Configurar a CMEK
Este documento descreve como configurar chaves de criptografia gerenciadas pelo cliente (CMEK) para o Google Security Operations. Por padrão, o Google SecOps criptografa dados de clientes em repouso usando a criptografia padrão do Google sem que você precise fazer nada. No entanto, para mais controle sobre as chaves de criptografia ou quando exigido por uma organização, a CMEK está disponível para instâncias do Google SecOps.
As CMEKs são chaves de criptografia que você possui, gerencia e armazena no Cloud Key Management Service. O uso de CMEKs oferece controle total sobre as chaves de criptografia, incluindo o gerenciamento do ciclo de vida, da rotação e das políticas de acesso. Quando você configura a CMEK, o serviço criptografa automaticamente todos os dados usando a chave especificada. Saiba mais sobre a CMEK.
A CMEK está disponível em todas as regiões em que o Google SecOps é compatível. Para uma lista completa de regiões compatíveis com o Google SecOps, consulte a página de locais dos serviços do SecOps.
Usar CMEKs no Cloud KMS
Para controlar suas chaves de criptografia, use CMEKs no Cloud KMS com serviços integrados a CMEKs, incluindo o Google SecOps, da seguinte forma:
- Você gerencia e armazena essas chaves no Cloud KMS.
- Os dados no data lake do Google SecOps são criptografados em repouso.
- Quando você configura sua instância do Google SecOps com uma CMEK, ela usa a chave do Cloud KMS selecionada para criptografar dados em repouso no data lake.
- O uso da CMEK com o Cloud KMS pode gerar custos adicionais, dependendo dos seus padrões de uso.
Saiba mais sobre os preços do Cloud KMS.
Disponibilidade de recursos com o Cloud KMS
A tabela a seguir resume a disponibilidade dos principais recursos do Cloud KMS para clientes do Google SecOps:
| Recurso | Estado do Cloud KMS | Roteiro / HEC | Observações/detalhes |
|---|---|---|---|
| Tabelas de dados | Conformidade com o Cloud KMS | Disponível | |
| Recursos do Gemini / IA | Recursos de IA ativados em um ambiente do Cloud KMS que não está em conformidade com o Cloud KMS | 30 de junho de 2025 | Permite que um cliente do Cloud KMS ative o uso do Gemini nos recursos do Google SecOps sem suporte do Cloud KMS. Inclui: consulta em linguagem natural, regra, PlaybooksChat / assistente de investigação, agente de triagem (pré-lançamento privado no 3º trimestre de 2025, pré-lançamento público no 4º trimestre de 2025). Exclui: SecOps Lab. Para novos recursos de IA, os cronogramas do Cloud KMS serão fornecidos caso a caso. |
| Recursos do Gemini / IA | Suporte completo do Cloud KMS | 1º semestre de 2026 (cronograma exato a ser definido com base nas dependências) | Inclui: consulta em linguagem natural, regra, PlaybooksChat / Assistente de investigação, agente de triagem (Acesso antecipado, GA a ser definida). Exclui: SecOps Lab. Para novos recursos de IA, os cronogramas do Cloud KMS serão fornecidos caso a caso. |
| Exportações do BigQuery | Std/Ent: BYOBQ → compatível com o Cloud KMS | Na prévia particular | Para o Enterprise Plus, estamos migrando para nossa nova oferta do BigQuery avançado, que está em visualização particular e em conformidade com o Cloud KMS. Para usuários do Cloud KMS e do VPC Service Controls, o acesso direto ao projeto da TLA para exportações pode ser bloqueado (interrompendo o recurso de exportação) ou esse caminho de acesso direto permaneceria em não conformidade. |
| Painéis do Looker | Não será compatível com o Cloud KMS | Descontinuado em favor dos painéis integrados | Os painéis integrados serão o principal recurso de painéis daqui para frente e já estão em conformidade com o Cloud KMS. |
| Painel integrado | E-mail com anexo: não compatível com o Cloud KMS de ponta a ponta | ETA da Fase 1: início de dezembro de 2025 | Essa opção é menos segura porque o anexo não pode ser controlado pelo Google SecOps depois de recebido por servidores e clientes de e-mail. |
| Painel integrado | E-mail com link do bucket do Cloud Storage para o relatório: em conformidade com o Cloud KMS | Previsão de chegada da Fase 2: a ser definida | Essa opção está em conformidade com o Cloud KMS, já que o relatório será armazenado no Cloud Storage com criptografia do Cloud KMS. |
| Conectores de dados | Excluído dos serviços (não será mais considerado para disponibilidade geral) | Não vai para a GA | Ao ativar o suporte do Cloud KMS e do VPC Service Controls para todos os serviços do Google SecOps, o DataTap será excluído. |
Ativar a CMEK
As etapas a seguir descrevem o processo geral para integrar a CMEK ao Google SecOps:
- Configure um projeto Google Cloud para o Google SecOps: aceite o convite de provisionamento para começar. Nossa equipe especializada do Google SecOps vai cuidar da configuração e integração especializadas.
- Crie uma chave do Cloud KMS na região em que você planeja hospedar a instância.
- Crie uma instância do Google SecOps e selecione a chave CMEK criada na etapa 2. Você vai precisar conceder acesso do Google SecOps a essa chave durante a criação da instância.
- Opcional: defina uma programação de rotação de chaves para cada chave. O Google recomenda essa prática de segurança para minimizar o impacto de um possível comprometimento de chave.
Depois de concluir a integração, não será mais necessário fornecer uma chave usando a API ou UI para essa instância.
Gerenciamento de chaves
O Google recomenda que você gerencie suas chaves usando o Cloud KMS. O Google SecOps não pode detectar nem agir sobre nenhuma mudança de chave até que seja propagada pelo Cloud KMS.
O Google SecOps é compatível com dois tipos de gerenciamento de chaves:
- Criar uma chave do Cloud KMS: é o que o Google recomenda.
- Use o Cloud External Key Manager (Cloud EKM): o uso de chaves do Cloud EKM pode afetar a disponibilidade devido à dependência de sistemas externos.
Gerenciar a rotação de chaves
É necessário destruir a chave antes de excluí-la da seguinte forma:
- Desative a chave ou a versão dela. Essa etapa geralmente é opcional, mas algumas políticas da organização exigem que a chave seja desativada antes da destruição.
- Destrua a versão da chave.
- Exclua a chave.
Acesso a dados e perda permanente de dados
O Google recomenda monitorar os registros para detectar chaves que ficaram indisponíveis enquanto ainda há tempo para evitar a perda de dados.
Depois que o Google SecOps perde o acesso aos dados, eles são excluídos após 30 dias.
O Google SecOps pode perder o acesso aos dados devido a uma ação intencional de um usuário (por exemplo, revogação de chave) ou não intencional (por exemplo, uma queda de conectividade do EKM). Isso significa que o Google SecOps não pode ler, gravar ou atualizar dados existentes, nem ingerir, armazenar ou processar novos dados.
Se o Google SecOps recuperar o acesso aos dados (por exemplo, quando você reativar a chave), ele vai começar a ingerir e processar novos dados automaticamente. No entanto, pode levar até duas semanas para que o sistema retome totalmente essas operações.
Restrições da política da organização de CMEK
Para aplicar o uso da CMEK no Google SecOps, aplique as seguintes restrições de política da organização no nível da organização, da pasta ou do projeto:
constraints/gcp.restrictNonCmekServices: exige que os serviços usem a CMEK. Se você aplicarconstraints/gcp.restrictNonCmekServicesa uma organização e listar o Google SecOps como um serviço restrito, será necessário selecionar uma chave de CMEK ao criar a instância do Google SecOps.constraints/gcp.restrictCmekCryptoKeyProjects: exige que a chave CMEK do Google SecOps venha de um projeto ou conjunto de projetos específico.
Se você aplicar as duas restrições à organização que contém sua instância do Google SecOps, será necessário ativar a CMEK usando uma chave de um projeto especificado ao aplicar as políticas da organização.
Para informações sobre como as políticas da organização são avaliadas na hierarquia de recursosGoogle Cloud (organizações, pastas e projetos), consulte Noções básicas sobre a avaliação de hierarquia.
Para informações gerais sobre o uso de políticas da organização de CMEK, consulte Políticas da organização de CMEK.
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.