Diretrizes de autenticação e autorização

As diretrizes a seguir para a plataforma de segurança mínima viável estão alinhadas ao pilar de segurança de autenticação e autorização.

Diretrizes do nível básico

Primeiro, implemente as seguintes diretrizes de autenticação e autorização.

Item	Definir a origem de identidade da verdade
Descrição	Decida qual será a fonte de verdade para provisionar identidades de usuários gerenciadas. Os padrões incluem a criação de identidades de usuário no Cloud Identity, a sincronização de identidades de um provedor de identidade atual ou o uso da Federação de identidade de colaboradores.
Informações relacionadas	Decidir como integrar identidades ao Google Cloud
Código do item	MVSP-CO-1.4
Mapeamento	Controles relacionados do NIST-800-53: AC-2 Controles relacionados ao perfil da CRI: PR.AC-1.1

Item	Criar contas de administrador redundantes
Descrição	Não ter um único superadministrador ou administrador da organização. Crie uma ou mais (até 20) contas de administrador de backup. Um único superadministrador ou administrador da organização pode resultar em cenários de bloqueio. Essa situação também acarreta um risco maior, já que uma pessoa pode fazer mudanças que alteram a plataforma, possivelmente sem supervisão.
Informações relacionadas	Práticas recomendadas de segurança para contas de administrador Configurar o recurso da organização
Código do item	MVSP-CO-1.7
Mapeamento	Controles relacionados do NIST-800-53: IA-2 IA-4 IA-5 Controles relacionados ao perfil da CRI: PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 Controle do Compliance Manager: Limitar contas de superadministrador

Item	Aplicar políticas de senha forte
Descrição	Aplique senhas fortes e exclusivas para todas as contas de usuário. Considere usar um gerenciador de senhas. Credenciais fracas ou inexistentes são um padrão comum que usuários maliciosos podem explorar facilmente.
Informações relacionadas	Aplicar e monitorar requisitos de senha para os usuários Ativar, desativar e usar políticas de senha
Código do item	MVSP-CO-1.9
Mapeamento	Controles relacionados do NIST-800-53: IA-5 Controles relacionados ao perfil da CRI: PR.AC-1.1

Item	Usar papéis com base nas funções de trabalho
Descrição	Use papéis do Identity and Access Management (IAM) com base nas funções de trabalho para atribuir permissões aos usuários. As funções de trabalho são papéis predefinidos que permitem aos administradores fornecer um conjunto de permissões limitado a uma função de trabalho, melhorando a produtividade e reduzindo a troca de mensagens para pedir permissões. Para se alinhar melhor aos requisitos da sua organização, é possível criar papéis personalizados com base em papéis predefinidos.
Informações relacionadas	Funções predefinidas para funções de trabalho
Código do item	MVSP-CO-1.20
Mapeamento	Controles relacionados do NIST-800-53: AC-6 Controles relacionados ao perfil da CRI: PR.AC-4.1

Item	Bloquear a criação de chaves de conta de serviço externas
Descrição	Use a restrição booleana iam.disableServiceAccountKeyCreation para desativar a criação de chaves de conta de serviço externas. Com essa restrição, é possível controlar o uso de credenciais de longo prazo não gerenciadas para contas de serviço. Quando essa restrição é definida, não é possível criar credenciais gerenciadas pelo usuário para contas de serviço em projetos afetados por ela.
Informações relacionadas	Desativar criação de chave da conta de serviço
Código do item	MVSP-CO-1.17
Mapeamento	Controles relacionados do NIST-800-53: AC-3 AC-17 AC-20 Controles relacionados ao perfil da CRI: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 Controle do Compliance Manager: Bloquear a criação de chaves de contas de serviço

Diretrizes de nível intermediário

Depois de implementar as diretrizes básicas, implemente as seguintes diretrizes de autenticação e autorização.

Item	Restringir participantes externos em grupos
Descrição	Defina políticas para toda a organização e impeça a adição de membros externos aos Grupos do Google. Por padrão, as contas de usuário externas podem ser adicionadas a grupos no Cloud Identity. Recomendamos que você defina configurações de compartilhamento para que os proprietários dos grupos não possam adicionar membros externos. Essa restrição não se aplica à conta de superadministrador ou a outros administradores delegados com permissões de administrador do Grupos do Google. Como a federação do seu provedor de identidade é executada com privilégios de administrador, as configurações de compartilhamento de grupo não se aplicam a essa sincronização de grupo. Recomendamos que você revise os controles no provedor de identidade e no mecanismo de sincronização para garantir que participantes que não sejam do domínio não sejam adicionados a grupos ou que você aplique restrições de grupo.
Informações relacionadas	Definir políticas de uso de grupos para toda a organização Restringir a associação ao grupo
Código do item	MVSP-CO-1.3
Mapeamento	Controles relacionados do NIST-800-53: AC-2 AC-3 AC-20 Controles relacionados ao perfil da CRI: PR.AC-3.1 PR.AC-5.1

Item	Definir a duração da sessão diária
Descrição	Defina a duração da sessão para os serviços Google Cloud para que ela expire pelo menos uma vez por dia. Manter uma conta conectada por um longo período é um risco de segurança. A aplicação de uma duração máxima da sessão encerra automaticamente a sessão após um determinado período, forçando um novo login seguro. Essa prática reduz a oportunidade de um usuário mal-intencionado usar uma senha roubada e garante que o acesso seja verificado regularmente.
Informações relacionadas	Definir a duração da sessão para os serviços do Google Cloud Definir a duração da sessão para Serviços do Google
Código do item	MVSP-CO-1.11
Mapeamento	Controles relacionados do NIST-800-53: AC-12 Controles relacionados ao perfil da CRI: PR.AC-7.1

Item	Corrigir contas pessoais não gerenciadas
Descrição	Não permitir contas pessoais não gerenciadas. Consolide todas as contas pessoais não gerenciadas e considere uma solução para evitar a criação de mais contas pessoais não gerenciadas com seu domínio. As contas pessoais não gerenciadas não são regidas pelos processos de admissão, movimentação e desligamento (JML, na sigla em inglês). Por isso, há o risco de um funcionário ainda ter acesso aos seus recursos depois de sair do emprego. Essas contas também são tratadas como externas em relação a controles como o compartilhamento restrito de domínio.
Informações relacionadas	Visão geral da consolidação de contas Usar a ferramenta de transferência para migrar usuários não gerenciados
Código do item	MVSP-CO-1.5
Mapeamento	Controles relacionados do NIST-800-53: AC-2 Controles relacionados ao perfil da CRI: PR.AC-1.1

Item	Aplicar administradores dedicados e aprovação de várias partes
Descrição	Verifique se as contas de superadministrador estão separadas das contas de usuário do dia a dia. As contas de superadministrador precisam ser dedicadas e usadas apenas para fazer mudanças importantes. Para aumentar a segurança, ative a aprovação de outra parte para ações de admin. Ao ativar a aprovação de outra parte, as ações sensíveis são aprovadas por dois administradores. Isso ajuda a evitar que invasores comprometam uma conta de administrador e bloqueiem outros usuários administradores.
Informações relacionadas	Aprovação de outra parte para ações sensíveis Práticas recomendadas de segurança para contas de administrador Práticas recomendadas de contas de superadministrador
Código do item	MVSP-CO-1.8
Mapeamento	Controles relacionados do NIST-800-53: AC-6 Controles relacionados ao perfil da CRI: PR.AC-4.1

Item	Ativar a autenticação multifator para todas as Contas do Google e usuários do Cloud Identity
Descrição	Ative a autenticação multifator (MFA), também conhecida como verificação em duas etapas (2SV), para todas as Contas do Google e usuários do Cloud Identity, não apenas superadministradores. A MFA para superadministradores fica ativada por padrão. A MFA adiciona outra camada de defesa porque as senhas sozinhas geralmente não são uma medida de segurança forte o suficiente.
Informações relacionadas	Proteger sua empresa com a verificação em duas etapas Requisito de autenticação multifator para Google Cloud
Código do item	MVSP-CO-1.10
Mapeamento	Controles relacionados do NIST-800-53: IA-2 Controles relacionados ao perfil da CRI: PR.AC-1.1

Item	Revogar funções padrão de criador
Descrição	Remova os papéis de Criador de projetos e Criador da conta de faturamento em todo o domínio, que são concedidos por padrão a todos os membros de uma nova organização. As novas organizações concedem os papéis de Criador de projetos e Criador da conta de faturamento a todas as identidades de usuário gerenciadas no domínio. Embora essas funções sejam úteis para começar, essa configuração não é destinada a ambientes de produção. Permitir que as contas de faturamento proliferem aumenta a sobrecarga administrativa e tem consequências técnicas ao dividir serviços em várias contas de faturamento. Permitir a criação de projetos de forma livre pode levar a projetos que não seguem suas convenções de governança. Em vez disso, remova essas funções e estabeleça um processo de criação de projetos para solicitar novos projetos e associá-los ao faturamento.
Informações relacionadas	Como gerenciar papéis padrão da organização
Código do item	MVSP-CO-1.6
Mapeamento	Controles relacionados do NIST-800-53: AC-6 Controles relacionados ao perfil da CRI: PR.AC-4.1

Item	Usar o Privileged Access Manager
Descrição	Use o Privileged Access Manager para gerenciar o acesso privilegiado. Para todo o restante, use grupos de acesso, deixe as associações a grupos expirarem automaticamente e implemente um fluxo de trabalho de aprovação para associações a grupos. Com o modelo de privilégio mínimo, você só concede acesso quando necessário e aos recursos necessários. O uso de papéis predefinidos simplifica o uso e reduz a expansão causada por papéis personalizados para que você não precise se preocupar em gerenciar o ciclo de vida do papel.
Informações relacionadas	Visão geral do Privileged Access Manager
Código do item	MVSP-CO-1.18
Mapeamento	Controles relacionados do NIST-800-53: AC-6 Controles relacionados ao perfil da CRI: PR.AC-4.1

Item	Desativar concessões automáticas do IAM para contas de serviço padrão
Descrição	Use a restrição booleana automaticIamGrantsForDefaultServiceAccounts para desativar as concessões automáticas de papéis quando os serviços do Google Cloud criarem automaticamente contas de serviço padrão com papéis excessivamente permissivos. Por padrão, alguns sistemas concedem permissões muito amplas a contas automatizadas, o que representa um possível risco à segurança. Por exemplo, se você não aplicar essa restrição e criar uma conta de serviço padrão, ela vai receber automaticamente o papel de Editor (roles/editor) no projeto. Se um invasor comprometer uma única parte do sistema, ele poderá assumir o controle de todo o projeto. Essa restrição desativa as permissões automáticas de alto nível, forçando uma abordagem mais segura e deliberada em que apenas as permissões mínimas necessárias são concedidas.
Informações relacionadas	Tipos de contas de serviço
Código do item	MVSP-CO-1.14
Mapeamento	Controles relacionados do NIST-800-53: AC-3 AC-17 AC-20 Controles relacionados ao perfil da CRI: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 Controle do Compliance Manager: Bloquear concessões automáticas do IAM para contas de serviço padrão

Item	Alternar chaves da conta de serviço
Descrição	Se você precisar usar chaves de conta de serviço, troque-as pelo menos uma vez a cada 90 dias. Um intervalo de rotação limita o tempo que um invasor pode ter acesso ao sistema. Sem um intervalo de rotação, o invasor tem acesso para sempre. Quando possível, use a federação de identidade da carga de trabalho em vez de chaves de conta de serviço.
Informações relacionadas	Práticas recomendadas para gerenciar chaves de contas de serviço Escolher o método de autenticação ideal para seu caso de uso
Código do item	MVSP-CO-1.15
Mapeamento	Controles relacionados do NIST-800-53: SC-12 Controles relacionados ao perfil da CRI: PR.DS-1.1 Controle do Compliance Manager: Exigir rotação de chaves da conta de serviço

Item	Usar a federação de identidade da carga de trabalho
Descrição	Use a federação de identidade da carga de trabalho para permitir que sistemas de CI/CD e cargas de trabalho executadas em outras nuvens se autentiquem no Google Cloud. Com a federação de identidade da carga de trabalho, as cargas de trabalho executadas fora do Google Cloud podem ser autenticadas sem precisar de uma chave de conta de serviço. Ao evitar chaves de conta de serviço e outras credenciais de longa duração, a federação de identidade da carga de trabalho pode ajudar a reduzir o risco de vazamento de credenciais.
Informações relacionadas	Federação de identidade da carga de trabalho
Código do item	MVSP-CO-1.16
Mapeamento	Controles relacionados do NIST-800-53: IA-2 Controles relacionados ao perfil da CRI: PR.AC-1.1

Diretrizes de nível avançado

Depois de implementar as diretrizes intermediárias, implemente as seguintes diretrizes de autenticação e autorização.

Item	Bloquear a recuperação de conta para superadministradores
Descrição	Por padrão, a recuperação automática da conta de superadministrador fica desativada para novos clientes. No entanto, os clientes atuais podem ter essa configuração ativada. Desativar essa configuração ajuda a reduzir o risco de que um telefone ou e-mail comprometido ou um ataque de engenharia social possa permitir que um invasor receba privilégios de superadministrador sobre seu ambiente. Planeje um processo interno para que um superadministrador entre em contato com outro superadministrador da organização se perder o acesso à conta e garanta que todos os superadministradores conheçam o processo de recuperação assistida por suporte. Para desativar o recurso, acesse as configurações de recuperação de conta no Google Admin Console.
Informações relacionadas	Gerenciar as configurações de segurança dos usuários Recuperar o acesso de administrador à conta
Código do item	MVSP-CO-1.2
Mapeamento	Controles relacionados do NIST-800-53: AC-2 AC-3 Controles relacionados ao perfil da CRI: PR.AC-1.1 PR.AC-4.1

Item	Definir o tempo limite da sessão inativa para casos de uso sensíveis
Descrição	Defina o tempo limite da sessão inativa como 15 minutos para casos de uso sensíveis. Sessões inativas podem ser usadas por invasores para roubo de credenciais.
Informações relacionadas	Definir a duração da sessão para Serviços do Google
Código do item	MVSP-CO-1.12
Mapeamento	Controles relacionados do NIST-800-53: AC-12 Controles relacionados ao perfil da CRI: PR.AC-7.1

Item	Exigir chaves de segurança de hardware para administradores
Descrição	Se possível, forneça chaves de segurança de hardware para superadministradores ou administradores da organização como um segundo fator. As contas de superadministrador são os alvos de maior valor para ataques sofisticados. As chaves de segurança de hardware oferecem um alto nível de proteção porque são resistentes a phishing. As chaves de segurança de hardware são a defesa mais forte possível contra o sequestro de contas para seus administradores mais importantes e se baseiam na sua política padrão de MFA.
Informações relacionadas	Práticas recomendadas de segurança para contas de administrador Usar uma chave de segurança na verificação em duas etapas
Código do item	MVSP-CO-1.13
Mapeamento	Controles relacionados do NIST-800-53: IA-2 Controles relacionados ao perfil da CRI: PR.AC-1.1

Item	Ativar a verificação pós-SSO
Descrição	Se você estiver usando um provedor de identidade externo, configure a verificação pós-SSO. Ative uma camada adicional de controle com base na análise de risco de login do Google. Depois que você aplicar essa configuração, os usuários poderão ver outros desafios de login com base em riscos no login se o Google determinar que um login de usuário é suspeito.
Informações relacionadas	Ativar desafios de login com SSO
Código do item	MVSP-CO-1.1
Mapeamento	Controles relacionados do NIST-800-53: IA-2 IA-5 IA-8 Controles relacionados ao perfil da CRI: PR.AC-1.1 PR.AC-1.2 PR.AC-3.1 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2

Item	Ativar políticas de limite de acesso principal
Descrição	Ative as políticas de limite de acesso principal (PAB) para limitar o acesso principal e ajudar a proteger contra phishing e exfiltração de dados. Ative uma política de limite para a organização e evite ataques de phishing externos. Os limites de acesso do principal melhoram a segurança ao reduzir a extensão de um ataque com uma identidade comprometida e também ajudam a evitar ataques externos de phishing e outros ataques de exfiltração.
Informações relacionadas	Políticas de limite de acesso de principal
Código do item	MVSP-CO-1.19
Mapeamento	Controles relacionados do NIST-800-53: AC-3 Controles relacionados ao perfil da CRI: PR.AC-3.1

A seguir

• Diretrizes da organização
• Visão geral da plataforma segura mínima viável