Configurar a CMEK

Compatível com:

Google SecOps

Este documento descreve como configurar chaves de criptografia gerenciadas pelo cliente (CMEK) para o Google Security Operations. Por padrão, o Google SecOps criptografa dados do cliente em repouso usando a criptografia padrão do Google sem que você precise fazer nada. No entanto, para mais controle sobre as chaves de criptografia ou quando exigido por uma organização, a CMEK está disponível para instâncias do Google SecOps.

As CMEKs são chaves de criptografia que você possui, gerencia e armazena no Cloud Key Management Service. O uso de CMEKs oferece controle total sobre as chaves de criptografia, incluindo o gerenciamento do ciclo de vida, da rotação e das políticas de acesso. Ao configurar a CMEK, o serviço criptografa automaticamente todos os dados usando a chave especificada. Saiba mais sobre a CMEK.

Observação: alguns arquivos temporários transitórios gerados pelo sistema podem usar brevemente a criptografia padrão da plataforma do Google em vez da sua CMEK durante as operações de tratamento de dados.

A CMEK está disponível em todas as regiões em que o Google SecOps é compatível. Para uma lista completa de regiões com suporte do Google SecOps, consulte a página de locais dos serviços do SecOps.

Importante: eu e us são multirregiões. Ao selecionar eu (multiple regions in European Union), você também precisa configurar uma CMEK na região europe-west1. Ao selecionar us (multiple regions in United States), você também precisa configurar uma CMEK na região us-central1.

Observação: eu and us são do tipo de local Multirregional, em que o banco de dados Spanner é distribuído por várias regiões. europe-west1 e us-central1 são do tipo de local Região (de uma única região). O Google SecOps usa serviços Google Cloud , e alguns deles são compatíveis apenas com uma única região. Como as CMEKs têm um requisito de colocalização forte e o banco de dados do Spanner está distribuído em várias regiões, os serviços do Google SecOps e do Google Cloud exigem dois locais diferentes de CMEK.

Usar CMEKs no Cloud KMS

Para controlar suas chaves de criptografia, use CMEKs no Cloud KMS com serviços integrados a CMEKs, incluindo o Google SecOps, da seguinte forma:

• Você gerencia e armazena essas chaves no Cloud KMS.
• Os dados no data lake do Google SecOps são criptografados em repouso.
• Quando você configura sua instância do Google SecOps com uma CMEK, ela usa a chave do Cloud KMS selecionada para criptografar dados em repouso no data lake.
• O uso da CMEK com o Cloud KMS pode gerar custos adicionais, dependendo dos seus padrões de uso.

Saiba mais sobre os preços do Cloud KMS.

Disponibilidade de recursos com o Cloud KMS

A tabela a seguir resume a disponibilidade dos principais recursos do Cloud KMS para clientes do Google SecOps:

Recurso	Estado do Cloud KMS	Roteiro / HEC	Observações/detalhes
Tabelas de dados	Conformidade com o Cloud KMS	Disponível
Gemini no Google SecOps	Conformidade com o Cloud KMS	Disponível	Inclui: gerar consultas de pesquisa, gerar uma regra YARA-L usando o Gemini, assistência com inteligência contra ameaças e perguntas de segurança, receber resumos de documentação, criar e editar um manual, usar o widget de resumo de caso do Gemini e usar o agente de triagem e investigação para investigar alertas. Exclui: SecOps Lab. Para novos recursos de IA, os cronogramas do Cloud KMS serão fornecidos caso a caso.
Exportações do BigQuery	Standard / Enterprise: BYOBQ → em conformidade com o Cloud KMS	GA	Para o Enterprise Plus (BigQuery Export avançado): esse recurso passou do pré-lançamento privado para o público em 1º de julho de 2026, e a conformidade com o Cloud Key Management Service (CMEK) já está disponível no pré-lançamento público. Para usuários do Cloud KMS e do VPC Service Controls, o acesso direto ao projeto gerenciado pelo Google para exportações pode ser bloqueado (interrompendo o recurso de exportação) ou esse caminho de acesso direto permaneceria em não conformidade.
Painéis do Looker	Não vai estar em conformidade com o Cloud KMS	Descontinuado em favor dos painéis integrados	Os painéis integrados serão o principal recurso de painéis daqui para frente e já estão em conformidade com o Cloud KMS.
Painel integrado	E-mail com anexo: não está em conformidade com o Cloud KMS de ponta a ponta	Prévia pública	Essa opção é menos segura porque o anexo não pode ser controlado pelo Google SecOps depois de recebido por servidores e clientes de e-mail.
Painel integrado	E-mail com link do bucket do Cloud Storage para o relatório: em conformidade com o Cloud KMS	Prévia pública	Essa opção está em conformidade com o Cloud KMS, já que o relatório será armazenado no Cloud Storage com criptografia do Cloud KMS.
Conectores de dados	Excluído dos serviços (não será mais considerado para disponibilidade geral)	Não vai para a disponibilidade geral	Ao ativar o suporte do Cloud KMS e do VPC Service Controls para todos os serviços do Google SecOps, o DataTap será excluído.

Ativar a CMEK

Observação: só é possível ativar CMEKs em uma nova instância do Google SecOps, não em uma já existente.

As etapas a seguir descrevem o processo geral para integrar a CMEK ao Google SecOps:

1. Configure um Google Cloud projeto para o Google SecOps: aceite o convite de provisionamento para começar. Nossa equipe especializada do Google SecOps vai cuidar da configuração e integração especializadas.
2. Crie uma chave do Cloud KMS na região em que você planeja hospedar a instância.
3. Crie uma instância do Google SecOps e selecione a chave CMEK criada na etapa 2. Você vai precisar conceder acesso do Google SecOps a essa chave durante a criação da instância.
4. Opcional: defina uma programação de rotação de chaves para cada chave. O Google recomenda essa prática de segurança para minimizar o impacto de um possível comprometimento de chave.

Depois de concluir a integração, não será mais necessário fornecer uma chave usando a API ou UI para essa instância.

Gerenciamento de chaves

O Google recomenda que você gerencie suas chaves usando o Cloud KMS. O Google SecOps não pode detectar nem agir em nenhuma mudança de chave até que ela seja propagada pelo Cloud KMS.

O Google SecOps oferece suporte a dois tipos de gerenciamento de chaves:

• Crie uma chave do Cloud KMS: é o que o Google recomenda.
• Use o Cloud External Key Manager (Cloud EKM): o uso de chaves do Cloud EKM pode afetar a disponibilidade devido à dependência de sistemas externos.

Gerenciar a rotação de chaves

Aviso: confirme se a instância do SOAR foi migrada para o Google.com (Etapa 1) antes de fazer a rotação da chave. Caso contrário, a desativação ou destruição da chave CMEK anterior pode causar perda de dados irrecuperável. Se a instância da SOAR ainda não tiver sido migrada para o Google.com, entre em contato com seu representante de atendimento ao cliente. Depois que uma chave é girada, aguarde duas semanas após o início da rotação antes de desativar ou destruir a CMEK anterior.

Destrua a chave antes de excluí-la da seguinte forma:

1. Desative a chave ou a versão dela. Essa etapa geralmente é opcional, mas algumas políticas da organização exigem que a chave seja desativada antes da destruição.
2. Destrua a versão da chave.
3. Exclua a chave.

Acesso aos dados e perda permanente de dados

Aviso: não desative chaves que estão em uso ativo. A desativação de chaves em uso ativo pode levar à perda permanente de dados.

O Google recomenda monitorar os registros para detectar chaves que ficaram indisponíveis enquanto ainda há tempo para evitar a perda de dados.

Depois que o Google SecOps perde o acesso aos dados, eles são excluídos após 30 dias.

O Google SecOps pode perder o acesso aos dados devido a uma ação intencional de um usuário (por exemplo, revogação de chave) ou não intencional (por exemplo, uma queda na conectividade do EKM). Isso significa que o Google SecOps não pode ler, gravar ou atualizar dados existentes, nem ingerir, armazenar ou processar novos dados.

Se o Google SecOps recuperar o acesso aos dados (por exemplo, quando você reativar a chave), ele vai começar a ingerir e processar novos dados automaticamente. No entanto, pode levar até duas semanas para que o sistema retome totalmente essas operações.

Restrições da política da organização de CMEK

Para aplicar o uso da CMEK no Google SecOps, aplique as seguintes restrições de política da organização no nível da organização, da pasta ou do projeto:

• constraints/gcp.restrictNonCmekServices: exige que os serviços usem a CMEK. Se você aplicar constraints/gcp.restrictNonCmekServices a uma organização e listar o Google SecOps como um serviço restrito, será necessário selecionar uma chave CMEK ao criar a instância do Google SecOps.

  Importante: se você aplicar essa restrição com o Google SecOps como um serviço restrito, mas não fornecer uma CMEK ao criar uma instância, o Google SecOps não será provisionado.

• constraints/gcp.restrictCmekCryptoKeyProjects: exige que a chave CMEK do Google SecOps venha de um projeto ou conjunto de projetos específico.

Se você aplicar as duas restrições à organização que contém sua instância do Google SecOps, será necessário ativar a CMEK usando uma chave de um projeto especificado ao aplicar as políticas da organização.

Para informações sobre como as políticas da organização são avaliadas na hierarquia de recursosGoogle Cloud (organizações, pastas e projetos), consulte Noções básicas sobre a avaliação de hierarquia.

Para informações gerais sobre como usar as políticas da organização de CMEK, consulte Políticas da organização de CMEK.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.