הנחיות בנושא הגנה על נתונים

ההנחיות הבאות לגבי פלטפורמת אבטחה מינימלית מתאימות לעקרון ההגנה על נתונים.

הנחיות לרמה בסיסית

קודם צריך להטמיע את ההנחיות הבאות בנושא הגנה על נתונים.

פריט	שימוש בגישה אחידה ברמת הקטגוריה
תיאור	האילוץ הבוליאני `storage.uniformBucketLevelAccess` מחייב שימוש בגישה אחידה ברמת הקטגוריה. גישה אחידה ברמת הקטגוריה מאפשרת לכם להשתמש רק בהרשאות לניהול זהויות והרשאות גישה (IAM) ברמת הקטגוריה כדי להעניק גישה למשאבים של Cloud Storage. שימוש בשתי מערכות שונות וסותרות לניהול הרשאות בדלי אחסון הוא מורכב ומהווה סיבה נפוצה לדליפות נתונים מקריות. ההגדרה הזו משביתה את המערכת מדור קודם (רשימות של בקרת גישה, או ACL) והופכת את המערכת המודרנית והמרכזית (IAM) למקור האמת היחיד לכל ההרשאות.
מידע קשור	דרישה של גישה אחידה ברמת הקטגוריה
מזהה פריט	MVSP-CO-1.42
מיפוי	אמצעי בקרה קשורים בתקן NIST-800-53: AC-3 AC-17 AC-20 אמצעי בקרה קשורים בפרופיל CRI: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 אמצעי בקרה ב-Compliance Manager: הפעלת גישה אחידה ברמת הקטגוריה בקטגוריות של Cloud Storage

פריט	הגבלת כתובות IP ציבוריות של Cloud SQL
תיאור	כדי למנוע מ-Cloud SQL לקבל כתובת IP ציבורית ולהיחשף ישירות לאינטרנט, מגדירים את האילוץ `constraints/sql.restrictPublicIp` של מדיניות הארגון. בדרך כלל, מסדי נתונים לא נחשפים ישירות לאינטרנט. מניעת כתובות IP ציבוריות עוזרת למנוע מכתובות IP ציבוריות להגיע למסדי הנתונים שלכם, וכך לוודא שהן פרטיות ושהגישה אליהן אפשרית רק מאפליקציות פנימיות מהימנות.
מידע קשור	שיפור האבטחה של מכונה על ידי השבתה של כתובת IP ציבורית מדיניות ארגונית בנושא חיבורים
מזהה פריט	MVSP-CO-1.45
מיפוי	אמצעי בקרה קשורים בתקן NIST-800-53: SC-7 אמצעי בקרה קשורים בפרופיל CRI: PR.AC-3.1 אמצעי בקרה ב-Compliance Manager: חסימת כתובות IP ציבוריות למכונות Cloud SQL

אחרי שמטמיעים את ההנחיות הבסיסיות, מטמיעים את ההנחיות הבאות בנושא הגנה על נתונים.

פריט	חסימת גישה ציבורית לקטגוריות של Cloud Storage
תיאור	האילוץ הבוליאני `storage.publicAccessPrevention` מונע גישה לקטגוריות אחסון ממקורות ציבוריים ללא אימות. היא משביתה וחוסמת רשימות של בקרת גישה (ACL) והרשאות לניהול זהויות והרשאות גישה (IAM) שמעניקות גישה ל-`allUsers` ול-`allAuthenticatedUsers`. האילוץ הזה פועל כרשת ביטחון ברמת הארגון, וחוסם באופן פעיל כל הגדרה שתאפשר גישה ציבורית לקטגוריה.
מידע קשור	מניעת גישה ציבורית
מזהה פריט	MVSP-CO-1-43
מיפוי	אמצעי בקרה קשורים בתקן NIST-800-53: AC-3 AC-17 AC-20 אמצעי בקרה קשורים בפרופיל CRI: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 אמצעי בקרה ב-Compliance Manager: אכיפה של מניעת גישה ציבורית

פריט	בדיקת הגישה למערך נתונים ב-BigQuery
תיאור	מוודאים שב-BigQuery אין מערכי נתונים שפתוחים לגישה ציבורית, אלא אם מערכי הנתונים מיועדים להיות ציבוריים. מערכי נתונים ב-BigQuery מכילים לעיתים קרובות מידע אישי רגיש. בדיקת הגישה למערך הנתונים עוזרת לוודא שלא חשפתם בטעות או שלא התכוונתם לחשוף נתונים לאינטרנט.
מידע קשור	בקרת גישה למשאבים באמצעות ניהול זהויות והרשאות גישה (IAM)
מזהה פריט	MVSP-CO-1.46
מיפוי	אמצעי בקרה קשורים בתקן NIST-800-53: AC-3 אמצעי בקרה קשורים בפרופיל CRI: PR.AC-3.1 אמצעי בקרה ב-Compliance Manager: הגבלת גישה ציבורית למערכי נתונים ב-BigQuery

אחרי שמטמיעים את ההנחיות הביניים, מטמיעים את ההנחיות הבאות להגנה על נתונים.

פריט	יצירת אסטרטגיית הצפנה מנוהלת
תיאור	יצירת אסטרטגיה לניהול הצפנה באמצעות Cloud Key Management Service ‏ (Cloud KMS) עם Autokey,‏ Cloud External Key Manager ‏ (Cloud EKM) או שניהם. השיטה הזו מאפשרת לארגון שלכם להשתמש במפתחות הצפנה משלו ולנהל אותם כדי לעמוד בדרישות הספציפיות שלכם. שימוש במפתחות הצפנה משלכם מאפשר לכם שליטה מפורטת בגישה לנתונים, כולל אפשרות לחסום גישה לנתונים באופן מיידי על ידי השבתת המפתח. בנוסף, תוכלו לבצע ביקורת על הגישה לנתונים.
מידע קשור	סקירה כללית על Cloud KMS
מזהה פריט	MVSP-CO-1.44
מיפוי	אמצעי בקרה קשורים בתקן NIST-800-53: SC-12 אמצעי בקרה קשורים בפרופיל CRI: PR.DS-1.1