Visualizzare un controllo

Al termine di un audit, Audit Manager crea e archivia gli artefatti dell'audit nei bucket di archiviazione di destinazione per consentirti di visualizzarli:

• Report di riepilogo del controllo
• Report di panoramica dei controlli
• Prove

La nuova esperienza della console (Anteprima) include un formato diverso per i report. Per ulteriori informazioni, vedi Visualizzare i report di Audit Manager (nuova esperienza).

Prima di iniziare

Assicurati di disporre dei seguenti ruoli IAM:

• Uno dei seguenti ruoli di Audit Manager per la risorsa:

  • Audit Manager Admin (roles/auditmanager.admin)
  • Audit Manager Auditor (roles/auditmanager.auditor)
  • Compliance Manager Viewer (roles/cloudsecuritycompliance.viewer) (obbligatorio se stai eseguendo l'audit di un framework che hai creato utilizzando Compliance Manager)

• Uno dei seguenti ruoli Cloud Storage per il bucket di archiviazione che contiene i report di Audit Manager:

  • Storage Admin (roles/storage.admin)
  • Storage Legacy Bucket Owner (roles/storage.legacyBucketOwner)
  • Storage Legacy Object Reader (roles/storage.legacyObjectReader)

Visualizzare i report di Audit Manager (esperienza classica)

1. Nella console Google Cloud , vai alla pagina Audit Manager.

   Vai ad Audit Manager

2. Nella sezione Controlli di conformità, fai clic su Visualizza controlli.

3. Nella pagina Visualizza valutazioni, puoi visualizzare lo stato di un audit in corso o completato da Audit Manager o Compliance Manager.

4. A seconda del tipo di informazioni di controllo che vuoi visualizzare, segui le istruzioni nella scheda corrispondente.

   Report di riepilogo del controllo

   1. Per visualizzare il riepilogo dell'audit, fai clic sul link nella colonna Stato.

      La pagina Informazioni di base mostra le informazioni sui controlli di conformità nell'ambito e lo stato della conformità automatizzata:

      • Conforme: mostra le configurazioni che soddisfano tutti i requisiti.
      • Violazioni:mostra le configurazioni errate rilevate rispetto a un determinato controllo.
      • È necessaria una revisione manuale:mostra le configurazioni che richiedono l'inserimento di dati da parte dell'utente per dimostrare la conformità e il controllo della procedura.
      • Ignorate: mostra le configurazioni che Audit Manager ha ignorato per un determinato controllo.
   2. Per visualizzare i dettagli di uno stato, fai clic su Visualizza.
   3. Per esportare il report di riepilogo dell'audit, fai clic su Esporta. Il report di riepilogo del controllo viene esportato nel formato ODS.

   Report di panoramica controlli

   Puoi utilizzare la pagina Informazioni di base per visualizzare il report di panoramica dei controlli in base a un controllo o a uno stato.

   • Per visualizzare il report di panoramica dei controlli basato su un controllo:
     1. Espandi il controllo richiesto.
     2. Per visualizzare la valutazione dettagliata della conformità a ogni regola, fai clic sul rispettivo link ipertestuale. La pagina dei controlli mostra la responsabilità, i risultati e i requisiti.
   • Per visualizzare il report sui controlli in base a uno stato:
     1. Per lo stato richiesto, fai clic su Visualizza.
     2. Nell'elenco dei controlli, fai clic sul link ipertestuale richiesto. La pagina dei controlli mostra la responsabilità, i risultati e i requisiti.

   Per esportare il report di panoramica dei controlli, fai clic su Esporta.Nella pagina Dettagli bucket, fai clic sul nome del controllo e poi su Scarica. Il report di panoramica dei controlli viene esportato nel formato ODS.

   Prove

   Per visualizzare le prove di un risultato, fai clic sul link ipertestuale corrispondente nella pagina dei controlli. La pagina Dettagli oggetto con i dettagli delle prove si apre in una scheda separata.

   Per scaricare le prove, fai clic su Scarica. La prova viene scaricata in formato JSON.

In alternativa, puoi scaricare il report e le prove richiesti direttamente dal bucket di archiviazione di destinazione. Per istruzioni dettagliate, consulta Scarica un oggetto da un bucket.

Report di riepilogo del controllo

Un report di riepilogo dell'audit è un report completo che fornisce una panoramica generale di tutti i controlli di conformità e una matrice delle responsabilità per aiutarti a comprendere il sistema.

Nel bucket di archiviazione di destinazione, il report di riepilogo del controllo utilizza la seguente convenzione di denominazione:

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/overall_report.ods

I valori segnaposto sono descritti di seguito:

• FRAMEWORK_NAME: il nome del framework, ad esempio SOC2 2017.
• TIMESTAMP: un timestamp relativo alla data e all'ora di generazione del report.
• UNIQUE_ID: un ID univoco per il report.

Per ogni tipo di controllo applicabile, i seguenti campi vengono compilati nel report di riepilogo audit:

Tipo di controllo	Descrizione
Informazioni sul controllo	Una descrizione e un requisito per il controllo.
Responsabilità di Google	Google Cloud responsabilità e i dettagli dell'implementazione.
Responsabilità del cliente	Responsabilità del cliente e dettagli di implementazione.
Stato valutazione	Stato di conformità del controllo. Lo stato può essere uno dei seguenti tipi: Non conforme: è stata rilevata una deviazione dalla conformità Conforme: il sistema è conforme Revisione manuale necessaria: gli artefatti vengono prodotti, ma è necessario l'input utente per concludere lo stato di conformità Ignorato: controllo manuale, automazione non presente
Link al report di controllo	Un link al report Panoramica dei controlli.

Report di panoramica dei controlli

Un report di panoramica dei controlli contiene una descrizione dettagliata della valutazione della conformità per un singolo controllo. Fornisce i dettagli della valutazione per ogni controllo di conformità con osservazioni e valori previsti.

Nel bucket di archiviazione di destinazione, il report di panoramica dei controlli utilizza la seguente convenzione di denominazione:

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/CONTROL_ID.ods

I valori segnaposto sono descritti di seguito:

• FRAMEWORK_NAME: il nome del framework, ad esempio CIS_CONTROLS_V8.
• TIMESTAMP: un timestamp relativo alla data e all'ora di generazione del report.
• UNIQUE_ID: un ID univoco per il report.
• CONTROL_ID: l'ID del controllo.

Un report di panoramica dei controlli è simile al seguente esempio:

Controllo ID: CONFORME
Nome servizio	N° di risorse	Stato	Dettagli della valutazione delle risorse
			ID risorsa	Campo misurato	Valore attuale	Valore previsto	Stato	URI della risorsa di prova	Timestamp della prova	Prove per il progetto/la cartella	Link alle prove
Numero totale di servizi inclusi nell'ambito di questo controllo	Risorse totali nell'ambito dell'audit	Stato di conformità	Identificatore di risorse	Configurazione da misurare per l'audit	Valori osservati	Valori conformi	Stato di conformità individuale		Timestamp della raccolta delle prove
product1.googleapis.com	2	CONFORME	Risorsa 1	abc	10	>=10	CONFORME	Risorsa 1	12/05/2023 12:55:16	Progetto 1	Link 1
				def	15	=15	CONFORME	Risorsa 4	12/05/2023 13:55:16	Progetto 1	Link 4
			Risorsa 2	xyz	20	=20	CONFORME	Risorsa 2	12/05/2023 14:55:16	Progetto 1	Link 2
product2.googleapis.com	1	CONFORME	Risorsa 3	def	5	>=5	CONFORME	Risorsa 3	12/05/2023 15:55:16	Progetto 1	Link 3

Prove

Le prove includono tutte le risorse valutate per ogni controllo, incluso un dump non elaborato dei dati degli asset insieme al comando eseguito per produrre l'output.

Nel bucket di archiviazione di destinazione, le prove utilizzano la seguente convenzione di denominazione:

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/evidences/evidenceEVIDENCE_ID.json

I valori segnaposto sono descritti come segue:

• FRAMEWORK_NAME: il nome del framework, ad esempio CIS_CONTROLS_V8.
• TIMESTAMP: un timestamp relativo alla data e all'ora di generazione del report.
• UNIQUE_ID: un ID univoco per il report.
• EVIDENCE_ID: un ID univoco per la prova.

Visualizza i report di Audit Manager (nuova esperienza)

Anteprima

Questa funzionalità è soggetta ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

Nella nuova esperienza della console, puoi visualizzare il punteggio di conformità per controlli, controlli cloud e risorseGoogle Cloud nella pagina Report di controllo della console Google Cloud .

Nota :per fornire un feedback sulla nuova esperienza, nella pagina Report audit per un determinato audit, fai clic su Invia feedback.

1. Nella console Google Cloud , vai alla pagina Audit Manager.

   Vai ad Audit Manager

2. Nella sezione Controlli di conformità, fai clic su Visualizza controlli.

3. Fai clic su Passa alla nuova esperienza.

   Nella pagina Visualizza audit, puoi visualizzare lo stato di un audit in corso o completato da Audit Manager o Compliance Manager.

4. Per saperne di più su un controllo, fai clic sul nome del controllo.

   La dashboard Report di controllo include schede separate per controlli, controlli cloud e risorse, ciascuna con i propri conteggi e diagrammi univoci. La dashboard Report di controllo mostra il tuo punteggio di conformità. La dashboard di ogni scheda include quanto segue:

   • Riepilogo della conformità:la percentuale viene determinata come segue:

     (Number of evaluated items that compliance / Total number of items) * 100
     

     Un elemento può essere un controllo, un controllo cloud o una risorsa. Il numero totale di elementi include tutti gli elementi conformi, in violazione e non valutati (ignorati).

   • Totale:il numero totale di controlli o controlli cloud nel framework o il numero totale di risorse valutate.

   • Conforme:il numero di elementi che hanno soddisfatto i requisiti di valutazione.

   • Violazioni:il numero di elementi che non soddisfacevano i requisiti di valutazione.

   • Non conclusivo:il numero di elementi per i quali Audit Manager non è riuscito a determinare se erano conformi. Ad esempio, i dati di configurazione o di log recuperati non corrispondevano chiaramente alle regole di conformità.

   • Ignorati:il numero di elementi che Audit Manager non è riuscito a valutare a causa di un errore o di un problema di sistema riscontrato durante la valutazione. Ad esempio, non erano presenti autorizzazioni sufficienti per ispezionare una risorsa specifica.

   • Non supportati:il numero di elementi che Audit Manager non ha potuto ispezionare perché richiedono la valutazione di risorse esterne a Google Cloud.

   • Prove raccolte: la quantità di informazioni estratte tramite la valutazione tecnica degli elementi.

   • Valutazioni in violazione:il numero di regole o risorse che Audit Manager ha valutato come non conformi.

   Per fornire un feedback sulla nuova esperienza, fai clic su Invia feedback.

5. Per scaricare il report di controllo dal bucket Cloud Storage come foglio di lavoro OpenDocument (ODS), fai clic su Scarica report.

   In alternativa, puoi scaricare il report e le prove richiesti direttamente dal bucket di archiviazione di destinazione. Per istruzioni dettagliate, vedi Scaricare un oggetto da un bucket.

6. Per visualizzare ulteriori informazioni sullo stato di un elemento, fai clic su Visualizza accanto allo stato. La visualizzazione filtrata mostra il controllo, il controllo cloud o la risorsa applicabile.

   • Nella scheda Controllo, la visualizzazione è raggruppata per controlli. Per visualizzare i controlli e i controlli cloud raggruppati all'interno di un controllo, espandi il filtro.

   • Nella scheda Controllo cloud, la visualizzazione è raggruppata per controlli cloud.

   • Nella scheda Risorse, la visualizzazione è raggruppata per nome dell'API di servizio (ad esempio cloudresourcemanager.googleapis.com). Per visualizzare le risorse applicabili all'interno di un servizio, espandi il filtro.

7. (Anteprima) Per visualizzare un riepilogo generato da Gemini sui risultati per controlli, controlli o risorse cloud, fai clic su Approfondimenti generati da Gemini.

   Scopri come e quando Gemini per Google Cloud utilizza i tuoi dati.

   Poiché si tratta di una tecnologia in fase iniziale, Gemini per i prodotti Google Cloud può generare output apparentemente plausibili, ma di fatto errati. Ti consigliamo di verificare tutti gli output di Gemini per i prodotti Google Cloud prima di utilizzarli. Per saperne di più, consulta Gemini in Google Cloud e l'AI responsabile.

8. Per visualizzare un riepilogo dettagliato di un determinato elemento, fai clic sull'elemento nella visualizzazione filtrata. A seconda della scheda in cui ti trovi, vengono visualizzate le seguenti informazioni:

   Report di controllo

   La pagina del report Controllo mostra quanto segue:

   • L'ID controllo e la famiglia.
   • Lo stato della responsabilità condivisa.
   • Lo stato della revisione.
   • Lo stato della valutazione.
   • La quantità di prove raccolte durante l'audit.
   • Un riepilogo della valutazione generato da Gemini.
   • Informazioni sui controlli cloud che fanno parte del controllo, incluso il numero di controlli cloud superati e il riepilogo delle prove.
   • Una visualizzazione filtrata che fornisce link ai report sui controlli cloud e informazioni sulla responsabilità condivisa.

   Report sul controllo cloud

   La pagina del report Controllo cloud mostra quanto segue:

   • Il nome e l'ID del controllo cloud.
   • Lo stato della revisione.
   • I controlli (denominati controlli normativi) a cui appartiene il controllo cloud.
   • Lo stato della valutazione.
   • Un riepilogo della valutazione generato da Gemini.
   • La quantità di prove raccolte durante l'audit.
   • Informazioni sui controlli cloud che fanno parte del controllo, tra cui il numero di valutazioni, violazioni e prove.
   • Una visualizzazione filtrata che fornisce link ai riepiloghi delle osservazioni e ai report sulle risorse applicabili.

   Report sulle risorse

   La pagina del report Risorsa mostra quanto segue:

   • La risorsa e il servizio applicabili.
   • I controlli (denominati controlli normativi) e i controlli cloud utilizzati per valutare la risorsa.
   • Lo stato della valutazione.
   • Un riepilogo della valutazione generato da Gemini.
   • Osservazioni rilevate durante l'audit, che includono il numero di valutazioni, violazioni e prove.
   • Una visualizzazione filtrata che fornisce link ai riepiloghi delle osservazioni e ai report di controllo del cloud.

Report in Cloud Storage

I report di controllo di Audit Manager sono disponibili in cartelle all'interno dei bucket di archiviazione di Cloud Storage che utilizzano la seguente convenzione:

audit-reports/audit_RESOURCE_NAME_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID

I valori segnaposto sono descritti come segue:

• RESOURCE_NAME: l'ID della cartella o del progetto, ad esempio folders_12345 o projects_12345.
• FRAMEWORK_NAME: il nome del framework, ad esempio builtin-nist800-53-revision5.
• TIMESTAMP: un timestamp relativo al momento in cui è stato generato il report.
• UNIQUE_ID: un ID univoco per il report.

Ogni cartella di audit include report separati disponibili per ogni controllo, controllo cloud e prova. I report sui controlli e sui controlli cloud sono in formato ODS e contengono descrizioni dettagliate della valutazione della conformità per un singolo controllo. Questi report forniscono i dettagli della valutazione per ogni controllo di conformità con osservazioni e valori previsti. I report sulle prove sono in formato JSON e includono tutte le risorse valutate per ogni controllo, incluso un dump non elaborato dei dati degli asset insieme al comando eseguito per produrre l'output.