Ver uma auditoria

Quando uma auditoria é concluída, o Audit Manager cria e armazena artefatos de auditoria nos buckets de armazenamento de destino para você visualizar:

• Relatório de resumo da auditoria
• Relatório de visão geral do controle
• Evidência

A nova experiência do console (versão prévia) inclui um formato diferente para os relatórios. Para mais informações, consulte Visualizar relatórios do Audit Manager (nova experiência).

Antes de começar

Verifique se você tem os seguintes papéis do IAM:

• Um dos seguintes papéis do Audit Manager para o recurso:

  • Administrador do Audit Manager (roles/auditmanager.admin)
  • Auditor do Audit Manager (roles/auditmanager.auditor)
  • Visualizador do Compliance Manager (roles/cloudsecuritycompliance.viewer) (necessário se você estiver auditando um framework criado usando o Compliance Manager)

• Um dos seguintes papéis do Cloud Storage para o bucket de armazenamento que contém relatórios do Audit Manager:

  • Administrador do Storage (roles/storage.admin)
  • Proprietário de bucket legado do Storage (roles/storage.legacyBucketOwner)
  • Leitor de objeto legado do Storage (roles/storage.legacyObjectReader)

Visualizar relatórios do Audit Manager (experiência clássica)

1. No Google Cloud console, acesse a página Audit Manager.

   Acessar o Audit Manager

2. Na seção Compliance audits, clique em View audits.

3. Na página View assessments, é possível conferir o status de uma auditoria em andamento ou concluída do Audit Manager ou do Compliance Manager.

4. Dependendo do tipo de informação de auditoria que você quer visualizar, siga as instruções na guia correspondente.

   Relatório de resumo da auditoria

   1. Para conferir o resumo da auditoria, clique no link na coluna Status.

      A página Basic information mostra as informações sobre os controles de compliance no escopo e o status da compliance automatizada:

      • Em compliance: mostra as configurações que atendem a todos os requisitos.
      • Violações: mostra as configurações incorretas detectadas em um determinado controle.
      • Revisão manual necessária: mostra as configurações que precisam de entradas do usuário para comprovar a compliance e o controle de processos.
      • Ignorado: mostra as configurações que o Audit Manager ignorou para um determinado controle.
   2. Para conferir os detalhes de um status, clique em Visualizar.
   3. Para exportar o relatório de resumo da auditoria, clique em Exportar. O relatório de resumo da auditoria é exportado no formato ODS.

   Relatório de visão geral do controle

   É possível usar a página Basic information para conferir o relatório de visão geral do controle com base em um controle ou status.

   • Para conferir o relatório de visão geral do controle com base em um controle, faça o seguinte:
     1. Expanda o controle necessário.
     2. Para conferir a avaliação de compliance detalhada em relação a cada regra, clique no hiperlink correspondente. A página de controles mostra a responsabilidade, as descobertas e os requisitos.
   • Para conferir o relatório de controle com base em um status, faça o seguinte:
     1. Para o status necessário, clique em Visualizar.
     2. Na lista de controles, clique no hiperlink necessário. A página de controles mostra a responsabilidade, as descobertas e os requisitos.

   Para exportar o relatório de visão geral do controle, clique em Exportar.Na página Detalhes do bucket, clique no nome do controle e em Fazer download. O relatório de visão geral do controle é exportado no formato ODS.

   Evidência

   Para conferir a evidência de uma descoberta, clique no hiperlink correspondente na página de controles. A página Detalhes do objeto com os detalhes da evidência é aberta em outra guia.

   Para fazer o download da evidência, clique em Fazer download. A evidência é baixada no formato JSON.

Como alternativa, você pode fazer o download do relatório e da evidência necessários diretamente do bucket de armazenamento de destino. Para instruções detalhadas, consulte Fazer o download de um objeto de um bucket.

Relatório de resumo da auditoria

Um relatório de resumo da auditoria é um relatório abrangente que oferece uma visão geral de alto nível de todos os controles de compliance e uma matriz de responsabilidades para ajudar você a entender o sistema.

No bucket de armazenamento de destino, o relatório de resumo da auditoria usa a seguinte convenção de nomenclatura:

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/overall_report.ods

Os valores do marcador são descritos da seguinte maneira:

• FRAMEWORK_NAME: o nome do framework, como SOC2 2017.
• TIMESTAMP: um carimbo de data/hora em que o relatório foi gerado.
• UNIQUE_ID: um ID exclusivo para o relatório.

Para cada tipo de controle aplicável, os seguintes campos são preenchidos no relatório de resumo da auditoria:

Tipo de controle	Descrição
Informações de controle	Uma descrição e um requisito para o controle.
Responsabilidade do Google	Google Cloud responsabilidade e detalhes de implementação.
Responsabilidade do cliente	Responsabilidade do cliente e detalhes de implementação.
Status da avaliação	Status de compliance do controle. O status pode ser um dos seguintes tipos: Não em compliance: desvio de compliance detectado Em compliance: o sistema está em compliance Revisão manual necessária: os artefatos são produzidos, mas a entrada do usuário é necessária para concluir o status de compliance Ignorado: controle manual, automação não presente
Link do relatório de controle	Um link para o relatório de visão geral do controle.

Relatório de visão geral do controle

Um relatório de visão geral do controle contém uma descrição detalhada da avaliação de compliance de um único controle. Ele fornece detalhes da avaliação para cada verificação de compliance com observações e valores esperados.

No bucket de armazenamento de destino, o relatório de visão geral do controle usa a seguinte convenção de nomenclatura:

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/CONTROL_ID.ods

Os valores do marcador são descritos da seguinte maneira:

• FRAMEWORK_NAME: o nome do framework, como CIS_CONTROLS_V8.
• TIMESTAMP: um carimbo de data/hora em que o relatório foi gerado.
• UNIQUE_ID: um ID exclusivo para o relatório.
• CONTROL_ID: o ID do controle.

Um relatório de visão geral do controle é semelhante ao exemplo a seguir:

ID do controle ID: COMPLIANT
Nome do serviço	Número de recursos	Status	Detalhes da avaliação de recursos
			ID do recurso	Campo medido	Valor atual	Valor esperado	Status	URI do recurso de evidência	Carimbo de data/hora da evidência	Evidência para projeto/pasta	Link de evidência
Total de serviços no escopo desse controle	Total de recursos no escopo da auditoria	Status de compliance	Identificador de recursos	Configuração a ser medida para auditoria	Valores observados	Valores em compliance	Status de compliance individual		Carimbo de data/hora em que a evidência foi coletada
product1.googleapis.com	2	EM COMPLIANCE	Recurso 1	abc	10	>=10	EM COMPLIANCE	Recurso 1	12/05/2023 12:55:16	Projeto 1	Link 1
				def	15	=15	EM COMPLIANCE	Recurso 4	12/05/2023 13:55:16	Projeto 1	Link 4
			Recurso 2	xyz	20	=20	EM COMPLIANCE	Recurso 2	12/05/2023 14:55:16	Projeto 1	Link 2
product2.googleapis.com	1	EM COMPLIANCE	Recurso 3	def	5	>=5	EM COMPLIANCE	Recurso 3	12/05/2023 15:55:16	Projeto 1	Link 3

Evidência

A evidência inclui todos os recursos avaliados para cada controle, incluindo um despejo bruto de dados de recursos e o comando executado para produzir a saída.

No bucket de armazenamento de destino, a evidência usa a seguinte convenção de nomenclatura:

audit-reports/audit_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID/evidences/evidenceEVIDENCE_ID.json

Os valores do marcador são descritos da seguinte maneira:

• FRAMEWORK_NAME: o nome do framework, como CIS_CONTROLS_V8.
• TIMESTAMP: um carimbo de data/hora em que o relatório foi gerado.
• UNIQUE_ID: um ID exclusivo para o relatório.
• EVIDENCE_ID: um ID exclusivo para a evidência.

Visualizar relatórios do Audit Manager (nova experiência)

Visualizar

Este recurso está sujeito aos Termos das Soluções Pré-GA na seção Termos Gerais de Serviço dos Termos Específicos de Serviço. Os recursos pré-GA estão disponíveis "no estado em que se encontram" e podem ter suporte limitado. Para mais informações, consulte as descrições da fase de lançamento.

Na nova experiência do console, é possível conferir sua pontuação de compliance para controles, controles de nuvem e Google Cloud recursos na página Relatório de auditoria no Google Cloud console.

Observação: para enviar feedback sobre a nova experiência, na página Relatório de auditoria de uma auditoria específica, clique em Enviar feedback.

1. No Google Cloud console, acesse a página Audit Manager.

   Acessar o Audit Manager

2. Na seção Compliance audits, clique em View audits.

3. Clique em Mudar para a nova experiência.

   Na página View audits, é possível conferir o status de uma auditoria em andamento ou concluída do Audit Manager ou do Compliance Manager.

4. Para mais informações sobre uma auditoria, clique no nome dela.

   O painel Relatório de auditoria inclui guias separadas para controles, controles de nuvem e recursos, cada um com suas próprias contagens e diagramas exclusivos. O painel Relatório de auditoria mostra sua pontuação de compliance. O painel de cada guia inclui o seguinte:

   • Resumo de compliance:a porcentagem é determinada da seguinte maneira:

     (Number of evaluated items that compliance / Total number of items) * 100
     

     Um item pode ser um controle, um controle de nuvem ou um recurso. O número total de itens inclui todos os itens que estão em compliance, em violação e não foram avaliados (ignorados).

   • Total:o número total de controles ou controles de nuvem no framework ou o número total de recursos avaliados.

   • Em compliance:o número de itens que atenderam aos requisitos de avaliação.

   • Violações:o número de itens que não atenderam aos requisitos de avaliação.

   • Inconclusivo:o número de itens que o Audit Manager não conseguiu determinar se estavam em compliance. Por exemplo, a configuração ou os dados de registro recuperados não correspondiam claramente às regras de compliance.

   • Ignorado:o número de itens que o Audit Manager não conseguiu avaliar devido a um erro ou problema do sistema encontrado durante a avaliação. Por exemplo, não havia permissões suficientes para inspecionar um recurso específico.

   • Indisponível:o número de itens que o Audit Manager não conseguiu inspecionar porque exigem a avaliação de recursos que estão fora de Google Cloud.

   • Evidências coletadas:a quantidade de informações extraídas pela avaliação técnica dos itens.

   • Avaliações de violação:o número de regras ou recursos que o Audit Manager avaliou como com falha.

   Para enviar feedback sobre a nova experiência, clique em Enviar feedback.

5. Para fazer o download do relatório de auditoria do bucket do Cloud Storage como uma planilha do OpenDocument (ODS), clique em Fazer download do relatório.

   Como alternativa, você pode fazer o download do relatório e da evidência necessários diretamente do bucket de armazenamento de destino. Para instruções detalhadas, consulte Fazer o download de um objeto de um bucket.

6. Para conferir mais informações sobre o status de um item, clique em Visualizar ao lado do status. A visualização filtrada mostra o controle, o controle de nuvem ou o recurso aplicável.

   • Na guia Controle, a visualização é agrupada por controles. Para conferir os controles e controles de nuvem agrupados em um controle, expanda o filtro.

   • Na guia Controle de nuvem, a visualização é agrupada por controles de nuvem.

   • Na guia Recursos, a visualização é agrupada por nome da API de serviço (por exemplo, cloudresourcemanager.googleapis.com). Para conferir os recursos aplicáveis em um serviço, expanda o filtro.

7. Para conferir um resumo detalhado sobre um item específico, clique no item na visualização filtrada. Dependendo da guia em que você está, as seguintes informações são exibidas:

   Relatório de controle

   A página do relatório Controle mostra o seguinte:

   • O ID e a família do controle.
   • O status de responsabilidade compartilhada.
   • O status da revisão.
   • O status da avaliação.
   • A quantidade de evidências coletadas durante a auditoria.
   • Um resumo da avaliação gerada pelo Gemini.
   • Informações sobre os controles de nuvem que fazem parte do controle, incluindo o número de controles de nuvem aprovados e o resumo de evidências.
   • Uma visualização filtrada que fornece links para relatórios de controle de nuvem e informações de responsabilidade compartilhada.

   Relatório de controle de nuvem

   A página do relatório Controle de nuvem mostra o seguinte:

   • O nome e o ID do controle de nuvem.
   • O status da revisão.
   • Os controles (referidos como controles regulatórios) a que o controle de nuvem pertence.
   • O status da avaliação.
   • Um resumo da avaliação gerada pelo Gemini.
   • A quantidade de evidências coletadas durante a auditoria.
   • Informações sobre os controles de nuvem que fazem parte do controle, incluindo o número de avaliações, violações e evidências.
   • Uma visualização filtrada que fornece links para resumos de observação e relatórios de recursos aplicáveis.

   Relatório de recursos

   A página do relatório Recurso mostra o seguinte:

   • O recurso e o serviço aplicáveis.
   • Os controles (referidos como controles regulatórios) e os controles de nuvem que foram usados para avaliar o recurso.
   • O status da avaliação.
   • Um resumo da avaliação gerada pelo Gemini.
   • Observações encontradas durante a auditoria, que incluem o número de avaliações, violações e evidências.
   • Uma visualização filtrada que fornece links para resumos de observação e relatórios de controle de nuvem.

Relatórios no Cloud Storage

Os relatórios de auditoria do Audit Manager estão disponíveis em pastas nos buckets de armazenamento do Cloud Storage que usam a seguinte convenção:

audit-reports/audit_RESOURCE_NAME_FRAMEWORK_NAME_TIMESTAMP/UNIQUE_ID

Os valores do marcador são descritos da seguinte maneira:

• RESOURCE_NAME: o ID da pasta ou do projeto, como folders_12345 ou projects_12345.
• FRAMEWORK_NAME: o nome do framework, como builtin-nist800-53-revision5.
• TIMESTAMP: um carimbo de data/hora em que o relatório foi gerado.
• UNIQUE_ID: um ID exclusivo para o relatório.

Cada pasta de auditoria inclui relatórios separados disponíveis para cada controle, controle de nuvem e evidência. Os relatórios de controle e controle de nuvem estão no formato ODS e contêm descrições detalhadas da avaliação de compliance de um único controle. Esses relatórios fornecem detalhes da avaliação para cada verificação de compliance com observações e valores esperados. Os relatórios de evidência estão no formato JSON e incluem todos os recursos avaliados para cada controle, incluindo um despejo bruto de dados de recursos e o comando executado para produzir a saída.