資料管理控制項

本文提供資料管理系統最佳做法和指南，適用於在 Google Cloud上執行工作負載的情況。

BigQuery 和 Cloud Storage 等資料管理系統可讓您儲存工作流程所需的資料，包括訓練資料、模型構件和生產資料。

常見控制項

這些控制項適用於所有資料管理系統。

啟用 Sensitive Data Protection 進行資料檢查

Google 控制項 ID COM-CO-5.1
實作 建議
說明

Google Cloud 建議使用 Sensitive Data Protection。您選取的 infoType 或工作範本取決於特定系統。
適用產品
  • Sensitive Data Protection
相關的 NIST-800-53 控制項
  • SI-4
  • IA-7
  • SC-7
  • SC-8
相關的 CRI 設定檔控制項
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
相關資訊

資料倉儲控制項

這些控制項適用於 BigQuery。

確保 BigQuery 資料集未設為可公開讀取，也不會設為 allAuthenticatedUsers

Google 控制項 ID BQ-CO-6.1
實作 必填
說明

只允許特定使用者存取 BigQuery 資料集中的資訊。如要設定這項保護措施，請務必設定詳細角色。
適用產品
  • 組織政策服務
  • BigQuery
  • Identity and Access Management (IAM)
路徑 cloudasset.assets/assetType
運算子 ==
值
  • bigquery.googleapis.com/Dataset
類型 字串
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相關資訊

確保 BigQuery 資料表未設為可公開讀取，也不會設為 allAuthenticatedUsers

Google 控制項 ID BQ-CO-6.2
實作 必填
說明

只允許特定使用者可以存取 BigQuery 資料表中的資訊。如要設定這項保護措施，請務必設定詳細角色。
適用產品
  • Identity and Access Management (IAM)
  • BigQuery
路徑 cloudasset.assets/iamPolicy.bindings.members
運算子 anyof
值
  • allUsers
  • allAuthenticatedUsers
類型 字串
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相關資訊

加密 BigQuery 資料表中的個別值

Google 控制項 ID BQ-CO-6.3
實作 選用
說明

如果貴組織規定必須加密 BigQuery 資料表中的個別值，請使用「附帶相關資料的驗證加密」(AEAD) 加密函式。
適用產品
  • BigQuery
相關的 NIST-800-53 控制項
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-5.1
相關資訊

使用 BigQuery 資料集的授權 view

Google 控制項 ID BQ-CO-6.4
實作 選用
說明

授權 view 可讓您與特定使用者分享資料集中的部分資料。舉例來說，授權 view 可讓您與特定使用者和群組分享查詢結果，無須授予他們基礎來源資料的存取權。
適用產品
  • BigQuery
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相關資訊

使用 BigQuery 資料欄層級安全防護機制

Google 控制項 ID BQ-CO-6.5
實作 選用
說明

您可以使用 BigQuery 資料欄層級的安全防護機制來建立政策，以便在執行查詢當下檢查使用者是否具備適當存取權。BigQuery 透過資料的政策標記 (或依據類型的分類方式)，對機密資料欄提供精細的存取權限。
適用產品
  • BigQuery
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相關資訊

使用 BigQuery 資料列層級安全防護機制

Google 控制項 ID BQ-CO-6.6
實作 選用
說明

使用資料列層級安全防護機制和存取權政策，對 BigQuery 資料表中的部分資料啟用精細的存取控管。
適用產品
  • BigQuery
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相關資訊

使用 BigQuery 資源圖表

Google 控制項 ID BQ-CO-7.1
實作 選用
說明

BigQuery 資源圖表可讓 BigQuery 管理員觀察組織、資料夾或預留項目如何使用 BigQuery 運算單元，以及查詢的執行情況。
適用產品
  • BigQuery
相關的 NIST-800-53 控制項
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相關資訊

儲存空間控制選項

這些控制選項適用於 Cloud Storage。

禁止公開存取 Cloud Storage bucket

Google 控制項 ID GCS-CO-4.1
實作 必填
說明

storage.publicAccessPrevention 布林值限制可防止未經驗證的公開來源存取儲存空間 bucket。這項功能會停用並封鎖存取控制清單 (ACL) 和 Identity and Access Management (IAM) 權限，禁止存取 allUsers 和 allAuthenticatedUsers。這項限制可做為機構全體適用的安全網，主動封鎖任何會讓 bucket 可公開存取的設定。
適用產品
  • 組織政策服務
  • Cloud Storage
路徑 constraints/storage.publicAccessPrevention
運算子 ==
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相關資訊

使用統一值區層級存取權

Google 控制項 ID GCS-CO-4.2
實作 必填
說明

storage.uniformBucketLevelAccess 布林限制規定值區必須使用統一值區層級存取權。統一 bucket 層級存取權可讓您只使用 bucket 層級的身分與存取權管理 (IAM) 權限，授予 Cloud Storage 資源的存取權。

使用兩個不同且衝突的系統來管理儲存空間值區的權限，不僅複雜，也是造成資料意外外洩的常見原因。這項設定會關閉舊版系統 (存取控制清單或 ACL)，並將現代化的集中式系統 (IAM) 設為所有權限的單一可靠資料來源。
適用產品
  • 組織政策服務
  • Cloud Storage
路徑 constraints/storage.uniformBucketLevelAccess
運算子 ==
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • AC-3
  • AC-17
  • AC-20
相關的 CRI 設定檔控制項
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相關資訊

保護服務帳戶的 HMAC 金鑰

Google 控制項 ID GCS-CO-6.9
實作 必填
說明

HMAC 金鑰是與 Cloud Storage 中的服務帳戶或使用者帳戶相關聯的長期憑證。使用 HMAC 金鑰建立簽名，然後將其加入傳送至 Cloud Storage 的要求中。簽名可證明使用者或服務帳戶已授權要求。

與短期憑證 (例如 OAuth 2.0 權杖)，HMAC 金鑰不會自動過期，且在手動撤銷前都有效。HMAC 金鑰是高風險憑證，一旦遭盜用，就能持續存取您的資源。您必須確保已採取適當的機制來保護這些資料。
適用產品
  • Cloud Storage
路徑 storage.projects.hmacKeys/id
運算子 Exists
值
  • []
類型 字串
相關的 NIST-800-53 控制項
  • SC-12
  • SC-13
相關的 CRI 設定檔控制項
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
相關資訊

偵測服務帳戶列舉 Cloud Storage bucket 的行為

Google 控制項 ID GCS-CO-7.2
實作 必填
說明

服務帳戶是專為應用程式設計的非人類身分，行為可預測且自動化。一般來說，服務帳戶不需要列出儲存空間，因為這些儲存空間已對應。因此，如果偵測到服務帳戶嘗試擷取所有 Cloud Storage 值區的清單，請立即展開調查。惡意行為人取得服務帳戶存取權後，通常會使用偵察列舉做為偵察技術。
適用產品
  • Cloud Storage
  • Cloud 稽核記錄
運算子 ==
值
  • storage.bucket.list
類型 字串
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

偵測服務帳戶對 Cloud Storage 值區的身分與存取權管理政策所做的修改

Google 控制項 ID GCS-CO-7.3
實作 必填
說明

設定快訊，在 Cloud Storage bucket 的身分與存取權管理 (IAM) 政策遭到修改，授予公開存取權時發出通知。如果將 allUsers 或 allAuthenticatedUsers 主體新增至值區的 IAM 政策，系統就會觸發這項快訊。這項快訊屬於重大事件，嚴重程度為「高」，因為這類事件可能會導致儲存空間中的所有資料外洩。請立即調查這則快訊，確認變更是否經過授權，或是設定錯誤或惡意行為人的跡象。

在快訊中，將 data.protoPayload.serviceData.policyData.bindingDeltas.member JSON 屬性設為 allUsers 或 allAuthenticatedUsers，並將動作設為 ADD。
適用產品
  • Cloud Storage
  • Cloud 稽核記錄
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

確保 Cloud Storage bucket 資料保留政策使用 Bucket Lock

Google 控制項 ID GCS-CO-6.1
實作 建議
說明

請根據法規要求，確保每個 Cloud Storage bucket 的資料保留政策都已鎖定。將保留期限設為符合您需求的時間範圍。
適用產品
  • Cloud Storage
路徑 storage.buckets/retentionPolicy.isLocked
運算子 !=
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

為 SetStorageClass 動作設定生命週期規則

Google 控制項 ID GCS-CO-6.11
實作 建議
說明

對具有 SetStorageClass 動作類型的每個 Cloud Storage bucket 套用生命週期規則。
適用產品
  • Cloud Storage
路徑 storage.buckets/lifecycle.rule.action.type
運算子 ==
值
  • SetStorageClass
類型 字串
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

設定儲存空間級別的允許地區

Google 控制項 ID GCS-CO-6.12
實作 建議
說明
確認生命週期設定的儲存空間級別不在允許的區域分類中。
適用產品
  • Cloud Storage
路徑 storage.buckets/lifecycle.rule.action.storageClass
運算子 nin
值
  • MULTI_REGIONAL
  • REGIONAL
類型 字串
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

啟用 Cloud Storage 值區的生命週期管理

Google 控制項 ID GCS-CO-6.13
實作 建議
說明

確認已啟用並設定 Cloud Storage 的生命週期管理功能。生命週期控制項包含儲存空間生命週期的設定。確認這項設定中的政策符合您的需求。
適用產品
  • Cloud Storage
路徑 storage.buckets/lifecycle
運算子 Exists
值
  • []
類型 物件
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

為 Cloud Storage 值區啟用生命週期管理規則

Google 控制項 ID GCS-CO-6.14
實作 建議
說明

確認已啟用並設定 Cloud Storage 的生命週期管理規則。規則控制項包含儲存空間生命週期的設定。確認這項設定中的政策符合您的需求。
適用產品
  • Cloud Storage
路徑 storage.buckets/lifecycle.rule
運算子 Empty
值
  • []
類型 陣列
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

查看並評估有效物件的暫時性訴訟保留

Google 控制項 ID GCS-CO-6.16
實作 建議
說明

找出所有將 temporaryHold 設為 TRUE 的物件，並開始調查和驗證程序。這項評估適用於下列用途：

  • 訴訟保留：為遵守資料儲存的法律要求，您可以暫時保留資料，防止系統刪除可能與進行中調查或訴訟相關的機密資料。
  • 資料遺失防護：為防止重要資料遭誤刪，您可以暫時保留資料，確保重要業務資訊安全無虞。
  • 內容審查：如要在潛在敏感或不當內容公開前進行審查，可以暫時保留上傳至 Cloud Storage 的內容，以便進一步檢查及做出審查決策。
適用產品
  • Cloud Storage
路徑 storage.objects/temporaryHold
運算子 ==
值
  • TRUE
類型 布林值
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

強制執行 Cloud Storage bucket 的資料保留政策

Google 控制項 ID GCS-CO-6.17
實作 建議
說明

確認所有 Cloud Storage bucket 都有資料保留政策。
適用產品
  • Cloud Storage
路徑 storage.buckets/retentionPolicy.retentionPeriod
運算子 agesmaller
值
  • [90,"DAY","AFTER","yyyy-MM-dd'T'HH:mm:ss'Z'"]
類型 int64
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

強制執行 Cloud Storage bucket 的分類標記

Google 控制項 ID GCS-CO-6.18
實作 建議
說明

資料分類是所有資料治理和安全計畫的基礎。請務必為每個值區套用分類標籤，例如公開、內部、機密或受限。

確認 google_storage_bucket.labels 具有分類的運算式，如果沒有，請建立違規事項。
適用產品
  • Cloud Storage
路徑 storage.buckets/labels.classification
運算子 notexists
值
  • []
類型 延長
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

強制使用 Cloud Storage bucket 的記錄 bucket

Google 控制項 ID GCS-CO-6.3
實作 建議
說明

確認每個 Cloud Storage bucket 都包含記錄檔 bucket。
適用產品
  • Cloud Storage
路徑 storage.buckets/logging.logBucket
運算子 notexists
值
  • []
類型 字串
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

設定 Cloud Storage bucket 的刪除規則

Google 控制項 ID GCS-CO-6.5
實作 建議
說明

在 Cloud Storage 中，storage.buckets/lifecycle.rule.action.type 是指根據值區中的生命週期規則，對特定物件執行的動作類型。這項設定有助於自動管理儲存在雲端中的資料和生命週期。

設定 storage.buckets/lifecycle.rule.action.type，確保物件會從值區永久刪除。
適用產品
  • Cloud Storage
路徑 storage.buckets/lifecycle.rule.action.type
運算子 ==
值
  • Delete
類型 字串
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

確認刪除規則的 isLive 條件為 False

Google 控制項 ID GCS-CO-6.6
實作 建議
說明

如果是刪除規則，請確認規則的 isLive 條件已設為 false。

在 Cloud Storage 中，storage.buckets/lifecycle.rule.condition.isLive 是布林值條件，用於生命週期規則，判斷物件是否為有效。這個篩選條件可確保生命週期規則中的動作只會套用至所需物件，並根據物件的即時狀態進行判斷。

應用實例：

  • 封存舊版本：只封存物件的非現行版本，節省儲存空間費用，同時確保最新版本隨時可用。
  • 清理已刪除的物件：自動永久刪除使用者已刪除的物件，釋出值區空間。
  • 保護使用中資料：確保暫時性訴訟保留等動作只會套用至使用中的物件，防止封存或刪除的版本遭到意外修改
適用產品
  • Cloud Storage
路徑 storage.buckets/lifecycle.rule.condition.isLive
運算子 ==
值
  • False
類型 布林值
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

強制執行 Cloud Storage bucket 的版本控管

Google 控制項 ID GCS-CO-6.7
實作 建議
說明

確保所有 Cloud Storage bucket 都已啟用版本管理。用途包括：

  • 資料保護和復原：防止資料遭到覆寫，並啟用刪除或修改資料的復原功能，避免資料意外遺失。
  • 法規遵循和稽核：保留所有物件編輯記錄，以符合法規或進行內部稽核。
  • 版本管控：追蹤檔案和資料集的變更，方便協作，並在必要時復原至先前版本。
適用產品
  • Cloud Storage
路徑 storage.buckets/versioning.enabled
運算子 !=
值
  • True
類型 布林值
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

強制為 Cloud Storage bucket 設定擁有者

Google 控制項 ID GCS-CO-6.8
實作 建議
說明

確認 google_storage_bucket.labels 具有擁有者的運算式。
適用產品
  • Cloud Storage
路徑 storage.buckets/labels.owner
運算子 notexists
值
  • []
類型 延長
相關的 NIST-800-53 控制項
  • SI-12
相關的 CRI 設定檔控制項
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
相關資訊

啟用重要 Cloud Storage 活動的記錄功能

Google 控制項 ID GCS-CO-7.4
實作 建議
說明

根據用途，針對特定儲存空間物件啟用額外記錄功能。舉例來說，您可以記錄私密資料 bucket 的存取權，追蹤存取者和存取時間。啟用額外記錄功能時，請考量您可能會產生的記錄量。
適用產品
  • Cloud Storage
相關的 NIST-800-53 控制項
  • AU-2
  • AU-3
  • AU-8
  • AU-9
相關的 CRI 設定檔控制項
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
相關資訊

後續步驟