安全企業基礎控管

本文提供最佳做法和指南，協助您在執行使用Google Cloud的工作負載時，建構安全的企業基礎。安全的企業基礎包括下列項目的控管措施：

• 驗證及授權
• 機構
• 網路
• 記錄、監控和快訊
• 金鑰和密鑰管理
• 資安態勢與分析

驗證及授權

本節提供 Identity and Access Management (IAM) 和 Cloud Identity 最佳做法和指南，適用於在 Google Cloud上執行工作負載的情況。

停用預設服務帳戶的自動 IAM 授予功能

Google 控制項 ID	IAM-CO-4.1
實作	必填
說明	如果 Google Cloud 服務自動建立具有過於寬鬆角色的預設服務帳戶，請使用 automaticIamGrantsForDefaultServiceAccounts 布林值限制停用自動角色授予功能。 根據預設，部分系統會授予自動化帳戶過於廣泛的權限，這可能造成安全風險。舉例來說，如果您未強制執行這項限制，當您建立預設服務帳戶時，系統會自動將專案的編輯者角色 (roles/editor) 授予該服務帳戶。如果攻擊者入侵系統的某個部分，就可能掌控整個專案。這項限制會停用這些自動授予的高層級權限，強制採用更安全、審慎的方法，只授予必要的最低權限。
適用產品	IAM 組織政策服務
路徑	constraints/iam.automaticIamGrantsForDefaultServiceAccounts
運算子	是
值	False
類型	布林值
相關的 NIST-800-53 控制項	AC-3 AC-17 AC-20
相關的 CRI 設定檔控制項	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
相關資訊	服務帳戶的類型

禁止建立外部服務帳戶金鑰

Google 控制項 ID	IAM-CO-4.2
實作	必填
說明	使用 iam.disableServiceAccountKeyCreation 布林限制，禁止建立外部服務帳戶金鑰。這項限制可讓您控管服務帳戶的非代管長期憑證。設定此限制後，即無法為受限專案的服務帳戶建立使用者自行管理的憑證。
適用產品	組織政策服務 IAM
路徑	constraints/iam.disableServiceAccountKeyCreation
運算子	是
值	True
類型	布林值
相關的 NIST-800-53 控制項	AC-3 AC-17 AC-20
相關的 CRI 設定檔控制項	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
相關資訊	停用服務帳戶金鑰建立功能

禁止上傳服務帳戶金鑰

Google 控制項 ID	IAM-CO-4.3
實作	必填
說明	使用 iam.disableServiceAccountKeyUpload 布林限制，禁止將外部公開金鑰上傳至服務帳戶。設定此限制後，使用者就無法將公開金鑰上傳至受限專案的服務帳戶。
適用產品	組織政策服務 IAM
路徑	constraints/iam.disableServiceAccountKeyUpload
運算子	是
值	True
類型	布林值
相關的 NIST-800-53 控制項	AC-3 AC-17 AC-20
相關的 CRI 設定檔控制項	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
相關資訊	停用服務帳戶金鑰上傳功能

為機構政策管理員設定分散權責

Google 控制項 ID	OPS-CO-6.1
實作	必填
說明	將組織政策管理員 (roles/orgpolicy.policyAdmin) 角色指派給負責 Google Cloud 組織資安態勢的群組。為避免建立違反安全性政策的資源，請勿將這個角色指派給專案擁有者。
適用產品	IAM 組織政策服務
相關的 NIST-800-53 控制項	AC-2 AC-3 AC-5
相關的 CRI 設定檔控制項	PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.DS-5.1 PR.PT-3.1
相關資訊	建立及管理組織資源 判斷哪些主體具備特定角色或權限

為超級管理員帳戶啟用兩步驟驗證

Google 控制項 ID	CI-CO-6.1
實作	必填
說明	Google 建議超級管理員帳戶使用 Titan 安全金鑰進行兩步驟驗證。不過，如果無法這麼做，建議您改用其他安全金鑰。
適用產品	Cloud Identity Titan 安全金鑰
相關的 NIST-800-53 控制項	IA-2 IA-4 IA-5 IA-7
相關的 CRI 設定檔控制項	PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2
相關資訊	部署兩步驟驗證功能

對超級管理員機構單位強制執行兩步驟驗證

Google 控制項 ID	CI-CO-6.2
實作	必填
說明	對特定組織單位 (OU) 或整個機構強制執行兩步驟驗證。建議您為超級管理員建立機構單位，並強制該機構單位啟用兩步驟驗證。
適用產品	Cloud Identity
相關的 NIST-800-53 控制項	IA-2 IA-4 IA-5 IA-7
相關的 CRI 設定檔控制項	PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2
相關資訊	新增機構單位 將使用者移至特定機構單位

為主要超級管理員建立專屬電子郵件地址

Google 控制項 ID	CI-CO-6.4
實作	必填
說明	建立一個非特定使用者的電子郵件地址，做為主要的 Cloud Identity 超級管理員帳戶。
適用產品	Cloud Identity
相關的 NIST-800-53 控制項	IA-2 IA-4 IA-5
相關的 CRI 設定檔控制項	PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2
相關資訊	建立 Cloud Identity 使用者帳戶

建立備援管理員帳戶

Google 控制項 ID	CI-CO-6.7
實作	必填
說明	沒有單一超級管理員或機構管理員。建立一或多個 (最多 20 個) 備份管理員帳戶。如果只有一位超級管理員或機構管理員，可能會導致帳戶遭到鎖定。這種情況的風險也較高，因為一個人就能變更平台，而且可能沒有監督。
適用產品	身分與存取權管理 (IAM) Google Workspace Cloud Identity
相關的 NIST-800-53 控制項	IA-2 IA-4 IA-5
相關的 CRI 設定檔控制項	PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2
相關資訊	適用於管理員帳戶的安全性最佳做法 設定機構資源

使用 Privileged Access Manager

Google 控制項 ID	GCVE-CO-3.2
實作	必填
說明	使用 Privileged Access Manager 管理特殊權限存取權。如要授予其他存取權，請使用存取權群組、讓群組成員資格自動過期，並為群組成員資格導入核准工作流程。 使用最低權限模式，您就能只在需要時提供資源存取權。使用預先建立的角色可簡化操作，並減少自訂角色造成的擴散，因此您不必擔心管理角色生命週期。
適用產品	身分與存取權管理 (IAM)
相關的 NIST-800-53 控制項	AC-2 AC-3 AC-6
相關的 CRI 設定檔控制項	PR.AC-4.1
相關資訊	Privileged Access Manager 總覽

定義可靠的識別資訊來源

實作	必填
說明	決定要使用哪個可靠來源佈建受管理的使用者身分。模式包括在 Cloud Identity 中建立使用者身分、從現有身分提供者同步處理身分，或使用員工身分聯盟。
適用產品	Cloud Identity 員工身分聯盟
相關的 NIST-800-53 控制項	AC-2
相關的 CRI 設定檔控制項	PR.AC-1.1
相關資訊	決定如何將身分識別導入 Google Cloud

強制執行高強度密碼政策

實作	必填
說明	為所有使用者帳戶強制設定不重複的高強度密碼。建議使用密碼管理工具。惡意使用者通常會利用強度不足或沒有憑證的模式。
適用產品	身分與存取權管理 (IAM) Google Workspace Cloud Identity
相關的 NIST-800-53 控制項	IA-5
相關的 CRI 設定檔控制項	PR.AC-1.1
相關資訊	為使用者設定強制密碼規定及監控規定執行情況 啟用、停用及使用密碼政策

使用依據職責的角色

實作	必填
說明	根據工作職責使用 Identity and Access Management (IAM) 角色，為使用者指派權限。職務功能是預先定義的角色，管理員可提供一組僅限於職務功能的權限，進而提高工作效率，並減少來回要求權限的次數。為更符合貴機構的需求，您可以根據預先定義的角色建立自訂角色。
適用產品	IAM
相關的 NIST-800-53 控制項	AC-6
相關的 CRI 設定檔控制項	PR.AC-4.1
相關資訊	工作職務的預先定義角色

限制群組中的外部成員

實作	必填
說明	設定全機構適用的政策，禁止將外部成員新增至 Google 網路論壇。 根據預設，外部使用者帳戶可以新增至 Cloud Identity 中的群組。建議您設定共用設定，禁止群組擁有者新增外部成員。 請注意，這項限制不適用於超級管理員帳戶，也不適用於具備 Google 協作群組管理員權限的其他委派管理員。由於身分識別提供者的同盟作業會以管理員權限執行，因此群組共用設定不適用於這項群組同步作業。建議您檢查身分識別提供者和同步機制中的控制項，確保系統不會將非網域成員新增至群組，或套用群組限制。
適用產品	Cloud Identity Google Workspace
相關的 NIST-800-53 控制項	AC-2 AC-3 AC-20
相關的 CRI 設定檔控制項	PR.AC-3.1 PR.AC-5.1
相關資訊	設定全機構適用的使用群組政策 限制群組成員資格

設定每日工作階段長度

實作	必填
說明	將 Google Cloud 服務的工作階段長度設為每天至少到期一次。長時間讓帳戶保持登入狀態會帶來安全風險。強制設定工作階段最長持續時間，可讓系統在設定時間過後自動結束工作階段，並強制使用者重新安全登入。 這項做法可減少惡意使用者利用竊取的密碼登入的機會，並確保系統定期重新驗證存取權。 新客戶的預設工作階段長度為 16 小時，系統會自動強制執行這項設定。在 2023 年前建立 Google Cloud 機構的客戶，可能預設為永不要求重新驗證。請檢查這項設定，確保重新驗證政策的工作階段長度介於 1 到 24 小時之間。重新驗證政策會使更新權杖失效，並強制使用者定期以密碼或安全金鑰重新驗證 gcloud CLI。 Google Cloud 服務的工作階段時間長度與 Google 服務的工作階段時間長度是不同的設定。前者控管 Google Workspace 服務的登入網路工作階段，但不會控管 Google Cloud的重新驗證。如果您使用 Google Workspace 服務，請同時設定這兩項服務的工作階段長度。
適用產品	身分與存取權管理 (IAM) Google Workspace Cloud Identity
相關的 NIST-800-53 控制項	AC-12
相關的 CRI 設定檔控制項	PR.AC-7.1
相關資訊	設定 Google Cloud 服務的工作階段長度 設定 Google 服務的工作階段長度

修正未受管理的個人帳戶

實作	必填
說明	請勿允許非受管的個人帳戶。整合所有非受管的個人帳戶，並考慮採用解決方案，防止使用者透過您的網域建立更多非受管的個人帳戶。 非受管的個人帳戶不受加入/異動/離職 (JML) 程序控管，因此員工離職後仍可存取資源，會造成風險。就網域限制共用等控制項而言，這些帳戶也會視為外部帳戶。
適用產品	Cloud Identity
相關的 NIST-800-53 控制項	AC-2
相關的 CRI 設定檔控制項	PR.AC-1.1
相關資訊	帳戶合併總覽 使用轉移工具遷移非受管使用者

強制使用專屬管理員和多方核准機制

實作	必填
說明	請務必將超級管理員帳戶與日常使用的使用者帳戶分開。超級管理員帳戶必須是專用帳戶，僅用於進行重大變更。為提高安全性，請開啟管理員動作的多方核准機制。開啟多方核准機制後，敏感操作須經由兩位管理員核准，有助於防止攻擊者入侵管理員帳戶，並封鎖其他管理員使用者。
適用產品	身分與存取權管理 (IAM) Google Workspace Cloud Identity
相關的 NIST-800-53 控制項	AC-6
相關的 CRI 設定檔控制項	PR.AC-4.1
相關資訊	敏感操作的多方核准 適用於管理員帳戶的安全性最佳做法 超級管理員帳戶最佳做法

為所有 Google 帳戶和 Cloud Identity 使用者啟用多重驗證

Google 控制項 ID	CI-CO-6.1
實作	必填
說明	為所有 Google 帳戶和 Cloud Identity 使用者 (不只是超級管理員) 啟用多重驗證 (簡稱 MFA，又稱為「兩步驟驗證」)。超級管理員的 MFA 預設為啟用。單靠密碼通常無法提供足夠的安全防護，因此 MFA 會再添一道防線。
適用產品	身分與存取權管理 (IAM) Google Workspace Cloud Identity
相關的 NIST-800-53 控制項	IA-2
相關的 CRI 設定檔控制項	PR.AC-1.1
相關資訊	使用兩步驟驗證功能保障企業資料安全 Google Cloud需要多重驗證

撤銷預設建立者角色

實作	必填
說明	移除系統預設授予新機構所有成員的網域層級「專案建立者」和「帳單帳戶建立者」角色。 新機構會將「專案建立者」和「帳單帳戶建立者」角色授予網域中的所有受管理使用者身分。雖然這些角色有助於入門，但這項設定不適用於正式環境。如果帳單帳戶數量過多，管理負擔就會增加，而且在多個帳單帳戶之間分割服務時，也會造成技術上的影響。允許隨意建立專案可能會導致專案不符合管理慣例。 請改為移除這些角色，並建立專案建立程序，要求建立新專案並與帳單建立關聯。
適用產品	IAM
路徑	resourcemanager.organizations/iamPolicy.bindings
運算子	not_contains
值	role:roles/resourcemanager.projectCreator AND member:domain:* role:roles/billing.creator AND member:domain:*
類型	字串
相關的 NIST-800-53 控制項	AC-6
相關的 CRI 設定檔控制項	PR.AC-4.1
相關資訊	管理預設的機構角色

輪替服務帳戶金鑰

實作	必填
說明	如果必須使用服務帳戶金鑰，請至少每 90 天輪替一次金鑰。 輪替間隔會限制攻擊者存取系統的時間長度。如果沒有輪替間隔，攻擊者就能永久存取。盡可能使用 Workload Identity 聯盟，而非服務帳戶金鑰。
適用產品	IAM
路徑	constraints/iam.serviceAccountKeyExpiryHours
運算子	<=
值	2160
類型	字串
相關的 NIST-800-53 控制項	SC-12
相關的 CRI 設定檔控制項	PR.DS-1.1
相關資訊	管理服務帳戶金鑰的最佳做法 選擇適合您用途的驗證方法

使用 Workload Identity 聯盟

實作	必填
說明	使用 Workload Identity Federation，讓 CI/CD 系統和其他雲端執行的工作負載向 Google Cloud進行驗證。Workload Identity Federation 可讓在 Google Cloud 外部執行的工作負載進行驗證，不必使用服務帳戶金鑰。Workload Identity Federation 可避免使用服務帳戶金鑰和其他長期憑證，有助於降低憑證外洩風險。
適用產品	IAM
路徑	iam.googleapis.com/WorkloadIdentityPool
運算子	已設定
類型	字串
相關的 NIST-800-53 控制項	IA-2
相關的 CRI 設定檔控制項	PR.AC-1.1
相關資訊	Workload Identity Federation

禁止超級管理員帳戶自助式救援

Google 控制項 ID	CI-CO-6.3
實作	必填
說明	新客戶的超級管理員帳戶自助救援功能預設為關閉。不過，現有客戶可能已啟用這項設定。關閉這項設定有助於降低風險，避免攻擊者透過遭入侵的手機、電子郵件或社交工程攻擊，取得環境的超級管理員權限。 規劃內部程序，讓超級管理員在無法存取帳戶時，可以聯絡貴機構的其他超級管理員，並確保所有超級管理員都熟悉支援人員協助復原的程序。 如要關閉這項功能，請前往 Google 管理控制台中的帳戶救援設定。
適用產品	Cloud Identity Google Workspace
相關的 NIST-800-53 控制項	AC-2 AC-3
相關的 CRI 設定檔控制項	PR.AC-1.1 PR.AC-4.1
相關資訊	管理使用者的安全性設定 重新取得帳戶的管理員存取權

針對敏感用途設定閒置工作階段逾時

實作	必填
說明	對於機密用途，請將閒置工作階段逾時時間設為 15 分鐘。攻擊者可能會利用閒置工作階段竊取憑證。
適用產品	身分與存取權管理 (IAM) Google Workspace Cloud Identity
相關的 NIST-800-53 控制項	AC-12
相關的 CRI 設定檔控制項	PR.AC-7.1
相關資訊	設定 Google 服務的工作階段長度

強制管理員使用實體安全金鑰

實作	必填
說明	盡可能為超級管理員或機構管理員提供硬體安全金鑰做為第二重驗證。超級管理員帳戶是複雜攻擊鎖定的最高價值目標。實體安全金鑰可防範網路釣魚，因此能提供高層級的保護。針對最重要的系統管理員，硬體安全金鑰是防範帳戶入侵的最強大防禦措施，也是標準 MFA 政策的進階版。
適用產品	身分與存取權管理 (IAM) Google Workspace Cloud Identity
相關的 NIST-800-53 控制項	IA-2
相關的 CRI 設定檔控制項	PR.AC-1.1
相關資訊	適用於管理員帳戶的安全性最佳做法 使用安全金鑰進行兩步驟驗證

啟用單一登入 (SSO) 後驗證

實作	必填
說明	如果您使用外部識別資訊提供者，請設定單一登入後驗證。 根據 Google 的登入風險分析，啟用額外的控制層級。套用這項設定後，如果 Google 判斷使用者登入活動可疑，可能會在使用者登入時要求他們回答風險相關登入身分確認問題。
適用產品	Cloud Identity Google Workspace
相關的 NIST-800-53 控制項	IA-2 IA-5 IA-8
相關的 CRI 設定檔控制項	PR.AC-1.1 PR.AC-1.2 PR.AC-3.1 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2
相關資訊	啟用單一登入 (SSO) 的登入身分確認問題

啟用主體存取邊界政策

實作	必填
說明	啟用主體存取邊界 (PAB) 政策，限制主體存取權，防範網路釣魚和資料外洩。為機構啟用 PAB 政策，避免外部網路釣魚攻擊。PAB 可減少遭盜用身分發動攻擊的影響範圍，並防範外部網路釣魚和其他外洩攻擊，進而提升安全性。
適用產品	IAM
路徑	iam.googleapis.com/PrincipalAccessBoundaryPolicy
運算子	已設定
類型	字串
相關的 NIST-800-53 控制項	AC-3
相關的 CRI 設定檔控制項	PR.AC-3.1
相關資訊	主體存取邊界政策

導入標記以便有效指派 IAM 政策和機構政策

Google 控制項 ID	IAM-CO-6.1
實作	建議
說明	標記可用於建立資源的註解，在某些情況下，還可將資源是否具備特定標記設為條件，並按照這項條件允許或拒絕政策。只要使用標記並依據條件強制執行政策，即可精細控管資源階層結構。
適用產品	Resource Manager
相關的 NIST-800-53 控制項	AC-2 AC-3 AC-5
相關的 CRI 設定檔控制項	PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.DS-5.1 PR.PT-3.1
相關資訊	標記總覽

稽核 IAM 的高風險變更

Google 控制項 ID	IAM-CO-7.1
實作	建議
說明	使用 Cloud 稽核記錄監控高風險活動，例如帳戶獲派組織管理員和超級管理員等高風險角色。設定這類活動的快訊。
適用產品	Cloud 稽核記錄
相關的 NIST-800-53 控制項	AU-2 AU-3 AU-8 AU-9
相關的 CRI 設定檔控制項	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
相關資訊	Identity and Access Management 稽核記錄 Cloud 稽核記錄總覽

封鎖 Cloud Identity 代管使用者帳戶的 Cloud Shell 存取權

Google 控制項 ID	CI-CO-6.8
實作	建議
說明	為避免授予過多的存取權給 Google Cloud，請封鎖 Cloud Identity 管理的使用者帳戶對 Cloud Shell 的存取權。
適用產品	Cloud Identity Cloud Shell
相關的 NIST-800-53 控制項	SC-7 SC-8
相關的 CRI 設定檔控制項	PR.AC-5.1 PR.AC-5.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1 PR.PT-4.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4
相關資訊	為受管理使用者帳戶停用 Cloud Shell

定期分析及調整 IAM 權限

實作	建議
說明	使用 Policy Intelligence 工具 (例如 IAM 建議工具和政策分析工具)，分析及調整身分與存取權管理 (IAM) 權限。 使用 IAM 建議工具移除不需要的角色，或以權限較低、更精細的角色取代權限過高的角色。根據 Identity and Access Management (IAM) 允許政策，使用政策分析工具瞭解哪些使用者具備哪些資源的存取權。 Google Cloud
適用產品	IAM
相關的 NIST-800-53 控制項	AC-2 AC-6 CA-7
相關的 CRI 設定檔控制項	PR.AC-4.1 PR.AC-6.1 PR.IP-1.1
相關資訊	角色建議總覽 分析允許政策

為 Google 控制台設定情境感知存取權

Google 控制項 ID	IAM-CO-8.2
實作	選用
說明	透過情境感知存取權功能，您可以根據使用者身分、位置、裝置安全性狀態和 IP 位址等屬性，為應用程式建立精細的存取控管安全性政策。建議您使用情境感知存取權，限制對 Google Cloud 控制台 (https://console.cloud.google.com/) 和 Google 管理控制台 (https://admin.cloud.google.com) 的存取權。
適用產品	Cloud Identity 情境感知存取權
相關的 NIST-800-53 控制項	AC-3 AC-12 AC-17 AC-20 SC-7 SC-8
相關的 CRI 設定檔控制項	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-5.1 PR.AC-5.2 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1 PR.PT-4.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4
相關資訊	運用情境感知存取權功能保護您的企業

禁止超級管理員帳戶自助式救援

Google 控制項 ID	CI-CO-6.3
實作	選用
說明	攻擊者可能會利用自助救援程序重設超級管理員密碼。為降低與第 7 號信號系統 (SS7) 攻擊、SIM 卡調換攻擊或其他網路釣魚攻擊相關的安全風險，建議您關閉這項功能。如要關閉這項功能，請前往 Google 管理控制台中的帳戶救援設定。
適用產品	Cloud Identity Google Workspace
相關的 NIST-800-53 控制項	IA-2 IA-4 IA-5
相關的 CRI 設定檔控制項	PR.AC-1.1 PR.AC-1.2 PR.AC-1.3 PR.AC-6.1 PR.AC-7.1 PR.AC-7.2
相關資訊	管理使用者的安全性設定

關閉未使用的 Google 服務

Google 控制項 ID	CI-CO-6.6
實作	選用
說明	一般來說，建議關閉不會使用的服務。
適用產品	Cloud Identity
路徑	http://admin.google.com > Apps > Additional Google Services
運算子	設定
值	False
相關的 NIST-800-53 控制項	SC-7 SC-8
相關的 CRI 設定檔控制項	PR.AC-5.1 PR.AC-5.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1 PR.PT-4.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4
相關資訊	開啟或關閉額外的 Google 服務

組織

本節提供組織政策服務和 Resource Manager 最佳做法和指南，適用於在 Google Cloud上執行工作負載的情況。

限制 Google API 支援的 TLS 版本

Google 控制項 ID	COM-CO-1.1
實作	必填
說明	Google Cloud 支援多個傳輸層安全標準 (TLS) 通訊協定版本。為符合法規要求，您可能需要拒絕使用舊版 TLS 的用戶端傳送的交握要求。 如要設定這項控制項，請使用「限制 TLS 版本」 (gcp.restrictTLSVersion) 組織政策限制。您可以將這項限制套用至資源階層中的機構、資料夾或專案。「Restrict TLS Versions」(限制 TLS 版本) 限制條件會使用拒絕清單，拒絕明確值，並允許所有其他值。如果嘗試使用允許清單，就會發生錯誤。 由於組織政策階層評估的行為，TLS 版本限制會套用至指定的資源節點，以及該節點的所有資料夾和專案 (子項)。舉例來說，如果拒絕機構使用 TLS 1.0 版，該機構的所有子項也會一併拒絕。 如要覆寫沿用的 TLS 版本限制，請更新子項資源的機構政策。舉例來說，如果機構政策在機構層級禁止使用 TLS 1.0，您可以在子項資料夾中設定個別的機構政策，移除該資料夾的限制。如果資料夾有任何子項，由於政策繼承，資料夾的政策也會套用至每個子項資源。 如要進一步將 TLS 版本限制為僅限 TLS 1.3，您可以設定這項政策，同時限制 TLS 1.2 版。您必須在 Google Cloud內代管的應用程式上實作這項控制項。舉例來說，您可以在機構層級設定： ["TLS_VERSION_1","TLS_VERSION_1.1","TLS_VERSION_1.2"]
適用產品	全部；由組織政策服務管理
路徑	gcp.restrictTLSVersion
運算子	==
值	TLS_VERSION_1 TLS_VERSION_1.1
類型	字串
Compliance Manager 控制項 ID	RESTRICT_LEGACY_TLS_VERSIONS
相關的 NIST-800-53 控制項	SC-8 SC-13
相關的 CRI 設定檔控制項	PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
相關資訊	限制 TLS 版本

限制授權主體

Google 控制項 ID	COM-CO-4.1
實作	必填
說明	請確保只有貴機構的身分獲准進入 Google Cloud 環境。使用「網域限定共用」 (iam.allowedPolicyMemberDomains) 或 iam.managed.allowedPolicyMembers 組織政策限制，定義一或多個 Cloud Identity 或 Google Workspace 客戶 ID，只有這類客戶 ID 的主體能新增至 Identity and Access Management (IAM) 政策。 這些限制有助於防止員工將存取權授予貴機構控管範圍外的外部帳戶，這類帳戶可能不符合多重驗證 (MFA) 或密碼管理的安全政策。這項控管措施至關重要，可防止未經授權的存取行為，確保只有受信任的受管理公司身分可用。
適用產品	組織政策服務 IAM
路徑	constraints/iam.allowedPolicyMemberDomains
運算子	是
值	CUSTOMER_ID,ORG_ID
類型	清單
相關的 NIST-800-53 控制項	AC-3 AC-17 AC-20
相關的 CRI 設定檔控制項	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
相關資訊	依照網域設定身分限制

限制使用資源服務

Google 控制項 ID	RM-CO-4.1
實作	必填
說明	gcp.restrictServiceUsage 限制條件可確保只有您核准的 Google Cloud 服務會用於適當位置。舉例來說，生產或高度機密資料夾的核准資料儲存服務清單很短。 Google Cloud 沙箱資料夾可能會有較長的服務清單和相關的資料安全性控管措施，有助於防止資料外洩。這個值是您的系統專屬值，且與特定資料夾和專案的核准服務和依附元件清單相符。 貴機構可以透過這項限制條件建立核准服務的許可清單，防止員工使用未經審查的服務。
適用產品	組織政策服務 Resource Manager
路徑	constraints/gcp.restrictServiceUsage
運算子	是
相關的 NIST-800-53 控制項	AC-3 AC-17 AC-20
相關的 CRI 設定檔控制項	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
相關資訊	限制資源用量

限制資源位置

Google 控制項 ID	RM-CO-4.2
實作	必填
說明	「資源位置限制」(gcp.resourceLocations) 限制可確保系統只使用您核准的 Google Cloud 區域儲存資料。這個值是您的系統專用，且符合貴機構核准的資料落地區域清單。 這項限制可讓貴機構強制規定，資源和資料只能在特定核准的地理區域建立及儲存。
適用產品	組織政策服務 Resource Manager
路徑	constraints/gcp.resourceLocations
運算子	是
相關的 NIST-800-53 控制項	AC-3 AC-17 AC-20
相關的 CRI 設定檔控制項	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
相關資訊	限制資源位置

使用基礎架構即程式碼建立安全基準

實作	必填
說明	使用基礎架構即程式碼 (例如 Terraform) 和企業基礎藍圖做為安全基準，確保已知良好狀態，並實現快速一致的部署作業。
適用產品	全部
相關的 NIST-800-53 控制項	CM-2 CM-3 CM-9
相關的 CRI 設定檔控制項	PR.IP-1.1 PR.IP-3.1
相關資訊	Google Cloud 企業基礎藍圖

網路

本節提供虛擬私有雲 (VPC) 和 Cloud DNS 的最佳做法和指南，適用於在 Google Cloud上執行工作負載的情況。

封鎖預設網路建立作業

Google 控制項 ID	VPC-CO-6.1
實作	必填
說明	建立專案時，compute.skipDefaultNetworkCreation布林限制會略過預設網路和相關資源的建立作業 Google Cloud 。 預設網路為自動模式虛擬私有雲 (VPC) 網路，具有預先填入的 IPv4 防火牆規則，可允許內部通訊路徑。一般來說，這種設定不建議用於正式環境，因為資安態勢不夠。
適用產品	組織政策服務 虛擬私有雲 (VPC)
路徑	constraints/compute.skipDefaultNetworkCreation
值	True
類型	布林值
相關的 NIST-800-53 控制項	SC-7 SC-8
相關的 CRI 設定檔控制項	PR.AC-5.1 PR.AC-5.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1 PR.PT-4.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4
相關資訊	組織政策限制

啟用 DNS 安全性擴充功能

Google 控制項 ID	DNS-CO-6.1
實作	必填
說明	網域名稱系統安全擴充功能 (DNSSEC) 是網域名稱系統 (DNS) 的一項功能，可驗證網域名稱查詢的回應。這項功能不會為這些查詢提供隱私保護服務，但可防止攻擊者操縱或汙染 DNS 要求的回應。 請在 Cloud DNS 的下列位置啟用 DNSSEC： DNS 區域 頂層網域 (TLD) DNS 解析
適用產品	Cloud DNS
相關的 NIST-800-53 控制項	SC-7 SC-8
相關的 CRI 設定檔控制項	PR.AC-5.1 PR.AC-5.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1 PR.PT-4.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4
相關資訊	不適用

啟用 Private Google Access

Google 控制項 ID	GCVE-CO-1.5
實作	必填
說明	在所有子網路中啟用 Private Google Access。 啟用 Private Google Access 後，服務就能存取 Google Cloud 沒有外部 IP 位址的服務。根據預設，系統不會在新資源上啟用 Private Google Access，您必須採取額外步驟明確啟用這項功能。
適用產品	虛擬私有雲 (VPC)
相關的 NIST-800-53 控制項	SC-7 SC-8 SC-13
相關的 CRI 設定檔控制項	PR.AC-3.1
相關資訊	設定 Private Google Access

為服務供應商啟用私人服務存取權

Google 控制項 ID	GCVE-CO-1.6
實作	必填
說明	啟用私人服務存取權，在 Google Cloud 服務 (例如 Google Cloud VMware Engine 舊版網路) 和服務供應商 (例如 Cloud SQL) 之間建立私人網路。私人服務存取權可避免工作負載網路連線不必要地暴露在網際網路上。
適用產品	虛擬私有雲 (VPC)
相關的 NIST-800-53 控制項	SC-7 SC-8 SC-13
相關的 CRI 設定檔控制項	PR.AC-3.1
相關資訊	私人服務連線 (舊版) 設定私人連線

除非必要，否則請停用 IPv6

實作	必填
說明	除非有特殊需求，否則請停用 IPv6 外部子網路建立作業。為減少攻擊面，請考慮在未主動管理或不需要 IPv6 的系統和網路上停用 IPv6。許多機構都已建立成熟的 IPv4 安全控管和監控機制，但工具和政策可能無法完全涵蓋 IPv6，導致出現重大威脅盲點。執行雙堆疊網路也會增加作業複雜度，需要特定設定和專業知識，才能有效管理及排解問題。因此，如果沒有明確的 IPv6 業務驅動因素，停用 IPv6 可簡化環境，並確保所有流量都持續透過已建立的 IPv4 資安態勢進行篩選。
適用產品	Compute Engine
路徑	constraints/compute.disableVpcExternalIpv6
運算子	是
值	True
類型	布林值
相關的 NIST-800-53 控制項	CM-7
相關的 CRI 設定檔控制項	PR.PT-3.1
相關資訊	Google Cloud 支援 IPv6

限制傳出流量

實作	必填
說明	限制存取外部來源，因為系統預設允許所有外部存取權。為需要輸出的預期流量模式設定特定防火牆規則。 根據預設，系統通常可以建立對外網際網路連線，這可能被視為安全風險。預設拒絕政策會封鎖輸出流量，且必須為已知必要目的地建立特定規則。
適用產品	Cloud Next Generation Firewall
路徑	cloudasset.assets/assetType
運算子	==
值	compute.googleapis.com/Firewall
類型	字串
相關的 NIST-800-53 控制項	SC-7
相關的 CRI 設定檔控制項	PR.AC-3.1
相關資訊	虛擬私有雲防火牆規則

限制對 SSH 和 RDP 連接埠的連入存取權

實作	必填
說明	盡可能只限制特定資源和資源範圍的連入存取權。如果已設定 Identity-Aware Proxy (IAP)，請將輸入的 SSH 和遠端桌面協定 (RDP) 防火牆規則來源設為 IAP IP 範圍。 寬鬆的 SSH 和 RDP 防火牆規則會允許暴力攻擊。請改用 Google Cloud 身分識別感知 Proxy (例如 IAP) 進行 SSH 和 RDP。
適用產品	IAP
路徑	cloudasset.assets/assetType
運算子	==
值	compute.googleapis.com/Firewall
類型	字串
相關的 NIST-800-53 控制項	SC-7
相關的 CRI 設定檔控制項	PR.AC-3.1
相關資訊	使用 IAP 進行 TCP 轉送

啟用 VPC Service Controls

實作	必填
說明	啟用 VPC Service Controls，做為額外防護層，防止資料遺失。 VPC Service Controls 可為雲端資源、機密資料和網路建立隔離 perimeter，防範資料竊取行為。 服務範圍會封鎖來自環境外部攻擊者控制端點的受限服務要求，因此即使憑證遭盜用，也無法發揮作用。
適用產品	VPC Service Controls
路徑	accesscontextmanager.accessPolicies.servicePerimeters/perimeterType
運算子	==
值	PERIMETER_TYPE_REGULAR
類型	字串
相關的 NIST-800-53 控制項	SC-7 SC-8
相關的 CRI 設定檔控制項	PR.AC-3.1
相關資訊	VPC Service Controls 總覽 支援的產品和限制

使用 Cloud Armor 政策

實作	必填
說明	對於透過 Cloud Load Balancing 公開的應用程式，請使用 Google Cloud Armor 預設政策或自行設定政策，為對外應用程式或服務新增第 3 層至第 7 層的網路保護。Cloud Armor 安全性政策提供第 7 層篩選功能，有助於保護應用程式。這些政策也會檢查傳入的要求是否有常見的網路攻擊或其他第 7 層屬性，以便在流量傳送至負載平衡後端服務或後端 bucket 之前加以封鎖。每項安全政策都由一組規則組成，包含第 3 層到第 7 層的屬性。
適用產品	Cloud Armor
路徑	compute.backendServices/securityPolicy
運算子	已設定
類型	字串
相關的 NIST-800-53 控制項	SC-7
相關的 CRI 設定檔控制項	PR.AC-3.1
相關資訊	Cloud Armor 總覽

在 Access Context Manager 存取權政策中啟用服務範圍限制

Google 控制項 ID	COM-CO-8.1
實作	生成式 AI 用途建議
說明	在 Google Cloud 控制台中，確認每個 service perimeter 的類型都設為一般。
適用產品	Access Context Manager VPC Service Controls
路徑	accesscontextmanager.accessPolicies.servicePerimeters/perimeterType
運算子	==
值	PERIMETER_TYPE_REGULAR
類型	字串
相關的 NIST-800-53 控制項	SC-7 SC-8
相關的 CRI 設定檔控制項	PR.AC-5.1 PR.AC-5.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1 PR.PT-4.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4
相關資訊	Access Context Manager 總覽

在 VPC Service Controls 服務範圍內限制 API

Google 控制項 ID	COM-CO-8.2
實作	生成式 AI 用途建議
說明	針對每個服務範圍，使用 Access Context Manager 確認範圍是否保護 API。
適用產品	VPC Service Controls Access Context Manager
路徑	accesscontextmanager.accessPolicies.servicePerimeters/status.restrictedServices
運算子	Anyof
值	aiplatform.googleapis.com artifactregistry.googleapis.com bigquery.googleapis.com cloudasset.googleapis.com cloudbuild.googleapis.com cloudfunctions.googleapis.com cloudresourcemanager.googleapis.com containeranalysis.googleapis.com discoveryengine.googleapis.com dns.googleapis.com notebooks.googleapis.com ondemandscanning.googleapis.com orgpolicy.googleapis.com pubsub.googleapis.com secretmanager.googleapis.com storage.googleapis.com visionai.googleapis.com
類型	字串
相關的 NIST-800-53 控制項	SC-7 SC-8
相關的 CRI 設定檔控制項	PR.AC-5.1 PR.AC-5.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1 PR.PT-4.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4
相關資訊	gcloud access-context-manager perimeters update

在混合式環境中使用 Cloud VPN 或 Cloud Interconnect

實作	建議
說明	如要安全地連線至地端部署環境，請使用 Cloud VPN 或 Cloud Interconnect。 Cloud VPN 成本較低，頻寬需求也較低。Cloud Interconnect 提供企業級連線，處理量更高。
適用產品	Cloud VPN Cloud Interconnect
路徑	cloudasset.assets/assetType
運算子	在
值	compute.googleapis.com/VpnGateway compute.googleapis.com/VpnTunnel compute.googleapis.com/Interconnect compute.googleapis.com/InterconnectAttachment
類型	字串
相關的 NIST-800-53 控制項	SC-7
相關的 CRI 設定檔控制項	PR.AC-3.1
相關資訊	選擇 Network Connectivity 產品 Cloud VPN 總覽 Cloud Interconnect

使用可用區 DNS

Google 控制項 ID	DNS-CO-4.1
實作	選用
說明	您可以透過 compute.setNewProjectDefaultToZonalDNSOnly 布林值限制，將新專案的內部 DNS 設定設為僅限區域性 DNS。請使用區域性 DNS，因為與個別區域相比，區域性 DNS 可隔離 DNS 註冊中的失敗，因此可靠性較高。
適用產品	組織政策
路徑	constraints/compute.setNewProjectDefaultToZonalDNSOnly
運算子	=
值	True
類型	布林值
相關的 NIST-800-53 控制項	AC-3 AC-17 AC-20
相關的 CRI 設定檔控制項	PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1
相關資訊	區域性和全域內部 DNS 名稱

記錄、監控、快訊

本節提供記錄和稽核 Google Cloud 服務的最佳做法和指南，以及設定 Cloud Billing 等服務的快訊。

分享 Cloud Identity 的稽核記錄

Google 控制項 ID	CI-CO-6.5
實作	必填
說明	如果使用 Cloud Identity，請將 Cloud Identity 的稽核記錄分享給 Google Cloud。 Google Workspace 或 Cloud Identity 的管理員活動稽核記錄通常是在 Google 管理控制台中管理及查看，與 Google Cloud 環境中的記錄分開。這些記錄包含與 Google Cloud 環境相關的資訊，例如使用者登入事件。 建議您將 Cloud Identity 稽核記錄分享至 Google Cloud 環境，集中管理所有來源的記錄。
適用產品	Google Workspace Cloud Logging Cloud Identity
相關的 NIST-800-53 控制項	AC-2 AC-3 AC-8 AC-9
相關的 CRI 設定檔控制項	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4
相關資訊	Google Workspace 稽核記錄 與 Google Cloud 服務共用資料

使用稽核記錄

Google 控制項 ID	COM-CO-7.3
實作	必填
說明	Google Cloud 服務會寫入稽核記錄項目，協助您瞭解 Google Cloud 資源中「人事時地物」等問題。 在機構層級啟用稽核記錄。您可以使用設定 Google Cloud 機構的管道設定記錄。
適用產品	Cloud 稽核記錄
相關的 NIST-800-53 控制項	AU-2 AU-3 AU-8 AU-9
相關的 CRI 設定檔控制項	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
相關資訊	Cloud 稽核記錄總覽

啟用虛擬私有雲流量記錄

Google 控制項 ID	COM-CO-7.4
實作	必填
說明	虛擬私有雲流量記錄會從 VM 執行個體收發的網路流量中取樣，並記錄下來，包括做為 Google Kubernetes Engine (GKE) 節點的執行個體。樣本通常是虛擬私有雲網路流量的 50% 或更少。 啟用虛擬私有雲端流量記錄時，系統會對子網路中的所有 VM 啟用記錄功能。不過，您可以減少寫入記錄檔的資訊量。 為每個虛擬私有雲子網路啟用虛擬私有雲流量記錄。您可以使用建立專案的管道設定記錄功能。
適用產品	虛擬私有雲
相關的 NIST-800-53 控制項	AU-2 AU-3 AU-8 AU-9
相關的 CRI 設定檔控制項	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
相關資訊	記錄取樣和匯總

啟用防火牆規則記錄

Google 控制項 ID	COM-CO-7.5
實作	必填
說明	根據預設，防火牆規則不會自動寫入記錄。您可以根據防火牆規則記錄，進一步稽核、驗證及分析規則的成效。舉例來說，您可以確認拒絕流量的防火牆規則是否按預期運作。當您需要查明特定防火牆規則影響的連線數量時，這項記錄也能派上用場。 為每項防火牆規則啟用記錄功能。您可以使用建立防火牆的管道設定記錄。
適用產品	虛擬私有雲
相關的 NIST-800-53 控制項	AU-2 AU-3 AU-8 AU-9
相關的 CRI 設定檔控制項	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
相關資訊	使用防火牆規則記錄

啟用管理員活動稽核功能

Google 控制項 ID	COM-CO-7.1
實作	必填
說明	根據預設， Google Cloud 會啟用，且不允許任何人停用特殊權限帳戶的重要管理員活動稽核功能。 管理員活動稽核記錄的記錄項目涵蓋 API 呼叫，以及修改資源設定/中繼資料的其他動作。例如，這類記錄會記下使用者於何時建立 VM 執行個體或變更 IAM 權限。 管理員活動稽核記錄包含在機構、資料夾和專案層級建立、修改及刪除機構政策限制的記錄項目。 這類記錄一定會寫入，且無法設定、排除或停用。即使停用 Cloud Logging API，系統仍會產生管理員活動稽核記錄。 建議貴機構設定政策和程序來監控這些快訊，並根據企業存取政策產生動作或快訊，以監控管理員活動。
適用產品	Cloud 稽核記錄
相關的 NIST-800-53 控制項	AU-2 AU-3 AU-8 AU-9
相關的 CRI 設定檔控制項	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
相關資訊	Google Cloud 具有稽核記錄的服務

訂閱安全性公告

Google 控制項 ID	GKE-CO-1.8
實作	必填
說明	訂閱 Google Cloud 服務的安全性公告通知，即可接收有關安全漏洞和緩解措施的快訊。 如果出現與 Google Cloud 服務 (例如 GKE) 相關的安全性公告，服務可以將這些事件的通知以訊息形式發布至您設定的 Pub/Sub 主題。您可以透過 Pub/Sub 訂閱項目接收這類通知、整合第三方服務，並篩選需要的通知類型。
適用產品	全部
相關的 NIST-800-53 控制項	SI-5
相關的 CRI 設定檔控制項	PR.IP-1.4
相關資訊	安全性公告

設定重要聯絡人群組

實作	必填
說明	設定重要聯絡人，確保受監控的群組別名或郵寄清單會收到重要通知。 Google 會將重大安全性警示 (例如帳戶可能遭盜用) 傳送至列為重要聯絡人的電子郵件地址。如果使用個人電子郵件地址，當該人員不在或已離職時，您就會錯過快訊。 使用受監控的群組電子郵件地址，有助於確保這些時效性高的快訊會傳送給能迅速回應的團隊。
適用產品	Resource Manager
路徑	essentialcontacts.googleapis.com/Contact
運算子	已設定
類型	字串
相關的 NIST-800-53 控制項	IR-4
相關的 CRI 設定檔控制項	PR.IP-1.4
相關資訊	重要聯絡人總覽

監控帳單異常狀況

實作	必填
說明	使用 Cloud Billing 中的帳單異常功能，追蹤預期支出是否出現任何尖峰或偏差。 雲端帳單突然出現異常高額的費用，是安全防護遭到入侵的主要指標。有時，攻擊者會取得存取權，並將資源用於未經授權的活動，導致帳單費用突然暴增。 啟用帳單異常偵測功能後，系統會提供重要的預警系統，自動標記這類可疑活動。
適用產品	Cloud Billing
相關的 NIST-800-53 控制項	AU-6
相關的 CRI 設定檔控制項	DE.AE-1.1
相關資訊	查看及管理費用異常狀況 設定程式輔助通知

將記錄匯出至記錄檔接收器，以便長期儲存

實作	必填
說明	建立記錄檔接收器，匯出記錄以供安全監控解決方案使用，並設定符合需求的保留期限。 預設的記錄保留期限通常不夠長，無法符合 PCI 或 HIPAA 等法規遵循規定要求的 1 到 7 年期限。 建立記錄接收器，將記錄匯出至長期儲存位置，是滿足特定法律和法規義務的必要做法。您也可以透過記錄接收器將記錄傳送至集中式安全監控系統，進行進階威脅偵測。
適用產品	Cloud Logging
路徑	logging.googleapis.com/LogSink/disabled
運算子	是
值	False
類型	布林值
相關的 NIST-800-53 控制項	AU-9
相關的 CRI 設定檔控制項	PR.DS-4.1
相關資訊	路徑記錄項目

在 Google Cloud中維護資源清單

實作	必填
說明	使用 Cloud Asset Inventory，在 Google Cloud中維護資源的五週清單。如要分析變更，請將資產中繼資料匯出至 BigQuery 或 Cloud Storage。
適用產品	Cloud Asset Inventory
相關的 NIST-800-53 控制項	CM-8 CM-8(1) CM-8(2) CM-8(3) CM-8(4) PM-5
相關的 CRI 設定檔控制項	ID.AM-1.1 ID.AM-2.1 ID.AM-3.1 ID.AM-5.1
相關資訊	Cloud Asset Inventory 總覽 將資產中繼資料匯出至 BigQuery

啟用資料存取稽核記錄

Google 控制項 ID	COM-CO-7.2
實作	建議用於特定用途
說明	如要追蹤誰存取了 Google Cloud 環境中的資料，請啟用資料存取稽核記錄。這些記錄會記載讀取、建立或修改使用者資料的 API 呼叫，以及讀取資源設定的 API 呼叫。 強烈建議您為生成式 AI 模型和敏感資料啟用資料存取稽核記錄，確保可以稽核哪些人讀取資訊。如要使用資料存取稽核記錄，您必須為特定活動 (例如超級管理員登入) 設定自訂偵測邏輯。 資料存取稽核記錄的量可能很大。啟用資料存取記錄可能會導致專案產生額外的記錄使用費。 Google Cloud
適用產品	Cloud 稽核記錄
相關的 NIST-800-53 控制項	AU-2 AU-3 AU-8 AU-9
相關的 CRI 設定檔控制項	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
相關資訊	啟用資料存取稽核記錄

設定帳單快訊

Google 控制項 ID	CB-CO-6.1
實作	建議
說明	您可以設定 Cloud Billing 預算來集中監控所有的費用，以免產生意外支出。 Google Cloud 設定預算金額後，請為每個專案設定預算快訊門檻規則，觸發電子郵件通知。這些通知有助於追蹤支出與預算的比較情形。您也可以透過 Cloud Billing 預算自動採取控制成本的因應行動。
適用產品	Cloud Billing
相關的 NIST-800-53 控制項	SI-4 SI-5
相關的 CRI 設定檔控制項	PR.DS-5.1 PR.DS-8.1 ID.RA-1.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4 DE.CM-5.1 DE.CM-6.1 DE.CM-6.2 DE.CM-6.3 DE.CM-7.1 DE.CM-7.2 DE.CM-7.3 DE.CM-7.4 DE.DP-2.1 DE.DP-3.1 DE.DP-4.1 DE.DP-4.2 DE.DP-5.1 DE.AE-2.1 DE.AE-3.1 DE.AE-3.2 DE.AE-4.1 ID.RA-1.1 ID.RA-2.1 ID.RA-3.1 ID.RA-3.2 ID.RA-3.3
相關資訊	建立、編輯或刪除預算和預算快訊

啟用資料存取透明化控管機制記錄檔

Google 控制項 ID	COM-CO-7.7
實作	選用
說明	標準記錄會顯示貴機構使用者執行的操作，而資料存取透明化控管機制記錄則會顯示 Google 支援人員存取帳戶時執行的操作。通常只有在您提出支援要求時，我們才會存取您的帳戶。「資料存取透明化控管機制」記錄提供所有存取作業的完整稽核追蹤記錄，可供驗證，有助於滿足嚴格的法規遵循和資料控管要求。 您可以在機構層級啟用資料存取透明化控管機制。
適用產品	資料存取透明化控管機制
相關的 NIST-800-53 控制項	AU-2 AU-3 AU-8 AU-9
相關的 CRI 設定檔控制項	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
相關資訊	啟用資料存取透明化控管機制

匯出帳單資料以進行詳細分析

Google 控制項 ID	CB-CO-6.2
實作	選用
說明	如要進一步分析帳單，您可以將帳單資料匯出至 BigQuery 或 JSON 檔案。 Google Cloud 舉例來說，您可以將整天的詳細資料 (例如用量、預估費用和定價) 自動匯出至指定的 BigQuery 資料集。接著，您就能在 BigQuery 中存取 Cloud Billing 資料來執行詳細的數據分析，或是透過「數據分析」等工具以圖表呈現資料。
適用產品	BigQuery 資料移轉服務 BigQuery Cloud Billing
相關的 NIST-800-53 控制項	SI-4 SI-5
相關的 CRI 設定檔控制項	PR.DS-5.1 PR.DS-8.1 ID.RA-1.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4 DE.CM-5.1 DE.CM-6.1 DE.CM-6.2 DE.CM-6.3 DE.CM-7.1 DE.CM-7.2 DE.CM-7.3 DE.CM-7.4 DE.DP-2.1 DE.DP-3.1 DE.DP-4.1 DE.DP-4.2 DE.DP-5.1 DE.AE-2.1 DE.AE-3.1 DE.AE-3.2 DE.AE-4.1 ID.RA-1.1 ID.RA-2.1 ID.RA-3.1 ID.RA-3.2 ID.RA-3.3
相關資訊	將 Cloud Billing 資料匯出至 BigQuery

金鑰和密鑰管理

本節提供 Cloud Key Management Service 和 Secret Manager 的最佳做法和指南，適用於在Google Cloud上執行工作負載的情況。

加密 Google Cloud中的靜態資料

Google 控制項 ID	COM-CO-2.1
實作	必要 (預設)
說明	根據預設， Google Cloud 中的所有資料都會使用 NIST 核准的演算法進行靜態加密。
適用產品	Google Cloud 預設
相關的 NIST-800-53 控制項	SC-28
相關的 CRI 設定檔控制項	PR.DS-1.1 PR.DS-1.2
相關資訊	預設靜態資料加密

使用 NIST 核准的演算法進行加密和解密

Google 控制項 ID	COM-CO-2.4
實作	必填
說明	請確保 Cloud Key Management Service (Cloud KMS) 只使用 NIST 核准的演算法，在環境中儲存機密金鑰。這項控制項只會使用 NIST 核准的演算法和安全性，確保金鑰安全無虞。CryptoKeyVersionAlgorithm 欄位是提供的許可清單。 移除不符合貴機構政策的演算法。
適用產品	Cloud KMS
路徑	cloudkms.projects.locations.keyRings.cryptoKeys/versionTemplate.algorithm
運算子	在
值	RSA_SIGN_PSS_2048_SHA256 RSA_SIGN_PSS_3072_SHA256 RSA_SIGN_PSS_4096_SHA256 RSA_DECRYPT_OAEP_2048_SHA256 RSA_DECRYPT_OAEP_4096_SHA256 RSA_DECRYPT_OAEP_2048_SHA1 RSA_DECRYPT_OAEP_4096_SHA1
類型	字串
相關的 NIST-800-53 控制項	SC-12 SC-13
相關的 CRI 設定檔控制項	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
相關資訊	金鑰用途與演算法 建立金鑰

設定 Cloud KMS 金鑰的用途

Google 控制項 ID	COM-CO-2.5
實作	必填
說明	將 Cloud KMS 金鑰的用途設為 ENCRYPT_DECRYPT，確保金鑰只用於加密及解密資料。這項控制項會封鎖其他函式 (例如簽署)，並確保金鑰只會用於預期用途。如果您將金鑰用於其他功能，請驗證這些用途，並考慮建立額外金鑰。
適用產品	Cloud KMS
路徑	cloudkms.projects.locations.keyRings.cryptoKeys/purpose
運算子	==
值	ENCRYPT_DECRYPT
類型	字串
相關的 NIST-800-53 控制項	SC-12 SC-13
相關的 CRI 設定檔控制項	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
相關資訊	金鑰用途與演算法 建立金鑰

確保 CMEK 設定適用於安全的 BigQuery 資料倉儲

Google 控制項 ID	COM-CO-2.6
實作	必填
說明	防護等級會指示執行加密編譯作業的方式。建立客戶管理的加密金鑰 (CMEK) 後，就無法變更防護等級。支援的保護等級如下： SOFTWARE：加密編譯作業會在軟體中執行。 HSM：加密編譯作業會在硬體安全性模組 (HSM) 中執行。 外部：加密編譯作業會使用儲存在外部金鑰管理工具中的金鑰執行，該工具透過網際網路連線至 Google Cloud 。僅限對稱式加密和非對稱式簽署。 EXTERNAL_VPC:加密編譯作業會使用儲存在外部金鑰管理工具中的金鑰執行，該工具透過虛擬私有雲 (VPC) 網路連線。 Google Cloud 僅限對稱式加密和非對稱式簽署。
適用產品	Cloud KMS BigQuery
路徑	cloudkms.projects.locations.keyRings.cryptoKeys/primary.protectionLevel
運算子	在
值	[]
類型	字串
相關的 NIST-800-53 控制項	SC-12 SC-13
相關的 CRI 設定檔控制項	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
相關資訊	Cloud KMS 防護等級 外部金鑰管理員 將資料匯入受保護的 BigQuery 資料倉儲

每 90 天輪替一次加密金鑰

Google 控制項 ID	COM-CO-2.7
實作	必填
說明	請確保 Cloud KMS 金鑰的輪替週期設為 90 天。一般最佳做法是定期輪替安全金鑰。這項控制項會強制輪替使用 HSM 服務建立的金鑰。 建立輪替週期時，請一併建立適當的政策和程序，安全地處理金鑰材料的建立、刪除和修改作業，以協助保護資訊並確保可用性。請確保這段時間符合貴公司的金鑰輪替政策。
適用產品	Cloud KMS
路徑	cloudkms.projects.locations.keyRings.cryptoKeys/rotationPeriod
運算子	<=
值	90
類型	int32
相關的 NIST-800-53 控制項	SC-12 SC-13
相關的 CRI 設定檔控制項	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
相關資訊	金鑰輪替

設定自動 Secret 輪換

Google 控制項 ID	SM-CO-6.2
實作	必填
說明	自動輪換 Secret，並在遭到入侵時提供緊急輪換程序。
適用產品	Secret Manager
相關的 NIST-800-53 控制項	SC-12 SC-13
相關的 CRI 設定檔控制項	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
相關資訊	在 Secret Manager 中建立輪換時間表

建立受管理加密策略

實作	必填
說明	使用 Cloud Key Management Service (Cloud KMS) 和 Autokey、Cloud External Key Manager (Cloud EKM) 或兩者，建立加密管理策略。這項策略可讓貴機構使用及管理自己的加密金鑰，以符合特定需求。使用自己的加密金鑰可精細控管資料存取權，並進行稽核，包括停用金鑰來立即封鎖資料存取權。
適用產品	Cloud KMS Cloud EKM
相關的 NIST-800-53 控制項	SC-12
相關的 CRI 設定檔控制項	PR.DS-1.1
相關資訊	Cloud KMS 總覽

監控金鑰相關活動

實作	必填
說明	監控與金鑰相關的重要活動，包括： 銷毀金鑰 (DestroyCryptoKeyVersion) 停用金鑰 (UpdateCryptoKeyVersion) 政策變更 (SetIamPolicy) 匯入金鑰 (CreateImportJob、ImportCryptoKeyVersion、CreateCryptoKey 和 CreateKeyRing) 異常的加密編譯作業 (例如 Decrypt 或 AsymmetricDecrypt 作業量暴增，以及加密編譯作業失敗率偏高) 如果您使用客戶提供的加密金鑰 (CSEK) 或 Cloud External Key Manager (Cloud EKM)，請設定完善的外部備份和輪替程序。
適用產品	Cloud Key Management Service
相關的 NIST-800-53 控制項	SC-12 SC-13 AU-2 AU-6 SI-4
相關的 CRI 設定檔控制項	PR.DS-1.1 PR.DS-1.2 PR.DS-5.1 DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4
相關資訊	搭配 Cloud KMS 使用 Cloud Monitoring 將 Cloud 稽核記錄與 Cloud KMS 搭配使用 使用 Pub/Sub 監控狀態變化 監控外部金鑰管理員的使用情況

使用 CMEK 保護 Pub/Sub 訊息

Google 控制項 ID	PS-CO-6.1
實作	建議
說明	為 Pub/Sub 啟用客戶自行管理的加密金鑰 (CMEK) 後，您就能進一步控管 Pub/Sub 用於保護訊息的加密金鑰。在應用程式層，Pub/Sub 會在收到訊息時加密個別訊息。Pub/Sub 會先使用為主題產生的最新資料加密金鑰 (DEK) 加密訊息，再將訊息發布至訂閱項目。Pub/Sub 會在訊息傳送給訂閱端不久前解密訊息。Pub/Sub 會使用 Google Cloud 服務帳戶存取 Cloud Key Management Service。Pub/Sub 是在內部為每個專案維護服務帳戶，因此這些帳戶不會顯示在服務帳戶清單中。
適用產品	Cloud KMS Pub/Sub
相關的 NIST-800-53 控制項	SC-12 SC-13
相關的 CRI 設定檔控制項	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
相關資訊	設定訊息加密機制

限制客戶自行管理的加密金鑰位置

Google 控制項 ID	COM-CO-2.2
實作	建議
說明	使用「限制哪些專案可提供 CMEK 的 KMS CryptoKey」 (gcp.restrictCmekCryptoKeyProjects) 組織政策限制，定義哪些專案可儲存客戶自行管理的加密金鑰 (CMEK)。這項限制條件可讓您集中管理加密金鑰的控管作業。如果所選金鑰不符合這項限制，資源建立作業就會失敗。 如要修改這項限制，管理員必須具備「機構政策管理員」 (roles/orgpolicy.policyAdmin) IAM 角色。 如要新增第二層防護 (例如自備金鑰)，請變更這項限制，代表已啟用的 CMEK 金鑰名稱。 產品特定項目： 在 Gemini Enterprise Agent Platform 中，您會將金鑰儲存在「KEY PROJECTS」專案中。
適用產品	Cloud KMS 組織政策
路徑	constraints/gcp.restrictCmekCryptoKeyProjects
運算子	notexists
值	KEY PROJECTS
類型	字串
相關的 NIST-800-53 控制項	SC-12 SC-13
相關的 CRI 設定檔控制項	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
相關資訊	要求使用 CMEK 保護機制

為 Google Cloud 服務使用 CMEK

Google 控制項 ID	COM-CO-2.3
實作	建議
說明	如果您需要比 Google-owned and Google-managed encryption keys 允許的範圍更大的金鑰作業控制權，可以使用客戶自行管理的加密金鑰 (CMEK)。這些金鑰是使用 Cloud KMS 建立及管理。將金鑰儲存為軟體金鑰、儲存在 HSM 叢集內，或儲存在外部金鑰管理系統中。 Cloud KMS 加密和解密速率會受到配額限制。 Cloud Storage 具體做法 在 Cloud Storage 中，您可以對個別物件使用 CMEK，也可以將 Cloud Storage 值區設為預設對所有新增至值區的物件使用 CMEK。使用 CMEK 時，Cloud Storage 會在物件儲存至值區時，以金鑰加密物件，並在將物件提供給要求者時自動解密。 將 CMEK 與 Cloud Storage 搭配使用時有以下限制： 您無法透過更新物件的中繼資料，使用 CMEK 將物件加密。請改將金鑰加入物件重寫的一部分。 Cloud Storage 會使用物件更新指令在物件上設定加密金鑰，但該指令會在要求中重寫物件。 您建立 Cloud KMS 金鑰環的位置必須與待加密資料的位置相同。舉例來說，如果您的值區位於 us-east1，那麼您也必須在 us-east1 中建立這個值區中的所有金鑰環加密物件。 在大多數雙區域中，您必須在相關聯的多區域建立 Cloud KMS 金鑰環。舉例來說，如果值區位於 us-east1、us-west1 這一對區域中，則用於加密該值區中物件的任何金鑰環，都必須在美國多區域中建立。 如果是 asia1、eur4 和 nam4 預先定義的雙重區域，您必須在相同的預先定義雙重區域中建立金鑰環。 使用 JSON API 列出物件時，系統不會傳回以 CMEK 加密的物件的 CRC32C 總和檢查碼和 MD5 雜湊。 使用 Cloud Storage 等工具對每個加密物件執行額外的中繼資料 GET 要求，以擷取 CRC32C 和 MD5 資訊，可大幅縮短清單。Cloud Storage 無法使用儲存在 Cloud KMS 中的非對稱金鑰解密部分，自動解密相關物件，這與 CMEK 的做法不同。
適用產品	Cloud KMS 組織政策 Cloud Storage
路徑	constraints/gcp.restrictNonCmekServices
運算子	==
值	bigquery.googleapis.com storage.googleapis.com aiplatform.googleapis.com
類型	字串
相關的 NIST-800-53 控制項	SC-12 SC-13
相關的 CRI 設定檔控制項	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
相關資訊	Cloud KMS 位置 Cloud KMS 配額 客戶自行管理的加密金鑰

自動複製 Secret

Google 控制項 ID	SM-CO-6.1
實作	建議
說明	除非工作負載有特定地點規定，否則請選擇自動複製政策來複製 Secret。自動政策可滿足大多數工作負載的可用性和效能需求。如果工作負載有特定地點規定，您可以在建立 Secret 時，使用 API 選取複製政策的位置。
適用產品	Secret Manager
相關的 NIST-800-53 控制項	SC-12 SC-13
相關的 CRI 設定檔控制項	PR.DS-1.1 PR.DS-1.2 PR.DS-2.1 PR.DS-2.2 PR.DS-5.1
相關資訊	選擇複製政策

資安態勢和分析

本文提供 Security Command Center 最佳做法和指南，適用於在 Google Cloud上執行工作負載的情況。

在組織層級啟用 Security Command Center

Google 控制項 ID	SCC-CO-6.1
實作	必填
說明	在機構層級啟用 Security Command Center，偵測潛在攻擊並分析快訊。如果不想使用 Security Command Center，請啟用其他資安態勢管理解決方案。
適用產品	Security Command Center
路徑	cloudasset.assets/assetType
運算子	==
值	securitycenter.googleapis.com/OrganizationSettings
類型	字串
相關的 NIST-800-53 控制項	SI-4 SI-5
相關的 CRI 設定檔控制項	PR.DS-5.1 PR.DS-8.1 ID.RA-1.1 DE.CM-1.1 DE.CM-1.2 DE.CM-1.3 DE.CM-1.4 DE.CM-5.1 DE.CM-6.1 DE.CM-6.2 DE.CM-6.3 DE.CM-7.1 DE.CM-7.2 DE.CM-7.3 DE.CM-7.4 DE.DP-2.1 DE.DP-3.1 DE.DP-4.1 DE.DP-4.2 DE.DP-5.1 DE.AE-2.1 DE.AE-3.1 DE.AE-3.2 DE.AE-4.1 ID.RA-1.1 ID.RA-2.1 ID.RA-3.1 ID.RA-3.2 ID.RA-3.3
相關資訊	啟用 Security Command Center 的簡介

透過 Security Command Center 設定警告

Google 控制項 ID	SCC-CO-7.1
實作	建議
說明	您可以透過 Security Command Center 的警告掌握貴組織的狀況，並在 Google Cloud 服務發生問題時收到通知，以便採取適當行動。您可以在 Cloud Logging 中設定警告，接收與 Security Command Center 服務代理 ([e-mail]) 相關的錯誤通知。
適用產品	Security Command Center Logging
相關的 NIST-800-53 控制項	AU-2 AU-3 AU-8 AU-9
相關的 CRI 設定檔控制項	DM.ED-7.1 DM.ED-7.2 DM.ED-7.3 DM.ED-7.4 PR.IP-1.4
相關資訊	疑難排解

後續步驟

• 查看基礎架構控制項。

• 請參閱Google Cloud 安全性最佳做法和指南。