Cómo ver una auditoría

Cuando se completa una auditoría, el Administrador de auditorías crea y almacena los siguientes artefactos de auditoría en los buckets de almacenamiento de destino para que los veas:

  • Informe de resumen de auditoría
  • Informe de resumen de controles
  • Evidencia

Antes de comenzar

Asegúrate de tener los siguientes roles de IAM:

Visualiza informes de Audit Manager

Puedes ver tu puntuación de cumplimiento de los controles, los controles de la nube y los recursos deGoogle Cloud en la página Informe de auditoría de la consola de Google Cloud .

  1. En la consola de Google Cloud , ve a la página Gestor de auditorías.

    Ir al Gestor de auditorías

  2. En la sección Auditorías de cumplimiento, haz clic en Ver auditorías.

    En la página Ver auditorías, puedes ver el estado de una auditoría en curso o una auditoría completada desde el Administrador de auditorías o el Administrador de cumplimiento.

  3. Para obtener más información sobre una auditoría, haz clic en su nombre.

    Puedes ver información sobre la auditoría, incluido su estado, qué recursos se auditaron, el framework, la ubicación, el tiempo de ejecución y el bucket de almacenamiento que incluye los informes de auditoría. Si corresponde, para ver los parámetros que se especificaron para el informe, haz clic en Anulaciones.

    El panel Informe de auditoría incluye pestañas separadas para los controles, los controles de la nube y los recursos, cada uno con sus propios recuentos y diagramas únicos. En el panel Informe de auditoría, se muestra tu puntuación de cumplimiento. El panel de cada pestaña incluye lo siguiente:

    • Resumen de cumplimiento: El porcentaje se determina de la siguiente manera:

      (Number of evaluated items that compliance / Total number of items) * 100

      Un elemento puede ser un control, un control de nube o un recurso. La cantidad total de elementos incluye todos los elementos que cumplen con los requisitos, los que no los cumplen y los que no se evaluaron (omitidos).

    • Total: Es la cantidad total de controles o controles de nube en el framework, o la cantidad total de recursos que se evaluaron.

    • Cumplimiento: Es la cantidad de elementos que cumplieron con los requisitos de evaluación.

    • Incumplimientos: Es la cantidad de elementos que no cumplieron con los requisitos de la evaluación.

    • No concluyente: Es la cantidad de elementos que el Gestor de auditorías no pudo determinar si cumplían con los requisitos. Por ejemplo, los datos de configuración o de registro que se recuperaron no coincidían claramente con las reglas de cumplimiento.

    • Omitidos: Es la cantidad de elementos que el Administrador de auditorías no pudo evaluar debido a un error o problema del sistema que se produjo durante la evaluación. Por ejemplo, no había permisos suficientes para inspeccionar un recurso específico.

    • No admitidos: Es la cantidad de elementos que el Gestor de auditorías no pudo inspeccionar porque requieren la evaluación de recursos que están fuera de Google Cloud.

    • Evidencia recopilada: Es la cantidad de información que se extrajo a través de la evaluación técnica de los elementos.

    • Evaluaciones con incumplimientos: Es la cantidad de reglas o recursos que el Gestor de auditorías evaluó como fallidos.

  4. Para descargar el informe de auditoría del bucket de Cloud Storage como una hoja de cálculo de OpenDocument (ODS), haz clic en Descargar informe.

    Como alternativa, puedes descargar el informe y la evidencia requeridos directamente del bucket de almacenamiento de destino. Para obtener instrucciones detalladas, consulta Descarga un objeto de un bucket.

  5. Para obtener más información sobre el estado de un elemento, haz clic en Ver junto al estado. La vista filtrada muestra el control, el control de nube o el recurso aplicables.

    • En la pestaña Control, la vista se agrupa por controles. Para ver los controles y los controles de Cloud que se agrupan en un control, expande el filtro.

    • En la pestaña Control de la nube, la vista se agrupa por controles de la nube.

    • En la pestaña Recursos, la vista se agrupa por nombre de la API del servicio (por ejemplo, cloudresourcemanager.googleapis.com). Para ver los recursos aplicables dentro de un servicio, expande el filtro.

  6. (Vista previa) Para ver un resumen generado por Gemini sobre los resultados de los controles, los recursos o los controles de la nube, haz clic en Estadísticas generadas por Gemini.

    Descubre cómo y cuándo Gemini para Google Cloud usa tus datos.

  7. Para ver un resumen detallado sobre un elemento en particular, haz clic en él en la vista de filtro. Según la pestaña en la que te encuentres, se mostrará la siguiente información:

    Informe de control

    En la página del informe Control, se muestra lo siguiente:

    • El ID y la familia del control.
    • El estado de responsabilidad compartida.
    • Es el estado de la revisión.
    • Es el estado de la evaluación.
    • La cantidad de evidencia que se recopiló durante la auditoría.
    • Un resumen de la evaluación que genera Gemini.
    • Información sobre los controles de la nube que forman parte del control, incluida la cantidad de controles de la nube que se aprueban y el resumen de la evidencia.
    • Es una vista filtrada que proporciona vínculos a informes de control de la nube y a información sobre la responsabilidad compartida.

    Informe de control de la nube

    En la página del informe Control de Cloud, se muestra lo siguiente:

    • El nombre y el ID del control de nube.
    • Es el estado de la revisión.
    • Los controles (denominados controles regulatorios) a los que pertenece el control de la nube.
    • Es el estado de la evaluación.
    • Un resumen de la evaluación que genera Gemini.
    • La cantidad de evidencia que se recopiló durante la auditoría.
    • Información sobre los controles de la nube que forman parte del control, incluida la cantidad de evaluaciones, incumplimientos y evidencias.
    • Es una vista filtrada que proporciona vínculos a resúmenes de observaciones y a informes de recursos aplicables.

    Informe de recursos

    En la página del informe Recurso, se muestra lo siguiente:

    • El recurso y el servicio aplicables.
    • Los controles (denominados controles regulatorios) y los controles de nube que se usaron para evaluar el recurso.
    • Es el estado de la evaluación.
    • Un resumen de la evaluación que genera Gemini.
    • Son las observaciones que se encontraron durante la auditoría, que incluyen la cantidad de evaluaciones, incumplimientos y evidencias.
    • Es una vista filtrada que proporciona vínculos a resúmenes de observaciones y a informes de controles de la nube.

Informes en Cloud Storage

Los informes de auditoría del Administrador de auditorías están disponibles en carpetas dentro de los buckets de almacenamiento de Cloud Storage que usan la siguiente convención:

audit-reports/audit_RESOURCE_NAME_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID

Los valores de marcador de posición se describen de la siguiente manera:

  • RESOURCE_NAME: Es el ID de la carpeta o del proyecto, como folders_12345 o projects_12345.
  • FRAMEWORK_NAME: Es el nombre del framework, como builtin-nist800-53-revision5.
  • TIMESTAMP: Es la marca de tiempo en la que se generó el informe.
  • UNIQUE_ID: Es un ID único para el informe.

Cada carpeta de auditoría incluye informes separados disponibles para cada control, control de nube y evidencia. Los informes de control y de control de nube están en formato ODS y contienen descripciones detalladas de la evaluación de cumplimiento de un solo control. En estos informes, se proporcionan detalles de la evaluación para cada comprobación de cumplimiento con observaciones y valores esperados. Los informes de evidencia están en formato JSON y contienen todos los recursos evaluados para cada control, incluido un volcado sin procesar de los datos de los recursos junto con el comando que se ejecutó para producir el resultado.