查看稽核記錄

稽核完成後，稽核管理工具會建立稽核構件，並儲存在目的地儲存空間 bucket，供您查看：

• 稽核摘要報告
• 控管措施總覽報表
• 證據

新版控制台 (預先發布版) 的報表格式不同。詳情請參閱「查看 Audit Manager 報表 (新版)」。

事前準備

確認您具備下列 IAM 角色：

• 資源具備下列其中一個稽核管理員角色：

  • 稽核管理員管理員 (roles/auditmanager.admin)
  • Audit Manager 稽核者 (roles/auditmanager.auditor)
  • Compliance Manager 檢視者 (roles/cloudsecuritycompliance.viewer) (如要稽核使用 Compliance Manager 建立的架構，則必須具備此角色)

• 儲存空間 bucket 的下列其中一個 Cloud Storage 角色 (內含 Audit Manager 報表)：

  • 儲存空間管理員 (roles/storage.admin)
  • Storage 繼承 Bucket 擁有者 (roles/storage.legacyBucketOwner)
  • Storage 舊版物件讀取者 (roles/storage.legacyObjectReader)

查看稽核管理工具報告 (傳統版)

1. 前往 Google Cloud 控制台的「Audit Manager」頁面。

   前往 Audit Manager

2. 在「法規遵循稽核」部分，按一下「查看稽核」。

3. 在「查看評估」頁面中，您可以查看 Audit Manager 或 Compliance Manager 進行中或已完成的稽核狀態。

4. 請根據您要查看的稽核資訊類型，按照對應分頁中的指示操作。

   稽核摘要報告

   1. 如要查看稽核摘要，請點選「狀態」欄中的連結。

      「Basic information」(基本資訊) 頁面會顯示範圍內法規遵循控管措施的相關資訊，以及自動法規遵循狀態：

      • 「Compliant」(符合規範)：顯示符合所有規定的設定。
      • 違規事項：顯示針對特定控制項偵測到的設定錯誤。
      • 需要手動審查：顯示需要使用者輸入內容，才能證明法規遵循和程序控管的設定。
      • 已略過：顯示稽核管理員針對特定控制項略過的設定。
   2. 如要查看狀態詳情，請按一下「查看」。
   3. 如要匯出稽核摘要報告，請按一下「匯出」。 稽核摘要報告會以 ODS 格式匯出。

   控管總覽報表

   您可以在「基本資訊」頁面，根據控制項或狀態查看控制項總覽報表。

   • 如要查看以控制項為準的控制項總覽報表，請按照下列步驟操作：
     1. 展開所需控制項。
     2. 如要查看各項規則的詳細法規遵循評估結果，請按一下對應的超連結。控管機制頁面會顯示責任、發現項目和需求。
   • 如要根據狀態查看控制項報表，請按照下列步驟操作：
     1. 按一下所需狀態的「查看」。
     2. 在控制項清單中，按一下所需超連結。 控管機制頁面會顯示責任、發現項目和需求。

   如要匯出控管總覽報表，請按一下「Export」(匯出)。在「Bucket details」(值區詳細資料) 頁面中，按一下控管項名稱，然後點選「Download」(下載)。控制項總覽報表會以 ODS 格式匯出。

   證據

   如要查看發現項目的證據，請在控制項頁面中按一下對應的超連結。系統會在另一個分頁中開啟「物件詳細資料」頁面，並顯示證據詳細資料。

   如要下載證據，請按一下「下載」。系統會以 JSON 格式下載證據。

或者，您也可以直接從目的地儲存空間 bucket 下載所需報表和證據。如需詳細操作說明，請參閱「從 bucket 下載物件」。

稽核摘要報告

稽核摘要報告是一份綜合報告，提供所有法規遵循控管措施和責任矩陣的概要說明，協助您瞭解系統。

在目標儲存空間值區中，稽核摘要報告會使用下列命名慣例：

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/overall_report.ods

預留位置值的說明如下：

• FRAMEWORK_NAME：架構名稱，例如 SOC2 2017。
• TIMESTAMP：報表生成時的時間戳記。
• UNIQUE_ID：報表的專屬 ID。

稽核摘要報告會為每個適用的控管類型填入下列欄位：

控制項類型	說明
控制項資訊	控管機制的說明和需求。
Google 的責任	Google Cloud 責任和實作細節。
客戶責任	客戶責任和實作詳細資料。
評估狀態	控制項的法規遵循狀態。狀態可以是下列其中一種類型： 不符合規定：偵測到法規遵循偏離 符合規定：系統符合規定 需要手動審查：系統已產生測試成果，但需要使用者輸入內容，才能判斷是否符合規定 已略過：手動控制，沒有自動化功能
控制報表連結	控管機制總覽報表的連結。

控管措施總覽報表

控制項總覽報表包含單一控制項法規遵循評估的詳細說明。並提供各項法規遵循檢查的評估詳細資料，包括觀察結果和預期值。

在目標儲存空間 bucket 中，控制組總覽報表會採用下列命名慣例：

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/CONTROL_ID.ods

預留位置值說明如下：

• FRAMEWORK_NAME：框架名稱，例如 CIS_CONTROLS_V8。
• TIMESTAMP：報表生成時的時間戳記。
• UNIQUE_ID：報表的專屬 ID。
• CONTROL_ID：控制項的 ID。

控制項總覽報表大致如下：

控管機制 ID：符合規定
服務名稱	資源數量	Status	資源評估詳細資料
			資源 ID	測量欄位	目前值	預期價值	Status	證據資源 URI	證據時間戳記	專案/資料夾的證據	證據連結
這項控管機制涵蓋的服務總數	稽核範圍內的資源總數	法規遵循狀態	資源 ID	稽核評估的設定	觀察值	符合的值	個別法規遵循狀態		收集證據的時間戳記
product1.googleapis.com	2	符合規定	資源 1	abc	10	>=10	符合規定	資源 1	12/05/2023 12:55:16	專案 1	連結 1
				def	15	=15	符合規定	資源 4	12/05/2023 13:55:16	專案 1	連結 4
			資源 2	xyz	20	=20	符合規定	資源 2	12/05/2023 14:55:16	專案 1	連結 2
product2.googleapis.com	1	符合規定	資源 3	def	5	>=5	符合規定	資源 3	12/05/2023 15:55:16	專案 1	連結 3

證據

證據包括針對每個控管措施評估的所有資源，包括資產資料的原始傾印，以及執行後產生輸出的指令。

在目的地儲存空間 bucket 中，證據會使用下列命名慣例：

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/evidences/evidenceEVIDENCE_ID.json

預留位置值說明如下：

• FRAMEWORK_NAME：框架名稱，例如 CIS_CONTROLS_V8。
• TIMESTAMP：報表生成時的時間戳記。
• UNIQUE_ID：報表的專屬 ID。
• EVIDENCE_ID：證據的專屬 ID。

查看稽核管理工具報表 (新版)

預覽

這項功能適用《服務專屬條款》中「一般服務條款」一節的《正式發布前產品條款》。正式發布前功能是依「原樣」提供，支援服務可能受限。 詳情請參閱推出階段說明。

在新版控制台中，您可以前往 Google Cloud 控制台的「Audit report」(稽核報告) 頁面，查看控管機制、雲端控管機制和Google Cloud 資源的法規遵循分數。

注意： 如要對新版功能提供意見，請在特定稽核的「稽核報告」頁面中，按一下「提供意見」。

1. 前往 Google Cloud 控制台的「Audit Manager」頁面。

   前往「稽核管理工具」

2. 在「法規遵循稽核」部分，按一下「查看稽核」。

3. 按一下「切換至新版介面」。

   在「View audits」(查看稽核) 頁面中，您可以查看稽核管理員或法規遵循管理員正在進行或已完成的稽核狀態。

4. 如要進一步瞭解稽核，請按一下稽核名稱。

   「稽核報告」資訊主頁包含控管機制、雲端控管機制和資源的分頁，每個分頁都有專屬的計數和圖表。「Audit report」(稽核報告) 資訊主頁會顯示法規遵循分數。每個分頁的資訊主頁都包含下列項目：

   • 法規遵循摘要：百分比的計算方式如下：

     (Number of evaluated items that compliance / Total number of items) * 100
     

     項目可以是控管機制、雲端控管機制或資源。項目總數包括所有符合規定、違反規定和未評估 (略過) 的項目。

   • 總計：架構中的控管機制或雲端控管機制總數，或受評估的資源總數。

   • 符合規定：符合評估規定的項目數量。

   • 違規：不符合評估規定的項目數量。

   • 無法判定：稽核管理員無法判定是否符合法規的項目數量。舉例來說，擷取的設定或記錄資料與法規遵循規則不符。

   • 略過：稽核管理員在評估期間因發生錯誤或系統問題，而無法評估的項目數量。舉例來說，您可能沒有檢查特定資源的足夠權限。

   • 不支援：Audit Manager 無法檢查的項目數量，因為這些項目需要評估 Google Cloud以外的資源。

   • 收集的證據：透過技術評估從項目中擷取的資訊量。

   • 違規評估：稽核管理員評估為失敗的規則或資源數量。

   如要針對新服務提供意見，請按一下「提供意見」。

5. 如要從 Cloud Storage bucket 下載稽核報告，並儲存為 OpenDocument 試算表 (ODS)，請按一下「Download report」(下載報告)。

   或者，您也可以直接從目標儲存空間 bucket 下載所需報表和證據。如需詳細操作說明，請參閱「從 bucket 下載物件」。

6. 如要查看項目狀態的詳細資訊，請按一下狀態旁的「查看」。篩選檢視畫面會顯示適用的控管措施、Cloud Control 或資源。

   • 在「Control」(控制項) 分頁中，檢視畫面會依控制項分組。如要查看控制項和雲端控制項，請展開篩選器。

   • 「雲端控管機制」分頁會依雲端控管機制分組顯示。

   • 在「Resources」(資源) 分頁中，檢視畫面會依服務 API 名稱 (例如 cloudresourcemanager.googleapis.com) 分組。如要查看服務中的適用資源，請展開篩選器。

7. (預先發布版) 如要查看 Gemini 生成的雲端控管機制、控管機制或資源結果摘要，請按一下「Insights generated by Gemini」(Gemini 生成的洞察資料)。

   瞭解 Gemini for Google Cloud 如何使用您的資料。

   Gemini for Google Cloud產品仍處於早期技術階段，因此可能會生成看似合理卻與事實不符的輸出內容。使用輸出內容前，請一律確認 Gemini for Google Cloud 產品輸出內容是否屬實。詳情請參閱「Gemini for Google Cloud 和負責任的 AI 技術」。

8. 如要查看特定項目的詳細摘要，請在篩選檢視畫面中點選該項目。視您所在的分頁而定，系統會顯示下列資訊：

   控管報表

   「控管機制」報表頁面會顯示下列資訊：

   • 控制項 ID 和系列。
   • 共同責任狀態。
   • 審查狀態。
   • 評估狀態。
   • 稽核期間收集的證據量。
   • Gemini 生成的評估摘要。
   • 控管機制中雲端控管措施的相關資訊，包括通過的雲端控管措施數量和證據摘要。
   • 篩選檢視畫面，提供雲端控管報表和共同責任資訊的連結。

   雲端控管機制報告

   「雲端控管機制」報表頁面會顯示下列資訊：

   • 雲端控管機制名稱和 ID。
   • 審查狀態。
   • 雲端控制選項所屬的控制選項 (稱為法規控制選項)。
   • 評估狀態。
   • Gemini 生成的評估摘要。
   • 稽核期間收集的證據量。
   • 屬於控管機制的雲端控管措施相關資訊，包括評估次數、違規事項和證據。
   • 經過篩選的檢視畫面，提供觀察摘要和適用資源報表的連結。

   資源報表

   「資源」報表頁面會顯示下列資訊：

   • 適用的資源和服務。
   • 用於評估資源的控管機制 (稱為「法規控管機制」) 和雲端控管機制。
   • 評估狀態。
   • Gemini 生成的評估摘要。
   • 稽核期間發現的觀察結果，包括評估次數、違規次數和證據。
   • 篩選檢視畫面，提供觀察摘要和雲端控管報表的連結。

Cloud Storage 中的報表

稽核管理員稽核報告位於 Cloud Storage 儲存空間 bucket 內的資料夾，採用下列命名慣例：

audit-reports/audit_RESOURCE_NAME_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID

預留位置值說明如下：

• RESOURCE_NAME：資料夾或專案的 ID，例如 folders_12345 或 projects_12345。
• FRAMEWORK_NAME：架構名稱，例如 builtin-nist800-53-revision5。
• TIMESTAMP：報表生成時的時間戳記。
• UNIQUE_ID：報表的專屬 ID。

每個稽核資料夾都包含各項控管機制、雲端控管機制和證據的個別報表。控制項和雲端控制項報表採用 ODS 格式，並詳細說明單一控制項的法規遵循評估結果。這些報表會提供各項法規遵循檢查的評估詳細資料，包括觀察結果和預期值。證據報告採用 JSON 格式，包含針對各項控管措施評估的所有資源，包括資產資料的原始傾印，以及用於產生輸出的指令。