数据保护准则

以下有关最低可行安全平台的准则与数据保护支柱相符。

基本级准则

请先遵循以下数据保护准则。

项

使用统一存储桶级访问权限
说明

storage.uniformBucketLevelAccess 布尔值限制条件要求存储桶使用统一的存储桶级访问权限。借助统一存储桶级访问权限，您只能使用存储桶级 Identity and Access Management (IAM) 权限来授予对 Cloud Storage 资源的访问权限。

使用两个不同且相互冲突的系统来管理存储分区的权限非常复杂，并且是导致意外数据泄露的常见原因。此设置会关闭旧版系统（访问权限控制列表，即 ACL），并使新式集中式系统 (IAM) 成为所有权限的唯一可靠来源。
相关信息
内容 ID MVSP-CO-1.42
映射

相关 NIST-800-53 控制措施：

  • AC-3
  • AC-17
  • AC-20

相关 CRI 配置文件控制措施：

  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Compliance Manager 控制措施：
项

限制 Cloud SQL 公共 IP 地址
说明

通过设置 constraints/sql.restrictPublicIp 组织政策限制条件，防止 Cloud SQL 拥有公共 IP 地址并直接暴露于互联网。通常，数据库不会直接向互联网公开。

防止使用公共 IP 地址有助于防止数据库获取公共 IP 地址，从而确保数据库是专用数据库，并且只能从受信任的内部应用访问。
相关信息
内容 ID MVSP-CO-1.45
映射

相关 NIST-800-53 控制措施：

  • SC-7

相关 CRI 配置文件控制措施：

  • PR.AC-3.1

Compliance Manager 控制措施：

中级指南

实施基本准则后，请实施以下数据保护准则。

项

禁止公开访问 Cloud Storage 存储桶
说明

storage.publicAccessPrevention 布尔值限制条件可防止在未经身份验证的情况下从公共来源访问存储分区。它会停用并屏蔽向 allUsers 和 allAuthenticatedUsers 授予访问权限的访问权限控制列表 (ACL) 和 Identity and Access Management (IAM) 权限。此限制条件可充当组织范围内的安全网，主动阻止任何会使存储桶可公开访问的设置。
相关信息
内容 ID MVSP-CO-1-43
映射

相关 NIST-800-53 控制措施：

  • AC-3
  • AC-17
  • AC-20

相关 CRI 配置文件控制措施：

  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Compliance Manager 控制措施：
项

查看 BigQuery 数据集访问权限
说明

确保 BigQuery 没有开放给公众访问的数据集，除非这些数据集本来就打算公开。BigQuery 中的数据集通常包含敏感数据。

查看数据集访问权限有助于确保您不会意外或无意中将数据暴露在互联网上。
相关信息
内容 ID MVSP-CO-1.46
映射

相关 NIST-800-53 控制措施：

  • AC-3

相关 CRI 配置文件控制措施：

  • PR.AC-3.1

Compliance Manager 控制措施：

高级别指南

实施中级准则后，请实施以下数据保护准则。

项

创建受管理的加密策略
说明

使用 Cloud Key Management Service (Cloud KMS) 和 Autokey、Cloud External Key Manager (Cloud EKM) 或同时使用这两者来制定加密管理策略。借助此策略，贵组织可以使用和管理自己的加密密钥，以满足您的特定要求。使用您自己的加密密钥可实现对数据访问权限的精细化、可审核控制，包括能够通过停用密钥立即阻止对数据的访问。
相关信息
内容 ID MVSP-CO-1.44
映射

相关 NIST-800-53 控制措施：

  • SC-12

相关 CRI 配置文件控制措施：

  • PR.DS-1.1

后续步骤