组织指南

以下关于最低可行安全平台的准则与组织安全支柱相符。

中级指南

实施基本准则后，请实施以下组织准则。

项

限制已获授权的主账号
说明

确保只有您组织中的身份才能在 Google Cloud 环境中获得授权。使用网域限定共享 (iam.allowedPolicyMemberDomains) 或 iam.managed.allowedPolicyMembers 组织政策限制条件来定义一个或多个 Cloud Identity 或 Google Workspace 客户 ID，这些客户 ID 的正文可以添加到 Identity and Access Management (IAM) 政策中。

这些限制有助于防止员工向组织控制范围之外的外部账号授予访问权限，而这些账号不遵循组织关于多重身份验证 (MFA) 或密码管理的安全性政策。此控制措施对于防止未经授权的访问至关重要，可确保只有受信任的受管理公司身份才能用于访问。
相关信息
内容 ID MVSP-CO-1.21
映射

相关 NIST-800-53 控制措施：

  • AC-3
  • AC-17
  • AC-20

相关 CRI 配置文件控制措施：

  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Compliance Manager 控制措施：

高级别指南

实施中级准则后，请实施以下组织准则。

项

限制资源位置
说明

资源位置限制 (gcp.resourceLocations) 限制条件可确保仅使用您已获批准的 Google Cloud 区域来存储数据。该值特定于您的系统，并且与组织批准的数据驻留区域列表相匹配。

通过此限制条件，您的组织可以强制规定资源和数据只能在特定的获批地理区域中创建和保存。
相关信息
内容 ID MVSP-CO-1.22
映射

相关 NIST-800-53 控制措施：

  • AC-3
  • AC-17
  • AC-20

相关 CRI 配置文件控制措施：

  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
项

限制资源服务使用
说明

gcp.restrictServiceUsage 限制可确保仅在适当的位置使用您已获批准的 Google Cloud 服务。例如，生产环境文件夹或高度敏感的文件夹具有一小部分获准存储数据的 Google Cloud 服务。沙盒文件夹可能包含更大的服务列表和相应的数据安全控制措施，有助于防止数据渗漏。该值特定于您的系统，并且与您批准的特定文件夹和项目的服务及依赖项列表相匹配。

借助此限制条件，您的组织可以创建已获批准的服务的许可名单，从而有助于防止员工使用未经审核的服务。
相关信息
内容 ID MVSP-CO-1.23
映射

相关 NIST-800-53 控制措施：

  • AC-3
  • AC-17
  • AC-20

相关 CRI 配置文件控制措施：

  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Compliance Manager 控制措施：

后续步骤