הנחיות בנושא הגנה על נתונים

ההנחיות הבאות לגבי פלטפורמת אבטחה מינימלית תואמות לעקרון ההגנה על נתונים.

הנחיות בסיסיות

קודם צריך להטמיע את ההנחיות הבאות בנושא הגנה על נתונים.

פריט

שימוש בגישה אחידה ברמת הקטגוריה
תיאור

האילוץ הבוליאני storage.uniformBucketLevelAccess מחייב שימוש בגישה אחידה ברמת הקטגוריה. גישה אחידה ברמת הקטגוריה מאפשרת לכם להשתמש רק בהרשאות לניהול זהויות והרשאות גישה (IAM) ברמת הקטגוריה כדי להעניק גישה למשאבים של Cloud Storage.

שימוש בשתי מערכות שונות וסותרות לניהול הרשאות בדלי אחסון הוא מורכב ומהווה סיבה נפוצה לדליפות נתונים לא מכוונות. ההגדרה הזו משביתה את המערכת מדור קודם (רשימות של בקרת גישה, או ACL) והופכת את המערכת המודרנית והמרכזית (IAM) למקור האמת היחיד לכל ההרשאות.
מידע קשור
מזהה פריט MVSP-CO-1.42
מיפוי

אמצעי בקרה קשורים בתקן NIST-800-53:

  • AC-3
  • AC-17
  • AC-20

הגדרות שקשורות לפרופיל CRI:

  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

אמצעי בקרה ב-Compliance Manager:
פריט

הגבלת כתובות IP ציבוריות ב-Cloud SQL
תיאור

כדי למנוע מ-Cloud SQL לקבל כתובת IP ציבורית ולהיחשף ישירות לאינטרנט, מגדירים את האילוץ constraints/sql.restrictPublicIp של מדיניות הארגון. בדרך כלל, מסדי נתונים לא נחשפים ישירות לאינטרנט.

מניעת כתובות IP ציבוריות עוזרת למנוע ממסדי הנתונים שלכם לקבל כתובות IP ציבוריות, וכך לוודא שהם פרטיים ושהגישה אליהם אפשרית רק מאפליקציות פנימיות מהימנות.
מידע קשור
מזהה פריט MVSP-CO-1.45
מיפוי

אמצעי בקרה קשורים בתקן NIST-800-53:

  • SC-7

הגדרות שקשורות לפרופיל CRI:

  • PR.AC-3.1

אמצעי בקרה ב-Compliance Manager:

הנחיות לרמה בינונית

אחרי שמטמיעים את ההנחיות הבסיסיות, מטמיעים את ההנחיות הבאות בנושא הגנה על נתונים.

פריט

חסימת גישה ציבורית לקטגוריות של Cloud Storage
תיאור

האילוץ הבוליאני storage.publicAccessPrevention מונע גישה לקטגוריות אחסון ממקורות ציבוריים ללא אימות. היא משביתה וחוסמת רשימות של בקרת גישה (ACL) והרשאות לניהול זהויות והרשאות גישה (IAM) שמעניקות גישה ל-allUsers ול-allAuthenticatedUsers. האילוץ הזה פועל כרשת ביטחון ברמת הארגון, וחוסם באופן פעיל כל הגדרה שתאפשר גישה ציבורית לקטגוריה.
מידע קשור
מזהה פריט MVSP-CO-1-43
מיפוי

אמצעי בקרה קשורים בתקן NIST-800-53:

  • AC-3
  • AC-17
  • AC-20

הגדרות שקשורות לפרופיל CRI:

  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

אמצעי בקרה ב-Compliance Manager:
פריט

מוודאים שמערכי הנתונים ב-BigQuery לא ניתנים לקריאה על ידי הציבור או מוגדרים ל-allAuthenticatedUsers
תיאור

מוודאים שב-BigQuery אין מערכי נתונים שפתוחים לגישה ציבורית, אלא אם מערכי הנתונים מיועדים להיות ציבוריים. מערכי נתונים ב-BigQuery מכילים לעיתים קרובות מידע אישי רגיש.

הגבלת הגישה למידע במערך נתונים ב-BigQuery למשתמשים ספציפיים בלבד. כדי להגדיר את ההגנה הזו, צריך להגדיר תפקידים מפורטים.

בדיקת הגישה למערך הנתונים עוזרת לוודא שלא חושפים נתונים לאינטרנט שלא במתכוון.
מידע קשור
מזהה פריט MVSP-CO-1.46
מיפוי

אמצעי בקרה קשורים בתקן NIST-800-53:

  • AC-3
  • AC-12
  • AC-17
  • AC-20

הגדרות שקשורות לפרופיל CRI:

  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1

אמצעי בקרה ב-Compliance Manager:

הנחיות לרמה מתקדמת

אחרי שמטמיעים את ההנחיות הביניים, מטמיעים את ההנחיות הבאות להגנה על נתונים.

פריט

יצירת אסטרטגיית הצפנה מנוהלת
תיאור

יצירת אסטרטגיה לניהול הצפנה באמצעות Cloud Key Management Service ‏ (Cloud KMS) עם Autokey,‏ Cloud External Key Manager ‏ (Cloud EKM) או שניהם. השיטה הזו מאפשרת לארגון שלכם להשתמש במפתחות הצפנה משלו ולנהל אותם כדי לעמוד בדרישות הספציפיות שלכם. שימוש במפתחות הצפנה משלכם מאפשר לכם שליטה מפורטת בגישה לנתונים, כולל אפשרות לבצע ביקורת ולחסום גישה לנתונים באופן מיידי על ידי השבתת המפתח.
מידע קשור
מזהה פריט MVSP-CO-1.44
מיפוי

אמצעי בקרה קשורים בתקן NIST-800-53:

  • SC-12

הגדרות שקשורות לפרופיל CRI:

  • PR.DS-1.1

המאמרים הבאים