Consignes de protection des données

Les consignes suivantes concernant la plate-forme de sécurité minimale viable sont conformes au pilier de la protection des données.

Consignes de base

Commencez par appliquer les consignes de protection des données suivantes.

Élément	Utiliser l'accès uniforme au niveau du bucket
Description	La contrainte booléenne `storage.uniformBucketLevelAccess` exige que les buckets utilisent l'accès uniforme au niveau du bucket. L'accès uniforme au niveau du bucket vous permet d'utiliser uniquement les autorisations Identity and Access Management (IAM) au niveau du bucket pour accorder l'accès à vos ressources Cloud Storage. Il est complexe d'utiliser deux systèmes différents et incompatibles pour gérer les autorisations sur les buckets de stockage. C'est aussi une cause fréquente de fuites de données accidentelles. Ce paramètre désactive l'ancien système (listes de contrôle des accès, ou LCA) et fait du système moderne et centralisé (IAM) la source unique fiable pour toutes les autorisations.
Informations connexes	Exiger un accès uniforme au niveau du bucket
ID de l'élément	MVSP-CO-1.42
Mappage	Contrôles NIST-800-53 associés : AC-3 AC-17 AC-20 Contrôles associés du profil CRI : PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 Contrôle Compliance Manager : Activer l'accès uniforme au niveau du bucket sur les buckets Cloud Storage

Élément	Limiter les adresses IP publiques Cloud SQL
Description	Empêchez Cloud SQL d'avoir une adresse IP publique et d'être directement exposé à Internet en définissant la contrainte de règle d'administration `constraints/sql.restrictPublicIp`. En règle générale, les bases de données ne sont pas directement exposées à Internet. Empêcher l'attribution d'adresses IP publiques à vos bases de données permet de s'assurer qu'elles restent privées et ne sont accessibles qu'à partir d'applications internes fiables.
Informations connexes	Améliorer la sécurité des instances en désactivant l'adresse IP publique Règles d'administration des connexions
ID de l'élément	MVSP-CO-1.45
Mappage	Contrôles NIST-800-53 associés : SC-7 Commandes associées du profil CRI : PR.AC-3.1 Contrôle Compliance Manager : Bloquer les adresses IP publiques pour les instances Cloud SQL

Après avoir mis en œuvre les consignes de base, appliquez les consignes de protection des données suivantes.

Élément	Bloquer l'accès public aux buckets Cloud Storage
Description	La contrainte booléenne `storage.publicAccessPrevention` empêche l'accès aux buckets de stockage à partir de sources publiques sans authentification. Elle désactive et bloque les listes de contrôle des accès (LCA) et les autorisations Identity and Access Management (IAM) qui accordent l'accès à `allUsers` et `allAuthenticatedUsers`. Cette contrainte agit comme un filet de sécurité à l'échelle de l'organisation, en bloquant activement tout paramètre qui rendrait un bucket accessible au public.
Informations connexes	Protection contre l'accès public
ID de l'élément	MVSP-CO-1-43
Mappage	Contrôles NIST-800-53 associés : AC-3 AC-17 AC-20 Contrôles associés du profil CRI : PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 Contrôle Compliance Manager : Appliquer la protection contre l'accès public

Élément	Examiner l'accès aux ensembles de données BigQuery
Description	Assurez-vous que BigQuery ne comporte pas d'ensembles de données accessibles au public, sauf si c'est l'objectif. Les ensembles de données BigQuery contiennent souvent des données sensibles. L'examen de l'accès aux ensembles de données vous permet de vous assurer que vous n'exposez pas accidentellement ou involontairement des données sur Internet.
Informations connexes	Contrôler l'accès aux ressources avec Identity and Access Management (IAM)
ID de l'élément	MVSP-CO-1.46
Mappage	Contrôles NIST-800-53 associés : AC-3 Contrôles associés du profil CRI : PR.AC-3.1 Contrôle Compliance Manager : Restreindre l'accès public aux ensembles de données BigQuery

Après avoir mis en œuvre les consignes intermédiaires, appliquez les consignes de protection des données suivantes.

Élément	Créer une stratégie de chiffrement gérée
Description	Créez une stratégie de gestion du chiffrement à l'aide de Cloud Key Management Service (Cloud KMS) avec Autokey, Cloud External Key Manager (Cloud EKM) ou les deux. Cette stratégie permet à votre organisation d'utiliser et de gérer ses propres clés de chiffrement pour répondre à ses besoins spécifiques. L'utilisation de vos propres clés de chiffrement vous permet de contrôler précisément et de manière auditable l'accès aux données, y compris la possibilité de bloquer immédiatement l'accès aux données en désactivant la clé.
Informations connexes	Présentation de Cloud KMS
ID de l'élément	MVSP-CO-1.44
Mappage	Contrôles NIST-800-53 associés : SC-12 Commandes associées du profil CRI : PR.DS-1.1