数据管理控制

本文档包含在 Google Cloud上运行工作负载时，有关数据管理系统的最佳实践和准则。

借助 BigQuery 和 Cloud Storage 等数据管理系统，您可以存储工作流所需的数据，包括训练数据、模型制品和生产数据。

常见控制措施

这些控制措施适用于所有数据管理系统。

启用 Sensitive Data Protection 以进行数据检查

Google 控制 ID COM-CO-5.1
实现 推荐
说明

Google Cloud 建议使用 Sensitive Data Protection。您选择的 infoType 或作业模板取决于您的具体系统。
适用的产品
  • 敏感数据保护
相关 NIST-800-53 控制措施
  • SI-4
  • IA-7
  • SC-7
  • SC-8
相关 CRI 配置文件控制措施
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
相关信息

数据仓库控制

这些控制措施适用于 BigQuery。

确保 BigQuery 数据集不可公开读取或未设置为 allAuthenticatedUsers

Google 控制 ID BQ-CO-6.1
实现 必需
说明

仅限特定用户可以访问 BigQuery 数据集中的信息。如需配置此保护，您必须设置详细的角色。
适用的产品
  • 组织政策服务
  • BigQuery
  • Identity and Access Management (IAM)
路径 cloudasset.assets/assetType
运算符 ==
值
  • bigquery.googleapis.com/Dataset
类型 字符串
相关 NIST-800-53 控制
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相关 CRI 配置文件控制措施
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相关信息

确保 BigQuery 表不可公开读取或未设置为 allAuthenticatedUsers

Google 控制 ID BQ-CO-6.2
实现 必需
说明

仅限特定用户可以访问 BigQuery 数据集中的信息。如需配置此保护，您必须设置详细的角色。
适用的产品
  • Identity and Access Management (IAM)
  • BigQuery
路径 cloudasset.assets/iamPolicy.bindings.members
运算符 anyof
值
  • allUsers
  • allAuthenticatedUsers
类型 字符串
相关 NIST-800-53 控制
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相关 CRI 配置文件控制措施
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相关信息

对 BigQuery 表中的个别值进行加密

Google 控制 ID BQ-CO-6.3
实现 可选
说明

如果您的组织要求您对 BigQuery 表中的个别值进行加密，请使用带有关联数据的身份验证加密 (AEAD) 加密功能。
适用的产品
  • BigQuery
相关 NIST-800-53 控制
  • SC-13
相关 CRI 配置文件控制
  • PR.DS-5.1
相关信息

为 BigQuery 数据集使用授权视图

Google 控制 ID BQ-CO-6.4
实现 可选
说明

借助授权视图，您可以将数据集中的部分数据共享给特定用户。例如，授权视图可让您与特定用户和群组共享查询结果，而无需为其授予底层源数据的访问权限。
适用的产品
  • BigQuery
相关 NIST-800-53 控制
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相关 CRI 配置文件控制措施
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相关信息

使用 BigQuery 列级安全性

Google 控制 ID BQ-CO-6.5
实现 可选
说明

使用 BigQuery 列级安全性创建政策，以便在查询时检查用户是否拥有适当的访问权限。BigQuery 通过政策标记或基于类型的数据分类，提供对敏感列的精细访问权限。
适用的产品
  • BigQuery
相关 NIST-800-53 控制
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相关 CRI 配置文件控制措施
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相关信息

使用 BigQuery 行级安全性

Google 控制 ID BQ-CO-6.6
实现 可选
说明

使用行级安全性和访问权限政策，对 BigQuery 表中的部分数据启用精细访问权限控制。
适用的产品
  • BigQuery
相关 NIST-800-53 控制
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相关 CRI 配置文件控制措施
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相关信息

使用 BigQuery 资源图表

Google 控制 ID BQ-CO-7.1
实现 可选
说明

BigQuery 资源图表可让 BigQuery 管理员观察他们的组织、文件夹或预留如何使用 BigQuery 槽以及其查询性能。
适用的产品
  • BigQuery
相关 NIST-800-53 控制
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相关 CRI 配置文件控制措施
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相关信息

存储控制

这些控制措施适用于 Cloud Storage。

禁止公开访问 Cloud Storage 存储桶

Google 控制 ID GCS-CO-4.1
实现 必需
说明

storage.publicAccessPrevention 布尔值限制条件可防止在未经身份验证的情况下从公共来源访问存储分区。它会停用和屏蔽向 allUsers 和 allAuthenticatedUsers 授予访问权限的访问权限控制列表 (ACL) 和 Identity and Access Management (IAM) 权限。此限制条件可作为组织范围内的安全网，主动阻止任何会使存储桶可公开访问的设置。
适用的产品
  • 组织政策服务
  • Cloud Storage
路径 constraints/storage.publicAccessPrevention
运算符 ==
值
  • True
类型 布尔值
相关 NIST-800-53 控制
  • AC-3
  • AC-17
  • AC-20
相关 CRI 配置文件控制措施
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相关信息

使用统一存储桶级访问权限

Google 控制 ID GCS-CO-4.2
实现 必需
说明

storage.uniformBucketLevelAccess 布尔值限制条件要求存储桶使用统一的存储桶级访问权限。借助统一存储桶级访问权限，您只能使用存储桶级 Identity and Access Management (IAM) 权限来授予对 Cloud Storage 资源的访问权限。

使用两个不同且相互冲突的系统来管理存储分区的权限非常复杂，并且是导致意外数据泄露的常见原因。此设置会关闭旧版系统（访问权限控制列表，即 ACL），并使新式集中式系统 (IAM) 成为所有权限的唯一可靠来源。
适用的产品
  • 组织政策服务
  • Cloud Storage
路径 constraints/storage.uniformBucketLevelAccess
运算符 ==
值
  • True
类型 布尔值
相关 NIST-800-53 控制
  • AC-3
  • AC-17
  • AC-20
相关 CRI 配置文件控制措施
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相关信息

保护服务账号的 HMAC 密钥

Google 控制 ID GCS-CO-6.9
实现 必需
说明

HMAC 密钥是一种与 Cloud Storage 中的服务账号或用户账号相关联的长期有效的凭证。使用 HMAC 密钥创建签名，这些签名会包含在针对 Cloud Storage 的请求中。签名可证明用户或服务账号已授权某项请求。

与短期有效凭据（例如OAuth 2.0 令牌）不同，HMAC 密钥不会自动失效，在手动撤消之前会一直有效。HMAC 密钥是高风险凭证：如果泄露，它们会提供对您资源的持久访问权限。您必须确保已采取适当的机制来帮助保护这些数据。
适用的产品
  • Cloud Storage
路径 storage.projects.hmacKeys/id
运算符 Exists
值
  • []
类型 字符串
相关 NIST-800-53 控制措施
  • SC-12
  • SC-13
相关 CRI 配置文件控制措施
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相关信息

检测服务账号对 Cloud Storage 存储桶的枚举

Google 控制 ID GCS-CO-7.2
实现 必需
说明

服务账号是一种非人类身份，专为应用而设计，其行为可预测且自动化。通常，服务账号不需要列出各个存储桶，因为它们已经过映射。因此，如果您检测到某个服务账号尝试检索所有 Cloud Storage 存储桶的列表，请立即进行调查。侦察枚举通常被已获得服务账号访问权限的恶意方用作侦察技术。
适用的产品
  • Cloud Storage
  • Cloud Audit Logs
运算符 ==
值
  • storage.bucket.list
类型 字符串
相关 NIST-800-53 控制措施
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相关 CRI 配置文件控制措施
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相关信息

检测服务账号对 Cloud Storage 存储分区的 IAM 政策修改

Google 控制 ID GCS-CO-7.3
实现 必需
说明

配置一项提醒，用于检测 Cloud Storage 存储桶的 Identity and Access Management (IAM) 政策何时被修改为授予公开访问权限。当 allUsers 或 allAuthenticatedUsers 主账号添加到存储桶的 IAM 政策时，系统会触发此提醒。此提醒属于严重程度为“严重”的高严重性事件，因为该事件可能会暴露存储桶中的所有数据。请立即调查此提醒，以确认相应更改是否已获授权，或者是否表明存在配置错误或恶意方。

在提醒中，将 data.protoPayload.serviceData.policyData.bindingDeltas.member JSON 属性设置为 allUsers 或 allAuthenticatedUsers，并将操作设置为 ADD。
适用的产品
  • Cloud Storage
  • Cloud Audit Logs
相关 NIST-800-53 控制措施
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相关 CRI 配置文件控制措施
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相关信息

确保 Cloud Storage 存储桶保留政策使用存储桶锁定

Google 控制 ID GCS-CO-6.1
实现 推荐
说明

根据您的监管要求，确保每个 Cloud Storage 存储桶保留政策都已锁定。将保留期限设置为满足您要求的时间范围。
适用的产品
  • Cloud Storage
路径 storage.buckets/retentionPolicy.isLocked
运算符 !=
值
  • True
类型 布尔值
相关 NIST-800-53 控制措施
  • SI-12
相关 CRI 配置文件控制措施
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相关信息

为 SetStorageClass 操作设置生命周期规则

Google 控制 ID GCS-CO-6.11
实现 推荐
说明

将生命周期规则应用于具有 SetStorageClass 操作类型的每个 Cloud Storage 存储桶。
适用的产品
  • Cloud Storage
路径 storage.buckets/lifecycle.rule.action.type
运算符 ==
值
  • SetStorageClass
类型 字符串
相关 NIST-800-53 控制措施
  • SI-12
相关 CRI 配置文件控制措施
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相关信息

为存储类别设置允许的区域

Google 控制 ID GCS-CO-6.12
实现 推荐
说明
确保生命周期配置的存储类别不在允许的区域分类范围内。
适用的产品
  • Cloud Storage
路径 storage.buckets/lifecycle.rule.action.storageClass
运算符 nin
值
  • MULTI_REGIONAL
  • REGIONAL
类型 字符串
相关 NIST-800-53 控制措施
  • SI-12
相关 CRI 配置文件控制措施
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相关信息

为 Cloud Storage 存储桶启用生命周期管理

Google 控制 ID GCS-CO-6.13
实现 推荐
说明

确保已启用并配置 Cloud Storage 的生命周期管理。生命周期控制包含存储生命周期的配置。验证此设置中的政策是否符合您的要求。
适用的产品
  • Cloud Storage
路径 storage.buckets/lifecycle
运算符 Exists
值
  • []
类型 对象
相关 NIST-800-53 控制措施
  • SI-12
相关 CRI 配置文件控制措施
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相关信息

为 Cloud Storage 存储桶启用生命周期管理规则

Google 控制 ID GCS-CO-6.14
实现 推荐
说明

确保已启用并配置 Cloud Storage 的生命周期管理规则。规则控制包含存储生命周期的配置。验证此设置中的政策是否符合您的要求。
适用的产品
  • Cloud Storage
路径 storage.buckets/lifecycle.rule
运算符 Empty
值
  • []
类型 数组
相关 NIST-800-53 控制措施
  • SI-12
相关 CRI 配置文件控制措施
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相关信息

查看和评估活跃对象的暂时保全

Google 控制 ID GCS-CO-6.16
实现 推荐
说明

找出所有将 temporaryHold 设置为 TRUE 的对象，并开始调查和验证流程。此评估适用于以下用例：

  • 诉讼保全：为遵守数据存储方面的法律要求，暂时保全可用于防止删除可能与正在进行的调查或诉讼相关的敏感数据。
  • 数据防丢失：为防止重要数据被意外删除，暂时保全可用作保护关键业务信息的安全措施。
  • 内容审核：在可能敏感或不当的内容公开之前，暂时保全上传到 Cloud Storage 的内容，以便进一步检查和做出审核决定。
适用的产品
  • Cloud Storage
路径 storage.objects/temporaryHold
运算符 ==
值
  • TRUE
类型 布尔值
相关 NIST-800-53 控制措施
  • SI-12
相关 CRI 配置文件控制措施
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相关信息

对 Cloud Storage 存储桶强制执行保留政策

Google 控制 ID GCS-CO-6.17
实现 推荐
说明

确保所有 Cloud Storage 存储桶都具有保留政策。
适用的产品
  • Cloud Storage
路径 storage.buckets/retentionPolicy.retentionPeriod
运算符 agesmaller
值
  • [90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]
类型 int64
相关 NIST-800-53 控制措施
  • SI-12
相关 CRI 配置文件控制措施
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相关信息

为 Cloud Storage 存储桶强制执行分类标记

Google 控制 ID GCS-CO-6.18
实现 推荐
说明

数据分类是任何数据治理和安全计划的基础组成部分。为每个存储桶应用分类标签（值可以是公开、内部、机密或受限）至关重要。

确认 google_storage_bucket.labels 是否包含用于分类的表达式，如果没有，则创建违规情况。
适用的产品
  • Cloud Storage
路径 storage.buckets/labels.classification
运算符 notexists
值
  • []
类型 扩展
相关 NIST-800-53 控制措施
  • SI-12
相关 CRI 配置文件控制措施
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相关信息

为 Cloud Storage 存储桶强制使用日志存储桶

Google 控制 ID GCS-CO-6.3
实现 推荐
说明

确保每个 Cloud Storage 存储桶都包含一个日志存储桶。
适用的产品
  • Cloud Storage
路径 storage.buckets/logging.logBucket
运算符 notexists
值
  • []
类型 字符串
相关 NIST-800-53 控制措施
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相关 CRI 配置文件控制措施
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相关信息

为 Cloud Storage 存储桶配置删除规则

Google 控制 ID GCS-CO-6.5
实现 推荐
说明

在 Cloud Storage 中，storage.buckets/lifecycle.rule.action.type 是指根据存储桶中的生命周期规则对特定对象采取的操作类型。此配置有助于自动管理和控制存储在云中的数据的生命周期。

配置 storage.buckets/lifecycle.rule.action.type 以确保对象从存储桶中永久删除。
适用的产品
  • Cloud Storage
路径 storage.buckets/lifecycle.rule.action.type
运算符 ==
值
  • Delete
类型 字符串
相关 NIST-800-53 控制措施
  • SI-12
相关 CRI 配置文件控制措施
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相关信息

确保删除规则的 isLive 条件为 False

Google 控制 ID GCS-CO-6.6
实现 推荐
说明

对于删除规则，请确保相应规则的 isLive 条件设置为 false。

在 Cloud Storage 中，storage.buckets/lifecycle.rule.condition.isLive 是一个布尔值条件，用于在生命周期规则中确定对象是否被视为有效。此过滤条件有助于确保生命周期规则中的操作仅应用于所需的、处于有效状态的对象。

应用场景：

  • 归档历史版本：仅归档对象的非当前版本，以节省存储费用，同时保持最新版本可随时访问。
  • 清理已删除的对象：自动永久删除用户已删除的对象，从而释放存储桶中的空间。
  • 保护现行数据：确保设置暂时保全等操作仅应用于现行对象，防止意外修改归档或已删除的版本
适用的产品
  • Cloud Storage
路径 storage.buckets/lifecycle.rule.condition.isLive
运算符 ==
值
  • False
类型 布尔值
相关 NIST-800-53 控制措施
  • SI-12
相关 CRI 配置文件控制措施
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相关信息

为 Cloud Storage 存储桶强制启用版本控制

Google 控制 ID GCS-CO-6.7
实现 推荐
说明

确保所有 Cloud Storage 存储桶都已启用版本控制。应用场景包括：

  • 数据保护和恢复：防止覆盖数据，并支持恢复已删除或修改的数据，从而防范意外数据丢失。
  • 合规性和审核：维护所有对象编辑的历史记录，以用于监管合规或内部审核。
  • 版本控制：跟踪文件和数据集的更改，以便进行协作，并在必要时回滚到之前的版本。
适用的产品
  • Cloud Storage
路径 storage.buckets/versioning.enabled
运算符 !=
值
  • True
类型 布尔值
相关 NIST-800-53 控制措施
  • SI-12
相关 CRI 配置文件控制措施
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相关信息

强制为 Cloud Storage 存储桶设置所有者

Google 控制 ID GCS-CO-6.8
实现 推荐
说明

确保 google_storage_bucket.labels 具有所有者的表达式。
适用的产品
  • Cloud Storage
路径 storage.buckets/labels.owner
运算符 notexists
值
  • []
类型 扩展
相关 NIST-800-53 控制措施
  • SI-12
相关 CRI 配置文件控制措施
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相关信息

启用关键 Cloud Storage 活动的日志记录

Google 控制 ID GCS-CO-7.4
实现 推荐
说明

根据用例，针对特定存储对象启用额外的日志记录。例如，记录对敏感数据桶的访问，以便您可以跟踪谁在何时获得了访问权限。启用额外的日志记录时，请考虑您可能会生成的日志量。
适用的产品
  • Cloud Storage
相关 NIST-800-53 控制措施
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相关 CRI 配置文件控制措施
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相关信息

后续步骤