データ保護ガイドライン

最小限のセキュリティ プラットフォームに関する次のガイドラインは、データ保護の柱に沿ったものです。

ベーシック レベルのガイドライン

まず、次のデータ保護ガイドラインを実装します。

項目	均一なバケットレベルのアクセスの使用
説明	storage.uniformBucketLevelAccess ブール型制約では、バケットで均一なバケットレベルのアクセスを使用する必要があります。均一なバケットレベルのアクセスを使用すると、バケットレベルの Identity and Access Management（IAM）権限のみを使用して Cloud Storage リソースへのアクセス権を付与できます。 2 つの異なる競合するシステムを使用してストレージ バケットの権限を管理することは複雑であり、データ漏洩の一般的な原因となっています。この設定により、以前のシステム（アクセス制御リスト、ACL）が無効になり、最新の一元化されたシステム（IAM）がすべての権限の唯一の信頼できる情報源になります。
関連情報	均一なバケットレベルのアクセスを必須にする
アイテム ID	MVSP-CO-1.42
マッピング	関連する NIST-800-53 コントロール: AC-3 AC-17 AC-20 関連する CRI プロファイル コントロール: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 コンプライアンス マネージャーのコントロール: Cloud Storage バケットで均一なバケットレベルのアクセスを有効にする

項目	Cloud SQL のパブリック IP アドレスを制限する
説明	constraints/sql.restrictPublicIp 組織のポリシーの制約を設定して、Cloud SQL がパブリック IP アドレスを持ち、インターネットに直接公開されないようにします。通常、データベースはインターネットに直接公開されません。 パブリック IP アドレスを防止すると、データベースにパブリック IP アドレスが割り当てられなくなり、データベースがプライベートになり、信頼できる内部アプリケーションからのみアクセスできるようになります。
関連情報	パブリック IP を無効にしてインスタンスのセキュリティを強化する 接続に関する組織のポリシー
アイテム ID	MVSP-CO-1.45
マッピング	関連する NIST-800-53 コントロール: SC-7 関連する CRI プロファイル コントロール: PR.AC-3.1 コンプライアンス マネージャーのコントロール: Cloud SQL インスタンスのパブリック IP アドレスをブロックする

中級レベルのガイドライン

基本的なガイドラインを実装したら、次のデータ保護ガイドラインを実装します。

項目	Cloud Storage バケットへのパブリック アクセスをブロックする
説明	storage.publicAccessPrevention ブール値制約により、認証なしでパブリック ソースからストレージ バケットにアクセスできなくなります。具体的には、allUsers と allAuthenticatedUsers へのアクセス権を付与するアクセス制御リスト（ACL）と Identity and Access Management（IAM）権限を無効にして、ブロックします。この制約は、バケットを一般公開する設定を積極的にブロックする組織全体のセーフティ ネットとして機能します。
関連情報	公開アクセスを防止する
アイテム ID	MVSP-CO-1-43
マッピング	関連する NIST-800-53 コントロール: AC-3 AC-17 AC-20 関連する CRI プロファイル コントロール: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 コンプライアンス マネージャーのコントロール: 公開アクセスの防止を適用する

項目	BigQuery データセットへのアクセス権を確認する
説明	データセットが一般公開を目的としたものでない限り、BigQuery に一般公開されているデータセットがないことを確認します。BigQuery のデータセットには、機密データが含まれていることがよくあります。 データセット アクセスを確認すると、データが誤ってインターネットに公開されるのを防ぐことができます。
関連情報	Identity and Access Management（IAM）を使用してリソースへのアクセスを制御する
アイテム ID	MVSP-CO-1.46
マッピング	関連する NIST-800-53 コントロール: AC-3 関連する CRI プロファイル コントロール: PR.AC-3.1 コンプライアンス マネージャーのコントロール: BigQuery データセットへのパブリック アクセスを制限する

上級レベルのガイドライン

中級ガイドラインを実装したら、次のデータ保護ガイドラインを実装します。

項目	マネージド暗号化戦略を作成する
説明	Autokey、Cloud External Key Manager（Cloud EKM）、またはその両方で Cloud Key Management Service（Cloud KMS）を使用して、暗号化管理戦略を作成します。この戦略により、組織は独自の暗号鍵を使用して管理し、特定の要件を満たすことができます。独自の暗号鍵を使用すると、鍵を無効にしてデータへのアクセスを直ちにブロックする機能など、データアクセスに対する詳細な監査可能な制御が可能になります。
関連情報	Cloud KMS の概要
アイテム ID	MVSP-CO-1.44
マッピング	関連する NIST-800-53 コントロール: SC-12 関連する CRI プロファイル コントロール: PR.DS-1.1

次のステップ

• ネットワーク セキュリティのガイドライン
• 最小限の実行可能な安全なプラットフォームの概要