Consignes de l'organisation

Les consignes suivantes concernant la plate-forme de sécurité viable minimale s'alignent sur le pilier de sécurité de l'organisation.

Consignes pour le niveau intermédiaire

Après avoir mis en œuvre les consignes de base, appliquez les consignes suivantes concernant l'organisation.

Élément	Restreindre les comptes principaux autorisés
Description	Assurez-vous que seules les identités de votre organisation sont autorisées dans votre environnement Google Cloud . Utilisez la contrainte de règle d'administration Partage restreint au domaine (`iam.allowedPolicyMemberDomains`) ou `iam.managed.allowedPolicyMembers` pour définir un ou plusieurs ID client Cloud Identity ou Google Workspace dont les comptes principaux peuvent être ajoutés aux stratégies Identity and Access Management (IAM). Ces contraintes permettent d'empêcher les employés d'accorder l'accès à des comptes externes qui ne respectent pas vos règles de sécurité concernant l'authentification multifacteur (MFA) ou la gestion des mots de passe et qui ne sont pas contrôlés par votre organisation. Ce contrôle est essentiel pour empêcher les accès non autorisés et s'assurer que seules les identités d'entreprise gérées et fiables peuvent être utilisées.
Informations connexes	Restreindre les identités par domaine
ID de l'élément	MVSP-CO-1.21
Mappage	Contrôles NIST-800-53 associés : AC-3 AC-17 AC-20 Commandes associées du profil CRI : PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 Contrôle Compliance Manager : Appliquer le partage restreint de domaine

Après avoir implémenté les consignes intermédiaires, implémentez les consignes suivantes concernant l'organisation.

Élément	Limiter les emplacements de ressources
Description	La contrainte de restriction d'emplacement des ressources (`gcp.resourceLocations`) garantit que seules les régions Google Cloud approuvées sont utilisées pour stocker les données. La valeur est spécifique à vos systèmes et correspond à la liste des régions approuvées par votre organisation pour la résidence des données. Cette contrainte permet à votre organisation de s'assurer que vos ressources et vos données ne sont créées et enregistrées que dans des régions géographiques spécifiques approuvées.
Informations connexes	Limiter les emplacements de ressources
ID de l'élément	MVSP-CO-1.22
Mappage	Contrôles NIST-800-53 associés : AC-3 AC-17 AC-20 Commandes associées du profil CRI : PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1

Élément	Restreindre l'utilisation des services de ressources
Description	La contrainte `gcp.restrictServiceUsage` garantit que seuls vos services Google Cloud approuvés sont utilisés aux bons endroits. Par exemple, un dossier de production ou très sensible comporte une petite liste de services Google Cloud autorisés à stocker des données. Un dossier sandbox peut contenir une liste plus longue de services et de contrôles de sécurité des données associés pour empêcher l'exfiltration de données. La valeur est spécifique à vos systèmes et correspond à la liste approuvée de services et de dépendances pour des dossiers et projets spécifiques. Cette contrainte permet à votre organisation de créer une liste d'autorisation des services approuvés, ce qui permet d'empêcher les employés d'utiliser des services non vérifiés.
Informations connexes	Restreindre l'utilisation des ressources
ID de l'élément	MVSP-CO-1.23
Mappage	Contrôles NIST-800-53 associés : AC-3 AC-17 AC-20 Commandes associées du profil CRI : PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 Contrôle Compliance Manager : Restreindre l'utilisation des services de ressources