Diretrizes de proteção de dados

As diretrizes a seguir para a plataforma de segurança mínima viável estão alinhadas ao pilar de proteção de dados.

Diretrizes do nível básico

Primeiro, implemente as seguintes diretrizes de proteção de dados.

Item	Usar o acesso uniforme no bucket
Descrição	A restrição booleana `storage.uniformBucketLevelAccess` exige que os buckets usem o acesso uniforme no nível do bucket. Com o acesso uniforme no nível do bucket, você só usa permissões do Identity and Access Management (IAM) no nível do bucket para conceder acesso aos recursos do Cloud Storage. Usar dois sistemas diferentes e conflitantes para gerenciar permissões em buckets de armazenamento é complexo e uma causa comum de vazamentos acidentais de dados. Essa configuração desativa o sistema legado (listas de controle de acesso ou ACLs) e faz com que o sistema moderno e centralizado (IAM) seja a única fonte de verdade para todas as permissões.
Informações relacionadas	Exigir acesso uniforme no nível do bucket
Código do item	MVSP-CO-1.42
Mapeamento	Controles relacionados do NIST-800-53: AC-3 AC-17 AC-20 Controles relacionados ao perfil da CRI: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 Controle do Compliance Manager: Ativar o acesso uniforme no nível do bucket nos buckets do Cloud Storage

Item	Restringir endereços IP públicos do Cloud SQL
Descrição	Para impedir que o Cloud SQL tenha um endereço IP público e fique exposto diretamente à Internet, defina a restrição de política da organização `constraints/sql.restrictPublicIp`. Normalmente, os bancos de dados não são expostos diretamente à Internet. Impedir endereços IP públicos ajuda a evitar que seus bancos de dados recebam endereços IP públicos, garantindo que eles sejam particulares e acessíveis apenas de aplicativos internos confiáveis.
Informações relacionadas	Aumentar a segurança da instância desativando o IP público Políticas de conexão da organização
Código do item	MVSP-CO-1.45
Mapeamento	Controles relacionados do NIST-800-53: SC-7 Controles relacionados ao perfil da CRI: PR.AC-3.1 Controle do Compliance Manager: Bloquear endereços IP públicos para instâncias do Cloud SQL

Depois de implementar as diretrizes básicas, implemente as seguintes diretrizes de proteção de dados.

Item	Bloquear o acesso público aos buckets do Cloud Storage
Descrição	A restrição booleana `storage.publicAccessPrevention` impede que buckets de armazenamento sejam acessados de fontes públicas sem autenticação. Ele desativa e bloqueia as listas de controle de acesso (ACLs) e as permissões do Identity and Access Management (IAM) que concedem acesso a `allUsers` e `allAuthenticatedUsers`. Essa restrição funciona como uma rede de segurança em toda a organização, bloqueando ativamente qualquer configuração que torne um bucket acessível publicamente.
Informações relacionadas	Prevenção de acesso público
Código do item	MVSP-CO-1-43
Mapeamento	Controles relacionados do NIST-800-53: AC-3 AC-17 AC-20 Controles relacionados ao perfil da CRI: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 Controle do Compliance Manager: Aplicar a prevenção de acesso público

Item	Analisar o acesso ao conjunto de dados do BigQuery
Descrição	Verifique se o BigQuery não tem conjuntos de dados abertos ao acesso público, a menos que eles sejam destinados a isso. Os conjuntos de dados no BigQuery geralmente contêm dados sensíveis. Ao revisar o acesso ao conjunto de dados, você garante que não vai expor dados à Internet por acidente ou sem querer.
Informações relacionadas	Controlar o acesso a recursos com o Identity and Access Management (IAM)
Código do item	MVSP-CO-1.46
Mapeamento	Controles relacionados do NIST-800-53: AC-3 Controles relacionados ao perfil da CRI: PR.AC-3.1 Controle do Compliance Manager: Restringir o acesso público a conjuntos de dados do BigQuery

Depois de implementar as diretrizes intermediárias, implemente as seguintes diretrizes de proteção de dados.

Item	Criar uma estratégia de criptografia gerenciada
Descrição	Crie uma estratégia de gerenciamento de criptografia usando o Cloud Key Management Service (Cloud KMS) com o Autokey, o Cloud External Key Manager (Cloud EKM) ou ambos. Com essa estratégia, sua organização pode usar e gerenciar as próprias chaves de criptografia para atender aos requisitos específicos. Usar suas próprias chaves de criptografia oferece controle granular e auditável sobre o acesso aos dados, incluindo a capacidade de bloquear imediatamente o acesso aos dados desativando a chave.
Informações relacionadas	Visão geral do Cloud KMS
Código do item	MVSP-CO-1.44
Mapeamento	Controles relacionados do NIST-800-53: SC-12 Controles relacionados ao perfil da CRI: PR.DS-1.1