ressource 2	05.12.2023 14:55:16	Projekt 1	Link 2
product2.googleapis.com	1	KONFORM	Ressource 3	def	5	>=5	KONFORM	Ressource 3	12/05/2023 15:55:16	Projekt 1	Link 3

Belege

Die Nachweise umfassen alle Ressourcen, die für jede Kontrollmaßnahme ausgewertet wurden, einschließlich eines Rohdumps der Asset-Daten sowie des Befehls, der zum Erstellen der Ausgabe ausgeführt wurde.

Im Ziel-Storage-Bucket wird für Nachweise die folgende Namenskonvention verwendet:

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/evidences/evidenceEVIDENCE_ID.json

Die Platzhalterwerte werden so beschrieben:

• FRAMEWORK_NAME: Der Name des Frameworks, z. B. CIS_CONTROLS_V8.
• TIMESTAMP: Ein Zeitstempel, der angibt, wann der Bericht erstellt wurde.
• UNIQUE_ID: Eine eindeutige ID für den Bericht.
• EVIDENCE_ID: Eine eindeutige ID für den Nachweis.

Audit Manager-Berichte ansehen (neue Oberfläche)

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

In der neuen Console können Sie Ihren Compliance-Score für Kontrollen, Cloud-Kontrollen und Google Cloud Ressourcen auf der Seite Prüfbericht in der Google Cloud Console ansehen.

Hinweis :Wenn Sie Feedback zur neuen Oberfläche geben möchten, klicken Sie auf der Seite Audit-Bericht für einen bestimmten Audit auf Feedback geben.

1. Rufen Sie in der Google Cloud Console die Seite Audit Manager auf.

   Zu Audit Manager

2. Klicken Sie im Bereich Compliance-Audits auf Audits ansehen.

3. Klicken Sie auf Zur neuen Oberfläche wechseln.

   Auf der Seite Audits ansehen können Sie den Status eines laufenden oder abgeschlossenen Audits im Audit Manager oder Compliance Manager einsehen.

4. Klicken Sie auf den Namen einer Prüfung, um weitere Informationen dazu aufzurufen.

   Das Dashboard Auditbericht enthält separate Tabs für Kontrollen, Cloud-Kontrollen und Ressourcen mit jeweils eigenen Zählungen und Diagrammen. Im Dashboard Prüfbericht sehen Sie Ihren Compliance-Score. Das Dashboard jedes Tabs enthält Folgendes:

   • Zusammenfassung der Richtlinienkonformität:Der Prozentsatz wird so berechnet:

     (Number of evaluated items that compliance / Total number of items) * 100
     

     Ein Element kann eine Steuerung, eine Cloud-Steuerung oder eine Ressource sein. Die Gesamtzahl der Artikel umfasst alle Artikel, die den Richtlinien entsprechen, gegen die Richtlinien verstoßen und nicht bewertet (übersprungen) wurden.

   • Insgesamt:Die Gesamtzahl der Kontrollen oder Cloud-Kontrollen im Framework oder die Gesamtzahl der bewerteten Ressourcen.

   • Konform: Die Anzahl der Elemente, die die Bewertungsanforderungen erfüllt haben.

   • Verstöße: Die Anzahl der Elemente, die die Bewertungsanforderungen nicht erfüllt haben.

   • Nicht eindeutig: Die Anzahl der Elemente, bei denen Audit Manager nicht feststellen konnte, ob sie konform sind. Beispielsweise stimmten die abgerufenen Konfigurations- oder Logdaten nicht eindeutig mit den Complianceregeln überein.

   • Übersprungen:Die Anzahl der Elemente, die Audit Manager aufgrund eines Fehlers oder Systemproblems, das während der Prüfung aufgetreten ist, nicht auswerten konnte. Beispielsweise waren die Berechtigungen zum Prüfen einer bestimmten Ressource nicht ausreichend.

   • Nicht unterstützt: Die Anzahl der Elemente, die Audit Manager nicht prüfen konnte, weil sie die Bewertung von Ressourcen erfordern, die sich außerhalb von Google Cloudbefinden.

   • Gesammelte Nachweise: Die Menge an Informationen, die durch die technische Bewertung der Elemente extrahiert wurde.

   • Verstöße:Die Anzahl der Regeln oder Ressourcen, die Audit Manager als fehlerhaft eingestuft hat.

   Wenn Sie Feedback zu den neuen Funktionen geben möchten, klicken Sie auf Feedback geben.

5. Klicken Sie auf Bericht herunterladen, um den Auditbericht aus dem Cloud Storage-Bucket als OpenDocument-Tabelle (ODS) herunterzuladen.

   Alternativ können Sie den erforderlichen Bericht und die erforderlichen Nachweise direkt aus dem Ziel-Storage-Bucket herunterladen. Eine detaillierte Anleitung finden Sie unter Objekt aus einem Bucket herunterladen.

6. Wenn Sie weitere Informationen zum Status eines Artikels aufrufen möchten, klicken Sie neben dem Status auf Ansehen. In der gefilterten Ansicht wird die entsprechende Kontrolle, Cloud-Kontrolle oder Ressource angezeigt.

   • Auf dem Tab Steuerung ist die Ansicht nach Steuerelementen gruppiert. Maximieren Sie den Filter, um die Kontrollen und Cloud-Kontrollen zu sehen, die in einer Kontrolle gruppiert sind.

   • Auf dem Tab Cloud-Kontrolle ist die Ansicht nach Cloud-Kontrollen gruppiert.

   • Auf dem Tab Ressourcen ist die Ansicht nach dem Namen der Dienst-API gruppiert, z. B. cloudresourcemanager.googleapis.com. Wenn Sie die anwendbaren Ressourcen innerhalb eines Dienstes sehen möchten, maximieren Sie den Filter.

7. Vorschau: Wenn Sie eine von Gemini generierte Zusammenfassung der Ergebnisse für Cloud-Steuerelemente, Steuerelemente oder Ressourcen aufrufen möchten, klicken Sie auf Von Gemini generierte Statistiken.

   Weitere Informationen dazu, wie und wann Gemini for Google Cloud Ihre Daten verwendet

   Da es sich bei Produkten von Gemini für Google Cloudum Technologie in einem frühen Entwicklungsstadium handelt, kann es zu Ergebnissen kommen, die zwar plausibel erscheinen, aber faktisch falsch sind. Ausgaben der Produkte von Gemini für Google Cloud sollten daher vor der Verwendung geprüft werden. Weitere Informationen finden Sie unter Gemini für Google Cloud und verantwortungsbewusste Anwendung von KI.

8. Wenn Sie eine detaillierte Zusammenfassung zu einem bestimmten Element aufrufen möchten, klicken Sie in der Filteransicht auf das Element. Je nachdem, auf welchem Tab Sie sich befinden, werden die folgenden Informationen angezeigt:

   Kontrollbericht

   Auf der Berichtsseite Kontrolle wird Folgendes angezeigt:

   • Die ID und Familie des Steuerelements.
   • Der Status der gemeinsamen Verantwortung.
   • Der Überprüfungsstatus.
   • Der Bewertungsstatus.
   • Die Menge der Nachweise, die während des Audits erfasst wurden.
   • Eine von Gemini generierte Zusammenfassung der Bewertung.
   • Informationen zu den Cloud-Kontrollen, die Teil der Kontrolle sind, einschließlich der Anzahl der Cloud-Kontrollen, die bestanden wurden, und einer Zusammenfassung der Nachweise.
   • Eine Filteransicht mit Links zu Berichten über Cloud-Kontrollen und Informationen zur gemeinsamen Verantwortung.

   Bericht zu Cloud-Kontrollen

   Auf der Berichtsseite Cloud-Steuerung wird Folgendes angezeigt:

   • Der Name und die ID der Cloud-Kontrolle.
   • Der Überprüfungsstatus.
   • Die Kontrollen (als regulatorische Kontrollen bezeichnet), zu denen die Cloud-Kontrolle gehört.
   • Der Bewertungsstatus.
   • Eine von Gemini generierte Zusammenfassung der Bewertung.
   • Die Menge der Nachweise, die während des Audits erfasst wurden.
   • Informationen zu den Cloud-Kontrollen, die Teil der Kontrolle sind, einschließlich der Anzahl der Bewertungen, Verstöße und Nachweise.
   • Eine Filteransicht mit Links zu Beobachtungszusammenfassungen und entsprechenden Ressourcenberichten.

   Ressourcenbericht

   Auf der Berichtsseite Ressource wird Folgendes angezeigt:

   • Die entsprechende Ressource und der entsprechende Dienst.
   • Die Kontrollen (als regulatorische Kontrollen bezeichnet) und Cloud-Kontrollen, die zur Bewertung der Ressource verwendet wurden.
   • Der Bewertungsstatus.
   • Eine von Gemini generierte Zusammenfassung der Bewertung.
   • Beobachtungen, die während des Audits gemacht wurden, einschließlich der Anzahl der Bewertungen, Verstöße und Beweise.
   • Eine Filteransicht mit Links zu Beobachtungszusammenfassungen und Cloud-Kontrollberichten.

Berichte in Cloud Storage

Die Auditberichte von Audit Manager sind in Ordnern in Cloud Storage-Buckets verfügbar, die der folgenden Konvention entsprechen:

audit-reports/audit_RESOURCE_NAME_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID

Die Platzhalterwerte werden folgendermaßen beschrieben:

• RESOURCE_NAME: Die ID des Ordners oder Projekts, z. B. folders_12345 oder projects_12345.
• FRAMEWORK_NAME: Der Name des Frameworks, z. B. builtin-nist800-53-revision5.
• TIMESTAMP: Ein Zeitstempel, der angibt, wann der Bericht erstellt wurde.
• UNIQUE_ID: Eine eindeutige ID für den Bericht.

Jeder Audit-Ordner enthält separate Berichte für jede Kontrolle, Cloud-Kontrolle und jeden Nachweis. Kontroll- und Cloud-Kontrollberichte sind im ODS-Format und enthalten detaillierte Beschreibungen der Compliance-Bewertung für eine einzelne Kontrolle. Diese Berichte enthalten Bewertungsdetails für jede Compliance-Prüfung mit Beobachtungen und erwarteten Werten. Nachweisberichte sind im JSON-Format und enthalten alle Ressourcen, die für jede Kontrollmaßnahme ausgewertet wurden, einschließlich eines Rohdumps der Asset-Daten sowie des Befehls, der zum Erstellen der Ausgabe ausgeführt wurde.