機構規範

以下最低可行安全平台指南符合機構安全支柱。

中階指南

實作基本規範後，請實作下列機構規範。

項目

限制授權主體
說明

確保只有貴機構的身分可存取 Google Cloud 環境。使用「網域限定共用」 (iam.allowedPolicyMemberDomains) 或 iam.managed.allowedPolicyMembers 組織政策限制，定義一或多組 Cloud Identity 或 Google Workspace 客戶 ID，只有這類客戶 ID 的主體能新增至 Identity and Access Management (IAM) 政策。

這些限制有助於防止員工將存取權授予貴機構控管範圍外的外部帳戶，這類帳戶可能不符合多重驗證 (MFA) 或密碼管理的安全政策。這項控管措施至關重要，可防止未經授權的存取行為，確保只有受信任的受管理公司身分可用。
相關資訊
項目 ID MVSP-CO-1.21
對應

相關的 NIST-800-53 控制項：

  • AC-3
  • AC-17
  • AC-20

相關的 CRI 設定檔控制項：

  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Compliance Manager 控制項：

進階等級規範

導入中階規範後，請導入下列機構規範。

項目

限制資源位置
說明

「資源位置限制」(gcp.resourceLocations) 限制可確保系統只會使用您核准的 Google Cloud 區域儲存資料。這個值是您的系統專用，且符合貴機構核准的資料落地區域清單。

這項限制可讓貴機構強制規定，資源和資料只能在特定核准的地理區域建立及儲存。
相關資訊
項目 ID MVSP-CO-1.22
對應

相關的 NIST-800-53 控制項：

  • AC-3
  • AC-17
  • AC-20

相關的 CRI 設定檔控制項：

  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
項目

限制使用資源服務
說明

gcp.restrictServiceUsage 限制可確保只有您核准的 Google Cloud 服務會用於適當位置。舉例來說，生產或高度機密資料夾的核准資料儲存服務清單很短。 Google Cloud 沙箱資料夾可能會有較長的服務清單和相關資料安全控管措施，有助於防止資料外洩。這個值是您的系統專屬值，且與特定資料夾和專案的核准服務和依附元件清單相符。

貴機構可透過這項限制建立核准服務的允許清單，防止員工使用未經審查的服務。
相關資訊
項目 ID MVSP-CO-1.23
對應

相關的 NIST-800-53 控制項：

  • AC-3
  • AC-17
  • AC-20

相關的 CRI 設定檔控制項：

  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1

Compliance Manager 控制項：

後續步驟