Kontrol fondasi perusahaan yang aman

Dokumen ini mencakup praktik terbaik dan pedoman untuk membangun fondasi perusahaan yang aman saat menjalankan workload yang menggunakanGoogle Cloud. Fondasi perusahaan yang aman mencakup kontrol untuk hal-hal berikut:

Autentikasi dan otorisasi

Bagian ini mencakup praktik terbaik dan panduan untuk Identity and Access Management (IAM) dan Cloud Identity saat menjalankan beban kerja di Google Cloud.

Menonaktifkan pemberian IAM otomatis untuk akun layanan default

ID kontrol Google IAM-CO-4.1
Penerapan Wajib
Deskripsi

Gunakan batasan boolean automaticIamGrantsForDefaultServiceAccounts untuk menonaktifkan pemberian peran otomatis saat Google Cloud layanan otomatis membuat akun layanan default dengan peran yang terlalu permisif.

Secara default, beberapa sistem memberikan izin yang terlalu luas ke akun otomatis, yang merupakan potensi risiko keamanan. Misalnya, jika Anda tidak menerapkan batasan ini dan Anda membuat akun layanan default, akun layanan tersebut akan otomatis diberi peran Editor (roles/editor) di project Anda. Jika penyerang menyusupi satu bagian sistem, penyerang dapat mengontrol seluruh project. Batasan ini menonaktifkan izin otomatis tingkat tinggi tersebut, sehingga memaksa pendekatan yang lebih aman dan disengaja, di mana hanya izin yang diperlukan secara minimal yang diberikan.
Produk yang berlaku
  • IAM
  • Organization Policy Service
Jalur constraints/iam.automaticIamGrantsForDefaultServiceAccounts
Operator Is
Nilai
  • False
Jenis Boolean
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informasi terkait

Memblokir pembuatan kunci akun layanan eksternal

ID kontrol Google IAM-CO-4.2
Penerapan Wajib
Deskripsi

Gunakan batasan boolean iam.disableServiceAccountKeyCreation untuk menonaktifkan pembuatan kunci akun layanan eksternal. Batasan ini memungkinkan Anda mengontrol penggunaan kredensial jangka panjang yang tidak dikelola untuk akun layanan. Jika batasan ini ditetapkan, Anda tidak dapat membuat kredensial yang dikelola pengguna untuk akun layanan di project yang terpengaruh oleh batasan tersebut.
Produk yang berlaku
  • Organization Policy Service
  • IAM
Jalur constraints/iam.disableServiceAccountKeyCreation
Operator Is
Nilai
  • True
Jenis Boolean
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informasi terkait

Memblokir upload kunci akun layanan

ID kontrol Google IAM-CO-4.3
Penerapan Wajib
Deskripsi

Gunakan batasan boolean iam.disableServiceAccountKeyUpload untuk menonaktifkan upload kunci publik eksternal ke akun layanan. Jika batasan ini ditetapkan, pengguna tidak dapat mengupload kunci publik ke akun layanan dalam project yang terpengaruh oleh batasan tersebut.
Produk yang berlaku
  • Organization Policy Service
  • IAM
Jalur constraints/iam.disableServiceAccountKeyUpload
Operator Is
Nilai
  • True
Jenis Boolean
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informasi terkait

Mengonfigurasi pemisahan tugas untuk administrator kebijakan organisasi

ID kontrol Google OPS-CO-6.1
Penerapan Wajib
Deskripsi
Tetapkan peran Administrator Kebijakan Organisasi (roles/orgpolicy.policyAdmin) ke grup yang bertanggung jawab atas postur keamanan organisasi Google Cloud . Untuk menghindari pembuatan resource yang melanggar kebijakan keamanan, jangan tetapkan peran ini kepada pemilik project.
Produk yang berlaku
  • IAM
  • Organization Policy Service
Kontrol NIST-800-53 terkait
  • AC-2
  • AC-3
  • AC-5
Kontrol profil CRI terkait
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
Informasi terkait

Mengaktifkan verifikasi dua langkah untuk akun admin super

ID kontrol Google CI-CO-6.1
Penerapan Wajib
Deskripsi

Google merekomendasikan Kunci Keamanan Titan untuk verifikasi 2 langkah (2SV) untuk akun admin super. Namun, untuk kasus penggunaan yang tidak memungkinkan hal ini, sebaiknya gunakan kunci keamanan lain sebagai alternatif.
Produk yang berlaku
  • Cloud Identity
  • Kunci Keamanan Titan
Kontrol NIST-800-53 terkait
  • IA-2
  • IA-4
  • IA-5
  • IA-7
Kontrol profil CRI terkait
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informasi terkait

Menerapkan verifikasi dua langkah di unit organisasi admin super

ID kontrol Google CI-CO-6.2
Penerapan Wajib
Deskripsi

Menerapkan verifikasi 2 langkah (2SV) untuk unit organisasi (OU) tertentu atau seluruh organisasi. Sebaiknya buat OU untuk admin super dan terapkan Verifikasi 2 Langkah di OU tersebut.
Produk yang berlaku
  • Cloud Identity
Kontrol NIST-800-53 terkait
  • IA-2
  • IA-4
  • IA-5
  • IA-7
Kontrol profil CRI terkait
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informasi terkait

Buat alamat email eksklusif untuk admin super utama

ID kontrol Google CI-CO-6.4
Penerapan Wajib
Deskripsi
Buat alamat email yang tidak spesifik untuk pengguna tertentu sebagai akun admin super Cloud Identity utama.
Produk yang berlaku
  • Cloud Identity
Kontrol NIST-800-53 terkait
  • IA-2
  • IA-4
  • IA-5
Kontrol profil CRI terkait
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informasi terkait

Buat akun administrator yang redundan

ID kontrol Google CI-CO-6.7
Penerapan Wajib
Deskripsi

Tidak memiliki satu-satunya admin super atau Administrator Organisasi. Buat satu atau beberapa (hingga 20) akun administrator cadangan. Satu-satunya admin super atau Administrator Organisasi dapat menyebabkan skenario terkunci. Situasi ini juga membawa risiko yang lebih tinggi karena satu orang dapat membuat perubahan yang memengaruhi platform, yang berpotensi tanpa pengawasan.
Produk yang berlaku
  • Identity and Access Management (IAM)
  • Google Workspace
  • Cloud Identity
Kontrol NIST-800-53 terkait
  • IA-2
  • IA-4
  • IA-5
Kontrol profil CRI terkait
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informasi terkait

Menerapkan tag untuk menetapkan kebijakan IAM dan kebijakan organisasi secara efisien

ID kontrol Google IAM-CO-6.1
Penerapan Disarankan
Deskripsi

Tag memberikan cara untuk membuat anotasi untuk resource, dan dalam beberapa kasus, mengizinkan atau menolak kebijakan secara bersyarat berdasarkan apakah resource memiliki tag tertentu. Gunakan tag dan penerapan kebijakan bersyarat untuk mendapatkan kontrol yang terperinci di seluruh hierarki resource Anda.
Produk yang berlaku
  • Resource Manager
Kontrol NIST-800-53 terkait
  • AC-2
  • AC-3
  • AC-5
Kontrol profil CRI terkait
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
Informasi terkait

Mengaudit perubahan berisiko tinggi pada IAM

ID kontrol Google IAM-CO-7.1
Penerapan Disarankan
Deskripsi

Gunakan Cloud Audit Logs untuk memantau aktivitas berisiko tinggi, seperti akun yang diberi peran berisiko tinggi seperti Admin Organisasi dan Admin Super. Siapkan notifikasi untuk jenis aktivitas ini.
Produk yang berlaku
  • Cloud Audit Logs
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Memblokir akses ke Cloud Shell untuk akun pengguna yang dikelola Cloud Identity

ID kontrol Google CI-CO-6.8
Penerapan Disarankan
Deskripsi

Untuk menghindari pemberian akses yang berlebihan ke Google Cloud, blokir akses ke Cloud Shell untuk akun pengguna yang dikelola Cloud Identity.
Produk yang berlaku
  • Cloud Identity
  • Cloud Shell
Kontrol NIST-800-53 terkait
  • SC-7
  • SC-8
Kontrol profil CRI terkait
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informasi terkait

Mengonfigurasi Akses Kontekstual untuk konsol Google

ID kontrol Google IAM-CO-8.2
Penerapan Opsional
Deskripsi

Dengan Akses Kontekstual, Anda dapat membuat kebijakan keamanan kontrol akses terperinci untuk aplikasi berdasarkan berbagai atribut, seperti identitas pengguna, lokasi, status keamanan perangkat, dan alamat IP. Sebaiknya gunakan Akses Kontekstual untuk membatasi akses ke konsol Google Cloud (https://console.cloud.google.com/) dan konsol Google Admin (https://admin.cloud.google.com).
Produk yang berlaku
  • Cloud Identity
  • Akses Kontekstual
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-12
  • AC-17
  • AC-20
  • SC-7
  • SC-8
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informasi terkait

Memblokir pemulihan mandiri akun untuk akun admin super

ID kontrol Google CI-CO-6.3
Penerapan Opsional
Deskripsi
Penyerang dapat menggunakan proses pemulihan mandiri untuk mereset sandi admin super. Untuk memitigasi risiko keamanan yang terkait dengan serangan Signaling System 7 (SS7), serangan SIM Swap, atau serangan phishing lainnya, sebaiknya nonaktifkan fitur ini. Untuk menonaktifkan fitur ini, buka setelan pemulihan akun di konsol Google Admin.
Produk yang berlaku
  • Cloud Identity
  • Google Workspace
Kontrol NIST-800-53 terkait
  • IA-2
  • IA-4
  • IA-5
Kontrol profil CRI terkait
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Informasi terkait

Menonaktifkan layanan Google yang tidak digunakan

ID kontrol Google CI-CO-6.6
Penerapan Opsional
Deskripsi
Secara umum, sebaiknya nonaktifkan layanan yang tidak akan Anda gunakan.
Produk yang berlaku
  • Cloud Identity
Jalur http://admin.google.com > Apps > Additional Google Services
Operator Setting
Nilai
  • False
Kontrol NIST-800-53 terkait
  • SC-7
  • SC-8
Kontrol profil CRI terkait
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informasi terkait

Organisasi

Bagian ini mencakup praktik terbaik dan pedoman untuk Organization Policy Service dan Resource Manager saat menjalankan workload di Google Cloud.

Membatasi versi TLS yang didukung oleh Google API

ID kontrol Google COM-CO-1.1
Penerapan Wajib
Deskripsi

Google Cloud mendukung beberapa versi protokol TLS. Untuk memenuhi persyaratan kepatuhan, Anda mungkin ingin menolak permintaan handshake dari klien yang menggunakan versi TLS yang lebih lama.

Untuk mengonfigurasi kontrol ini, gunakan batasan kebijakan organisasi Membatasi Versi TLS (gcp.restrictTLSVersion). Anda dapat menerapkan batasan ini ke organisasi, folder, atau project dalam hierarki resource. Batasan Restrict TLS Versions menggunakan daftar yang tidak diizinkan, yang menolak nilai eksplisit dan mengizinkan semua nilai lainnya. Error terjadi jika Anda mencoba menggunakan daftar yang diizinkan.

Karena perilaku evaluasi hierarki kebijakan organisasi, pembatasan versi TLS berlaku untuk node resource yang ditentukan dan semua folder serta projectnya (turunan). Misalnya, jika Anda menolak TLS versi 1.0 untuk organisasi, TLS versi 1.0 juga akan ditolak untuk semua turunan yang berasal dari organisasi tersebut.

Anda dapat mengganti pembatasan versi TLS yang diwariskan dengan memperbarui kebijakan organisasi pada resource turunan. Misalnya, jika kebijakan organisasi Anda menolak TLS 1.0 di tingkat organisasi, Anda dapat menghapus batasan untuk folder turunan dengan menetapkan kebijakan organisasi terpisah pada folder tersebut. Jika folder memiliki turunan, kebijakan folder juga akan diterapkan pada setiap resource turunan karena pewarisan kebijakan.

Untuk lebih membatasi versi TLS hanya ke TLS 1.3, Anda dapat menetapkan kebijakan ini untuk juga membatasi versi TLS 1.2. Anda harus menerapkan kontrol ini pada aplikasi yang Anda hosting di dalam Google Cloud. Misalnya, di tingkat organisasi, tetapkan:

["TLS_VERSION_1","TLS_VERSION_1.1","TLS_VERSION_1.2"]
Produk yang berlaku
  • Semua; dikelola oleh Layanan Kebijakan Organisasi
Jalur gcp.restrictTLSVersion
Operator ==
Nilai
  • TLS_VERSION_1
  • TLS_VERSION_1.1
Jenis String
ID kontrol Compliance Manager RESTRICT_LEGACY_TLS_VERSIONS
Kontrol NIST-800-53 terkait
  • SC-8
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Membatasi akun utama yang diizinkan

ID kontrol Google COM-CO-4.1
Penerapan Wajib
Deskripsi

Pastikan hanya identitas dari organisasi Anda yang diizinkan di Google Cloud lingkungan Anda. Gunakan batasan kebijakan organisasi Berbagi yang dibatasi domain (iam.allowedPolicyMemberDomains) atau iam.managed.allowedPolicyMembers untuk menentukan satu atau beberapa ID pelanggan Cloud Identity atau Google Workspace yang pokoknya dapat ditambahkan ke kebijakan Identity and Access Management (IAM).

Batasan ini membantu mencegah karyawan memberikan akses ke akun eksternal di luar kontrol organisasi Anda yang tidak mengikuti kebijakan keamanan Anda untuk autentikasi multifaktor (MFA) atau pengelolaan sandi. Kontrol ini sangat penting untuk mencegah akses yang tidak sah, sehingga memastikan bahwa hanya identitas perusahaan terkelola yang tepercaya yang dapat digunakan.
Produk yang berlaku
  • Organization Policy Service
  • IAM
Jalur constraints/iam.allowedPolicyMemberDomains
Operator Is
Nilai
  • CUSTOMER_ID,ORG_ID
Jenis Daftar
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informasi terkait

Membatasi penggunaan layanan resource

ID kontrol Google RM-CO-4.1
Penerapan Wajib
Deskripsi

Batasan gcp.restrictServiceUsage memastikan bahwa hanya layanan yang disetujui Google Cloud yang digunakan di tempat yang tepat. Misalnya, folder produksi atau folder yang berisi data yang sangat sensitif memiliki daftar kecil Google Cloud layanan yang disetujui untuk menyimpan data. Folder sandbox mungkin memiliki daftar layanan yang lebih besar dan kontrol keamanan data yang menyertainya untuk membantu mencegah pemindahan data yang tidak sah. Nilai ini khusus untuk sistem Anda dan cocok dengan daftar layanan dan dependensi yang disetujui untuk folder dan project tertentu.

Batasan ini memungkinkan organisasi Anda membuat daftar yang diizinkan untuk layanan yang disetujui, yang membantu mencegah karyawan menggunakan layanan yang tidak diperiksa.
Produk yang berlaku
  • Organization Policy Service
  • Resource Manager
Jalur constraints/gcp.restrictServiceUsage
Operator Is
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informasi terkait

Membatasi lokasi resource

ID kontrol Google RM-CO-4.2
Penerapan Wajib
Deskripsi

Batasan Pembatasan Lokasi Resource (gcp.resourceLocations) memastikan bahwa hanya region yang Anda setujui Google Cloud yang digunakan untuk menyimpan data. Nilai ini khusus untuk sistem Anda dan cocok dengan daftar wilayah yang disetujui organisasi Anda untuk residensi data.

Batasan ini memungkinkan organisasi Anda memastikan bahwa resource dan data Anda hanya dibuat dan disimpan di wilayah geografis tertentu yang telah disetujui.
Produk yang berlaku
  • Organization Policy Service
  • Resource Manager
Jalur constraints/gcp.resourceLocations
Operator Is
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informasi terkait

Jaringan

Bagian ini mencakup praktik terbaik dan panduan untuk Virtual Private Cloud (VPC) dan Cloud DNS saat menjalankan workload di Google Cloud.

Memblokir pembuatan jaringan default

ID kontrol Google VPC-CO-6.1
Penerapan Wajib
Deskripsi

Batasan boolean compute.skipDefaultNetworkCreation tidak akan membuat jaringan default dan resource terkait saat membuat project Google Cloud .

Jaringan default adalah jaringan Virtual Private Cloud (VPC) mode otomatis dengan aturan firewall IPv4 yang sudah terisi otomatis untuk mengizinkan jalur komunikasi internal. Secara umum, penyiapan ini bukan postur keamanan yang direkomendasikan untuk lingkungan produksi.
Produk yang berlaku
  • Organization Policy Service
  • Virtual Private Cloud (VPC)
Jalur constraints/compute.skipDefaultNetworkCreation
Nilai
  • True
Jenis Boolean
Kontrol NIST-800-53 terkait
  • SC-7
  • SC-8
Kontrol profil CRI terkait
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informasi terkait

Mengaktifkan DNS Security Extensions

ID kontrol Google DNS-CO-6.1
Penerapan Wajib
Deskripsi

Domain Name System Security Extensions (DNSSEC) adalah fitur Domain Name System (DNS) yang mengautentikasi respons terhadap pencarian nama domain. Fitur ini tidak memberikan perlindungan privasi untuk pencarian tersebut, tetapi mencegah penyerang memanipulasi atau merusak respons terhadap permintaan DNS.

Dalam Cloud DNS, aktifkan DNSSEC di tempat berikut:

  • Zona DNS
  • Domain level teratas (TLD)
  • Resolusi DNS
Produk yang berlaku
  • Cloud DNS
Kontrol NIST-800-53 terkait
  • SC-7
  • SC-8
Kontrol profil CRI terkait
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informasi terkait

Aktifkan pembatasan cakupan layanan dalam kebijakan akses Access Context Manager

ID kontrol Google COM-CO-8.1
Penerapan Direkomendasikan untuk AI generatif pada kasus penggunaan
Deskripsi

Untuk setiap perimeter layanan, konfirmasi di konsol Google Cloud bahwa jenis perimeter ditetapkan ke reguler.
Produk yang berlaku
  • Access Context Manager
  • Kontrol Layanan VPC
Jalur accesscontextmanager.accessPolicies.servicePerimeters/perimeterType
Operator ==
Nilai
  • PERIMETER_TYPE_REGULAR
Jenis String
Kontrol NIST-800-53 terkait
  • SC-7
  • SC-8
Kontrol profil CRI terkait
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informasi terkait

Membatasi API dalam perimeter layanan Kontrol Layanan VPC

ID kontrol Google COM-CO-8.2
Penerapan Direkomendasikan untuk AI generatif pada kasus penggunaan
Deskripsi

Untuk setiap perimeter layanan, gunakan Access Context Manager untuk mengonfirmasi bahwa perimeter melindungi API.
Produk yang berlaku
  • Kontrol Layanan VPC
  • Access Context Manager
Jalur accesscontextmanager.accessPolicies.servicePerimeters/status.restrictedServices
Operator Anyof
Nilai
  • aiplatform.googleapis.com
  • artifactregistry.googleapis.com
  • bigquery.googleapis.com
  • cloudasset.googleapis.com
  • cloudbuild.googleapis.com
  • cloudfunctions.googleapis.com
  • cloudresourcemanager.googleapis.com
  • containeranalysis.googleapis.com
  • discoveryengine.googleapis.com
  • dns.googleapis.com
  • notebooks.googleapis.com
  • ondemandscanning.googleapis.com
  • orgpolicy.googleapis.com
  • pubsub.googleapis.com
  • secretmanager.googleapis.com
  • storage.googleapis.com
  • visionai.googleapis.com
Jenis String
Kontrol NIST-800-53 terkait
  • SC-7
  • SC-8
Kontrol profil CRI terkait
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informasi terkait

Menggunakan DNS zona

ID kontrol Google DNS-CO-4.1
Penerapan Opsional
Deskripsi

Batasan boolean compute.setNewProjectDefaultToZonalDNSOnly memungkinkan Anda menetapkan setelan DNS internal untuk project baru agar hanya menggunakan DNS zona. Gunakan DNS zona karena menawarkan keandalan yang lebih tinggi dibandingkan dengan zona individual karena DNS zona mengisolasi kegagalan dalam pendaftaran DNS .
Produk yang berlaku
  • Kebijakan organisasi
Jalur constraints/compute.setNewProjectDefaultToZonalDNSOnly
Operator =
Nilai
  • True
Jenis Boolean
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informasi terkait

Logging, pemantauan, pemberitahuan

Bagian ini mencakup praktik terbaik dan panduan untuk layanan logging dan audit di Google Cloud dan mengonfigurasi pemberitahuan untuk layanan seperti Penagihan Cloud.

Membagikan log audit dari Cloud Identity

ID kontrol Google CI-CO-6.5
Penerapan Wajib
Deskripsi

Jika menggunakan Cloud Identity, bagikan log audit dari Cloud Identity ke Google Cloud.

Log audit Aktivitas Admin dari Google Workspace atau Cloud Identity biasanya dikelola dan dilihat di konsol Google Admin, secara terpisah dari log di lingkungan Google Cloud Anda. Log ini berisi informasi yang relevan untuk lingkungan Google Cloud Anda, seperti peristiwa login pengguna.

Sebaiknya bagikan log audit Cloud Identity ke lingkungan Google Cloud Anda untuk mengelola log secara terpusat dari semua sumber.
Produk yang berlaku
  • Google Workspace
  • Cloud Logging
  • Cloud Identity
Kontrol NIST-800-53 terkait
  • AC-2
  • AC-3
  • AC-8
  • AC-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
Informasi terkait

Menggunakan log audit

ID kontrol Google COM-CO-7.3
Penerapan Wajib
Deskripsi

LayananGoogle Cloud menulis entri log audit untuk menjawab siapa yang melakukan apa, di mana, dan kapan dengan resource Google Cloud .

Aktifkan logging audit di tingkat organisasi. Anda dapat mengonfigurasi logging menggunakan pipeline yang Anda gunakan untuk menyiapkan organisasi Google Cloud .
Produk yang berlaku
  • Cloud Audit Logs
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Mengaktifkan Log Aliran VPC

ID kontrol Google COM-CO-7.4
Penerapan Wajib
Deskripsi

VPC Flow Logs mencatat sampel alur jaringan yang dikirim dari dan diterima oleh instance VM, termasuk yang digunakan sebagai node Google Kubernetes Engine (GKE). Sampel biasanya berjumlah 50% atau kurang dari alur jaringan VPC.

Dengan mengaktifkan Log Alur VPC, Anda mengaktifkan logging untuk semua VM di subnet. Namun, Anda dapat mengurangi jumlah informasi yang ditulis ke logging.

Aktifkan VPC Flow Logs untuk setiap subnet VPC. Anda dapat mengonfigurasi logging menggunakan pipeline yang Anda gunakan untuk membuat project.
Produk yang berlaku
  • Virtual Private Cloud
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Mengaktifkan Firewall Rules Logging

ID kontrol Google COM-CO-7.5
Penerapan Wajib
Deskripsi

Secara default, aturan firewall tidak otomatis menulis log.Firewall Rules Logging memungkinkan Anda mengaudit, memverifikasi, dan menganalisis efek aturan firewall Anda. Misalnya, Anda dapat menentukan apakah aturan firewall yang dirancang untuk menolak traffic berfungsi sebagaimana mestinya. Logging juga berguna jika Anda ingin menentukan jumlah koneksi yang terpengaruh oleh aturan firewall tertentu.

Aktifkan logging untuk setiap aturan firewall. Anda dapat mengonfigurasi logging menggunakan pipeline yang Anda gunakan untuk membuat firewall.
Produk yang berlaku
  • Virtual Private Cloud
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Mengaktifkan log audit Akses Data

ID kontrol Google COM-CO-7.2
Penerapan Direkomendasikan untuk kasus penggunaan tertentu
Deskripsi

Untuk melacak siapa yang mengakses data di lingkungan Google Cloud Anda, aktifkan log audit Akses Data. Log ini mencatat panggilan API yang membaca, membuat, atau mengubah data pengguna, serta panggilan API yang membaca konfigurasi resource.

Sebaiknya aktifkan log audit Akses Data untuk model AI generatif dan data sensitif guna memastikan Anda dapat mengaudit siapa yang telah membaca informasi tersebut. Untuk menggunakan log audit Akses Data, Anda harus menyiapkan logika deteksi kustom sendiri untuk aktivitas tertentu, seperti login admin super.

Volume log audit Akses Data bisa besar. Mengaktifkan log Akses Data dapat menyebabkan project Google Cloud Anda dikenai biaya untuk penggunaan log tambahan.
Produk yang berlaku
  • Cloud Audit Logs
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Mengonfigurasi pemberitahuan penagihan

ID kontrol Google CB-CO-6.1
Penerapan Disarankan
Deskripsi

Hindari tagihan yang tidak terduga dengan membuat anggaran Penagihan Cloud untuk memantau semua biaya Google Cloud di satu tempat. Setelah menetapkan jumlah anggaran, tetapkan aturan nilai minimum pemberitahuan anggaran berdasarkan per project untuk memicu notifikasi email. Notifikasi ini membantu Anda melacak pengeluaran terhadap anggaran. Anda juga dapat menggunakan anggaran Penagihan Cloud untuk mengotomatiskan respons pengendalian biaya.
Produk yang berlaku
  • Penagihan Cloud
Kontrol NIST-800-53 terkait
  • SI-4
  • SI-5
Kontrol profil CRI terkait
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Informasi terkait

Mengaktifkan log Transparansi Akses

ID kontrol Google COM-CO-7.7
Penerapan Opsional
Deskripsi

Log standar menunjukkan tindakan yang dilakukan pengguna organisasi Anda sendiri, tetapi log Transparansi Akses menunjukkan tindakan yang dilakukan staf dukungan Google saat mereka mengakses akun. Akses ini biasanya hanya terjadi sebagai respons terhadap permintaan dukungan. Log Transparansi Akses memberikan jejak audit yang lengkap dan dapat diverifikasi untuk semua akses, yang penting untuk memenuhi persyaratan kepatuhan dan tata kelola data yang ketat.

Anda dapat mengaktifkan Transparansi Akses di tingkat organisasi.
Produk yang berlaku
  • Transparansi Akses
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Mengekspor data penagihan untuk analisis mendetail

ID kontrol Google CB-CO-6.2
Penerapan Opsional
Deskripsi

Untuk analisis penagihan lebih lanjut, Anda dapat mengekspor Google Cloud data penagihan ke BigQuery atau file JSON. Misalnya, Anda dapat mengekspor data mendetail secara otomatis, seperti penggunaan, perkiraan biaya, dan harga, sepanjang hari ke set data BigQuery yang Anda tentukan. Kemudian, Anda dapat mengakses data Penagihan Cloud dari BigQuery untuk memperoleh analisis yang mendetail, atau menggunakan alat seperti Data Studio untuk memvisualisasikan data Anda.
Produk yang berlaku
  • BigQuery Data Transfer Service
  • BigQuery
  • Penagihan Cloud
Kontrol NIST-800-53 terkait
  • SI-4
  • SI-5
Kontrol profil CRI terkait
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Informasi terkait

Pengelolaan kunci dan secret

Bagian ini mencakup praktik terbaik dan panduan untuk Cloud Key Management Service dan Secret Manager saat menjalankan workload diGoogle Cloud.

Mengenkripsi data dalam penyimpanan di Google Cloud

ID kontrol Google COM-CO-2.1
Penerapan Wajib (default)
Deskripsi

Semua data di Google Cloud secara default dienkripsi dalam penyimpanan menggunakan algoritma yang disetujui NIST.
Produk yang berlaku
  • Google Cloud default
Kontrol NIST-800-53 terkait
  • SC-28
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
Informasi terkait

Gunakan algoritma yang disetujui NIST untuk enkripsi dan dekripsi

ID kontrol Google COM-CO-2.4
Penerapan Wajib
Deskripsi

Pastikan Cloud Key Management Service (Cloud KMS) hanya menggunakan algoritma yang disetujui NIST untuk menyimpan kunci sensitif di lingkungan. Kontrol ini memastikan penggunaan kunci yang aman hanya dengan algoritma dan keamanan yang disetujui NIST. Kolom CryptoKeyVersionAlgorithm adalah daftar yang diizinkan yang diberikan.

Menghapus algoritma yang tidak mematuhi kebijakan organisasi Anda.
Produk yang berlaku
  • Cloud KMS
Jalur cloudkms.projects.locations.keyRings.cryptoKeys/versionTemplate.algorithm
Operator in
Nilai
  • RSA_SIGN_PSS_2048_SHA256
  • RSA_SIGN_PSS_3072_SHA256
  • RSA_SIGN_PSS_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA256
  • RSA_DECRYPT_OAEP_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA1
  • RSA_DECRYPT_OAEP_4096_SHA1
Jenis String
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Menetapkan tujuan untuk kunci Cloud KMS

ID kontrol Google COM-CO-2.5
Penerapan Wajib
Deskripsi

Tetapkan tujuan kunci Cloud KMS ke ENCRYPT_DECRYPT agar kunci hanya digunakan untuk mengenkripsi dan mendekripsi data. Kontrol ini memblokir fungsi lain, seperti penandatanganan, dan memastikan bahwa kunci hanya digunakan untuk tujuan yang dimaksudkan. Jika Anda menggunakan kunci untuk fungsi lain, validasi kasus penggunaan tersebut dan pertimbangkan untuk membuat kunci tambahan.
Produk yang berlaku
  • Cloud KMS
Jalur cloudkms.projects.locations.keyRings.cryptoKeys/purpose
Operator ==
Nilai
  • ENCRYPT_DECRYPT
Jenis String
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Pastikan setelan CMEK sesuai untuk data warehouse BigQuery yang aman

ID kontrol Google COM-CO-2.6
Penerapan Wajib
Deskripsi

Level perlindungan menunjukkan cara operasi kriptografi dilakukan. Setelah membuat kunci enkripsi yang dikelola pelanggan (CMEK), Anda tidak dapat mengubah tingkat perlindungan. Level perlindungan yang didukung adalah sebagai berikut:

  • SOFTWARE: Operasi kriptografi dilakukan di software.
  • HSM: Operasi kriptografi dilakukan di modul keamanan hardware (HSM).
  • EKSTERNAL: Operasi kriptografi dilakukan menggunakan kunci yang disimpan di pengelola kunci eksternal yang terhubung ke Google Cloud melalui internet. Terbatas pada enkripsi simetris dan penandatanganan asimetris.
  • EXTERNAL_VPC: Operasi kriptografi dilakukan menggunakan kunci yang disimpan di pengelola kunci eksternal yang terhubung ke Google Cloud melalui jaringan Virtual Private Cloud (VPC). Terbatas pada enkripsi simetris dan penandatanganan asimetris.
Produk yang berlaku
  • Cloud KMS
  • BigQuery
Jalur cloudkms.projects.locations.keyRings.cryptoKeys/primary.protectionLevel
Operator in
Nilai
  • []
Jenis String
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Rotasi kunci enkripsi setiap 90 hari

ID kontrol Google COM-CO-2.7
Penerapan Wajib
Deskripsi

Pastikan periode rotasi kunci Cloud KMS Anda ditetapkan ke 90 hari. Praktik terbaik umum adalah merotasi kunci keamanan Anda secara berkala. Kontrol ini menerapkan rotasi kunci untuk kunci yang dibuat dengan layanan HSM.

Saat membuat periode rotasi ini, buat juga kebijakan dan prosedur yang sesuai untuk menangani pembuatan, penghapusan, dan modifikasi materi utama secara aman sehingga Anda dapat membantu melindungi informasi Anda dan memastikan ketersediaan. Pastikan periode ini mematuhi kebijakan perusahaan Anda untuk rotasi kunci.
Produk yang berlaku
  • Cloud KMS
Jalur cloudkms.projects.locations.keyRings.cryptoKeys/rotationPeriod
Operator <=
Nilai
  • 90
Jenis int32
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Menyiapkan rotasi secret otomatis

ID kontrol Google SM-CO-6.2
Penerapan Wajib
Deskripsi
Rotasikan secret secara otomatis dan sediakan prosedur rotasi darurat jika terjadi penyusupan.
Produk yang berlaku
  • Secret Manager
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Menggunakan CMEK untuk pesan Pub/Sub

ID kontrol Google PS-CO-6.1
Penerapan Disarankan
Deskripsi
Saat Anda mengaktifkan kunci enkripsi yang dikelola pelanggan (CMEK) untuk Pub/Sub, Anda akan mendapatkan kontrol yang lebih besar atas kunci enkripsi yang digunakan Pub/Sub untuk melindungi pesan Anda. Di lapisan aplikasi, Pub/Sub mengenkripsi setiap pesan masuk saat Pub/Sub menerimanya. Sebelum memublikasikan pesan ke langganan, Pub/Sub mengenkripsi pesan menggunakan kunci enkripsi data (DEK) terbaru yang dibuat untuk topik. Pub/Sub mendekripsi pesan sesaat sebelum dikirim ke pelanggan. Pub/Sub menggunakan Google Cloud akun layanan untuk mengakses Cloud Key Management Service. Akun layanan dikelola secara internal oleh Pub/Sub untuk setiap project, dan tidak terlihat dalam daftar akun layanan Anda.
Produk yang berlaku
  • Cloud KMS
  • Pub/Sub
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Membatasi lokasi kunci enkripsi yang dikelola pelanggan

ID kontrol Google COM-CO-2.2
Penerapan Disarankan
Deskripsi

Gunakan batasan kebijakan organisasi Batasi project mana yang dapat menyediakan CryptoKey KMS untuk CMEK (gcp.restrictCmekCryptoKeyProjects) untuk menentukan project mana yang dapat menyimpan kunci enkripsi yang dikelola pelanggan (CMEK). Batasan ini memungkinkan Anda memusatkan tata kelola dan pengelolaan kunci enkripsi. Jika kunci yang dipilih tidak memenuhi batasan ini, pembuatan resource akan gagal.

Untuk mengubah batasan ini, administrator memerlukan peran IAM Organization Policy Administrator (roles/orgpolicy.policyAdmin).

Jika Anda ingin menambahkan lapisan perlindungan kedua, seperti bawa kunci Anda sendiri, ubah batasan ini untuk merepresentasikan nama kunci CMEK yang diaktifkan.

Detail produk:

  • Di Platform Agen Gemini Enterprise, Anda menyimpan kunci di project KEY PROJECTS.
Produk yang berlaku
  • Cloud KMS
  • Kebijakan Organisasi
Jalur constraints/gcp.restrictCmekCryptoKeyProjects
Operator notexists
Nilai
  • KEY PROJECTS
Jenis String
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Menggunakan CMEK untuk layanan Google Cloud

ID kontrol Google COM-CO-2.3
Penerapan Disarankan
Deskripsi

Jika memerlukan kontrol lebih besar atas operasi kunci daripada yang diizinkan oleh Google-owned and Google-managed encryption keys , Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan (CMEK). Kunci ini dibuat dan dikelola menggunakan Cloud KMS. Simpan kunci sebagai kunci software, dalam cluster HSM, atau dalam sistem pengelolaan kunci eksternal.

Tingkat enkripsi dan dekripsi Cloud KMS bergantung pada kuota.

Detail Cloud Storage

Di Cloud Storage, gunakan CMEK pada setiap objek, atau konfigurasi bucket Cloud Storage Anda untuk menggunakan CMEK secara default pada semua objek baru yang ditambahkan ke bucket. Saat menggunakan CMEK, objek dienkripsi dengan kunci tersebut oleh Cloud Storage pada saat disimpan dalam bucket, dan objek secara otomatis didekripsi oleh Cloud Storage saat objek disajikan kepada pemohon.

Batasan berikut berlaku saat menggunakan CMEK dengan Cloud Storage:

  • Anda tidak dapat mengenkripsi objek dengan CMEK dengan memperbarui metadata objek. Sertakan kunci sebagai bagian dari penulisan ulang objek.
  • Cloud Storage Anda menggunakan perintah update objek untuk menetapkan kunci enkripsi pada objek, tetapi perintah tersebut akan menulis ulang objek sebagai bagian dari permintaan.
  • Anda harus membuat key ring Cloud KMS di lokasi yang sama dengan data yang ingin Anda enkripsi. Misalnya, jika bucket Anda berada di us-east1, key ring apa pun yang digunakan untuk mengenkripsi objek di bucket tersebut juga harus dibuat di us-east1.
  • Untuk sebagian besar dual-region, Anda harus membuat key ring Cloud KMS di multi-region yang terkait. Misalnya, jika bucket Anda berada di pasangan us-east1, us-west1, key ring apa pun yang digunakan untuk mengenkripsi objek di bucket tersebut harus dibuat di multi-region Amerika Serikat.
  • Untuk dual-region asia1, eur4, dan nam4 yang telah ditetapkan sebelumnya, Anda harus membuat key ring di dual-region yang sama yang telah ditetapkan sebelumnya.
  • Checksum CRC32C dan hash MD5 objek yang dienkripsi dengan CMEK tidak ditampilkan saat mencantumkan objek dengan JSON API.
  • Menggunakan alat seperti Cloud Storage untuk melakukan permintaan GET metadata tambahan pada setiap objek enkripsi guna mengambil informasi CRC32C dan MD5 dapat membuat daftar menjadi jauh lebih pendek. Cloud Storage tidak dapat menggunakan bagian dekripsi dari kunci asimetris yang disimpan di Cloud KMS untuk secara otomatis mendekripsi objek yang relevan dengan cara yang sama seperti yang dilakukan oleh CMEK.
Produk yang berlaku
  • Cloud KMS
  • Kebijakan Organisasi
  • Cloud Storage
Jalur constraints/gcp.restrictNonCmekServices
Operator ==
Nilai
  • bigquery.googleapis.com
  • storage.googleapis.com
  • aiplatform.googleapis.com
Jenis String
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Mereplikasi secret secara otomatis

ID kontrol Google SM-CO-6.1
Penerapan Disarankan
Deskripsi
Pilih kebijakan replikasi otomatis untuk mereplikasi rahasia Anda, kecuali jika workload Anda memiliki persyaratan lokasi tertentu. Kebijakan otomatis memenuhi kebutuhan ketersediaan dan performa sebagian besar workload. Jika workload Anda memiliki persyaratan lokasi tertentu, Anda dapat menggunakan API untuk memilih lokasi kebijakan replikasi saat membuat rahasia.
Produk yang berlaku
  • Secret Manager
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Postur keamanan dan analisis

Dokumen ini mencakup praktik terbaik dan panduan untuk Security Command Center saat menjalankan workload di Google Cloud.

Mengaktifkan Security Command Center di tingkat organisasi

ID kontrol Google SCC-CO-6.1
Penerapan Wajib
Deskripsi
Aktifkan Security Command Center di tingkat organisasi untuk menghindari konfigurasi tambahan. Jika tidak ingin menggunakan Security Command Center, Anda harus mengaktifkan solusi pengelolaan postur lainnya.
Produk yang berlaku
  • Security Command Center
Kontrol NIST-800-53 terkait
  • SI-4
  • SI-5
Kontrol profil CRI terkait
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Informasi terkait

Mengonfigurasi pemberitahuan dari Security Command Center

ID kontrol Google SCC-CO-7.1
Penerapan Disarankan
Deskripsi
Pemberitahuan dari Security Command Center memberikan visibilitas ke dalam organisasi Anda dan memberi tahu Anda tentang masalah pada layanan Google Cloud Anda sehingga Anda dapat mengambil tindakan yang sesuai. Anda dapat menyiapkan pemberitahuan di Cloud Logging untuk mendapatkan notifikasi tentang error yang terkait dengan agen layanan Security Command Center (service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com).
Produk yang berlaku
  • Security Command Center
  • Logging
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Langkah berikutnya