Kontrol umum untuk kasus penggunaan AI generatif

Dokumen ini menjelaskan kontrol umum yang menciptakan lingkungan keamanan dasar untuk workload AI generatif di Google Cloud. Kontrol ini membantu memastikan penggunaan lingkunganGoogle Cloud yang konsisten dan aman. Sebaiknya terapkan ke lingkungan Anda sebelum men-deploy layanan produksi.

Kontrol ini hanya dimaksudkan untuk memberikan titik awal bagi Anda. Anda dapat menyesuaikan dan menambahkan kontrol khusus organisasi sesuai yang diwajibkan oleh kebijakan keamanan organisasi Anda. Selain itu, pertimbangkan kontrol tambahan berdasarkan workload spesifik dan data sensitif yang Anda miliki diGoogle Cloud.

Kontrol umum yang diperlukan

Kontrol berikut sangat direkomendasikan untuk lingkungan Google Cloud Anda.

Membatasi versi TLS yang didukung oleh Google API

ID kontrol Google COM-CO-1.1
Kategori Wajib
Deskripsi

Google Cloud mendukung beberapa versi protokol TLS. Untuk memenuhi persyaratan kepatuhan, Anda mungkin ingin menolak permintaan handshake dari klien yang menggunakan versi TLS yang lebih lama.

Untuk mengonfigurasi kontrol ini, gunakan batasan kebijakan organisasi Membatasi Versi TLS (gcp.restrictTLSVersion). Anda dapat menerapkan batasan ini ke organisasi, folder, atau project dalam hierarki resource. Batasan Restrict TLS Versions menggunakan daftar yang tidak diizinkan, yang menolak nilai eksplisit dan mengizinkan semua nilai lainnya. Error terjadi jika Anda mencoba menggunakan daftar yang diizinkan.

Karena perilaku evaluasi hierarki kebijakan organisasi, pembatasan versi TLS berlaku untuk node resource yang ditentukan dan semua folder serta projectnya (turunan). Misalnya, jika Anda menolak TLS versi 1.0 untuk organisasi, TLS versi 1.0 juga akan ditolak untuk semua turunan yang berasal dari organisasi tersebut.

Anda dapat mengganti pembatasan versi TLS yang diwariskan dengan memperbarui kebijakan organisasi pada resource turunan. Misalnya, jika kebijakan organisasi Anda menolak TLS 1.0 di tingkat organisasi, Anda dapat menghapus batasan untuk folder turunan dengan menetapkan kebijakan organisasi terpisah pada folder tersebut. Jika folder memiliki turunan, kebijakan folder juga akan diterapkan pada setiap resource turunan karena pewarisan kebijakan.

Untuk lebih membatasi versi TLS hanya ke TLS 1.3, Anda dapat menetapkan kebijakan ini untuk juga membatasi versi TLS 1.2. Anda harus menerapkan kontrol ini pada aplikasi yang Anda hosting di dalam Google Cloud. Misalnya, di tingkat organisasi, tetapkan:

["TLS_VERSION_1","TLS_VERSION_1.1","TLS_VERSION_1.2"]
Produk yang berlaku
  • Semua; dikelola oleh Layanan Kebijakan Organisasi
Jalur gcp.restrictTLSVersion
Operator ==
Nilai
  • TLS_VERSION_1
  • TLS_VERSION_1.1
Jenis String
ID kontrol Compliance Manager RESTRICT_LEGACY_TLS_VERSIONS
Kontrol NIST-800-53 terkait
  • SC-8
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Mengenkripsi data dalam penyimpanan di Google Cloud

ID kontrol Google COM-CO-2.1
Kategori Wajib (default)
Deskripsi

Semua data di Google Cloud dienkripsi dalam penyimpanan secara default menggunakan algoritma yang disetujui NIST.
Produk yang berlaku
  • Google Cloud default
Kontrol NIST-800-53 terkait
  • SC-28
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
Informasi terkait

Gunakan algoritma yang disetujui NIST untuk enkripsi dan dekripsi

ID kontrol Google COM-CO-2.4
Kategori Wajib
Deskripsi

Pastikan Cloud Key Management Service (Cloud KMS) hanya menggunakan algoritma yang disetujui NIST untuk menyimpan kunci sensitif di lingkungan. Kontrol ini memastikan penggunaan kunci yang aman hanya dengan algoritma dan keamanan yang disetujui NIST. Kolom CryptoKeyVersionAlgorithm adalah daftar yang diizinkan yang diberikan.

Hapus algoritma yang tidak mematuhi kebijakan organisasi Anda.
Produk yang berlaku
  • Cloud KMS
Jalur cloudkms.projects.locations.keyRings.cryptoKeys/versionTemplate.algorithm
Operator in
Nilai
  • RSA_SIGN_PSS_2048_SHA256
  • RSA_SIGN_PSS_3072_SHA256
  • RSA_SIGN_PSS_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA256
  • RSA_DECRYPT_OAEP_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA1
  • RSA_DECRYPT_OAEP_4096_SHA1
Jenis String
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Menetapkan tujuan untuk kunci Cloud KMS

ID kontrol Google COM-CO-2.5
Kategori Wajib
Deskripsi

Tetapkan tujuan kunci Cloud KMS ke ENCRYPT_DECRYPT agar kunci hanya digunakan untuk mengenkripsi dan mendekripsi data. Kontrol ini memblokir fungsi lain, seperti penandatanganan, dan memastikan bahwa kunci hanya digunakan untuk tujuan yang dimaksudkan. Jika Anda menggunakan kunci untuk fungsi lain, validasi kasus penggunaan tersebut dan pertimbangkan untuk membuat kunci tambahan.
Produk yang berlaku
  • Cloud KMS
Jalur cloudkms.projects.locations.keyRings.cryptoKeys/purpose
Operator ==
Nilai
  • ENCRYPT_DECRYPT
Jenis String
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Pastikan setelan CMEK sesuai untuk data warehouse BigQuery yang aman

ID kontrol Google COM-CO-2.6
Kategori Wajib
Deskripsi

Level perlindungan menunjukkan cara operasi kriptografi dilakukan. Setelah membuat kunci enkripsi yang dikelola pelanggan (CMEK), Anda tidak dapat mengubah tingkat perlindungan. Level perlindungan yang didukung adalah sebagai berikut:

  • SOFTWARE: Operasi kriptografi dilakukan di software.
  • HSM: Operasi kriptografi dilakukan di modul keamanan hardware (HSM).
  • EKSTERNAL: Operasi kriptografi dilakukan menggunakan kunci yang disimpan di pengelola kunci eksternal yang terhubung ke Google Cloud melalui internet. Terbatas pada enkripsi simetris dan penandatanganan asimetris.
  • EXTERNAL_VPC: Operasi kriptografi dilakukan menggunakan kunci yang disimpan di pengelola kunci eksternal yang terhubung ke Google Cloud melalui jaringan Virtual Private Cloud (VPC). Terbatas pada enkripsi simetris dan penandatanganan asimetris.
Produk yang berlaku
  • Cloud KMS
  • BigQuery
Jalur cloudkms.projects.locations.keyRings.cryptoKeys/primary.protectionLevel
Operator in
Nilai
  • []
Jenis String
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Rotasi kunci enkripsi setiap 90 hari

ID kontrol Google COM-CO-2.7
Kategori Wajib
Deskripsi

Pastikan periode rotasi kunci Cloud KMS Anda ditetapkan ke 90 hari. Praktik terbaik umum adalah merotasi kunci keamanan Anda secara berkala. Kontrol ini menerapkan rotasi kunci untuk kunci yang dibuat dengan layanan HSM.

Saat membuat periode rotasi ini, buat juga kebijakan dan prosedur yang sesuai untuk menangani pembuatan, penghapusan, dan modifikasi materi utama secara aman sehingga Anda dapat membantu melindungi informasi Anda dan memastikan ketersediaan. Pastikan periode ini mematuhi kebijakan perusahaan Anda untuk rotasi kunci.
Produk yang berlaku
  • Cloud KMS
Jalur cloudkms.projects.locations.keyRings.cryptoKeys/rotationPeriod
Operator <=
Nilai
  • 90
Jenis int32
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Menentukan principal yang diizinkan

ID kontrol Google COM-CO-4.1
Kategori Wajib
Deskripsi

Gunakan batasan kebijakan organisasi Berbagi yang dibatasi domain (iam.allowedPolicyMemberDomains) untuk menentukan satu atau beberapa ID pelanggan Cloud Identity atau Google Workspace yang pokoknya dapat ditambahkan ke kebijakan Identity and Access Management (IAM).
Produk yang berlaku
  • Organization Policy Service
  • IAM
Jalur constraints/iam.allowedPolicyMemberDomains
Operator Is
Nilai
  • CUSTOMER_ID,ORG_ID
Jenis Daftar
Kontrol NIST-800-53 terkait
  • AC-3
  • AC-17
  • AC-20
Kontrol profil CRI terkait
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Informasi terkait

Menggunakan log audit

ID kontrol Google COM-CO-7.3
Kategori Wajib
Deskripsi

LayananGoogle Cloud menulis entri log audit untuk menjawab siapa yang melakukan apa, di mana, dan kapan dengan resource Google Cloud .

Aktifkan logging audit di tingkat organisasi. Anda dapat mengonfigurasi logging menggunakan pipeline yang Anda gunakan untuk menyiapkan organisasi Google Cloud .
Produk yang berlaku
  • Cloud Audit Logs
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Mengaktifkan Log Aliran VPC

ID kontrol Google COM-CO-7.4
Kategori Wajib
Deskripsi

VPC Flow Logs mencatat sampel alur jaringan yang dikirim dari dan diterima oleh instance VM, termasuk yang digunakan sebagai node Google Kubernetes Engine (GKE). Sampel biasanya berjumlah 50% atau kurang dari alur jaringan VPC.

Dengan mengaktifkan Log Alur VPC, Anda mengaktifkan logging untuk semua VM di subnet. Namun, Anda dapat mengurangi jumlah informasi yang ditulis ke logging.

Aktifkan VPC Flow Logs untuk setiap subnet VPC. Anda dapat mengonfigurasi logging menggunakan pipeline yang Anda gunakan untuk membuat project.
Produk yang berlaku
  • Virtual Private Cloud
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Mengaktifkan Firewall Rules Logging

ID kontrol Google COM-CO-7.5
Kategori Wajib
Deskripsi

Firewall Rules Logging membuat catatan setiap kali aturan firewall mengizinkan atau menolak traffic.

Aktifkan logging untuk setiap aturan firewall. Anda dapat mengonfigurasi logging menggunakan pipeline yang Anda gunakan untuk membuat firewall.
Produk yang berlaku
  • Virtual Private Cloud
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Kontrol cloud yang direkomendasikan

Sebaiknya terapkan kontrol umum berikut ke lingkunganGoogle Cloud Anda, terlepas dari kasus penggunaan spesifik Anda.

Membatasi lokasi kunci enkripsi yang dikelola pelanggan

ID kontrol Google COM-CO-2.2
Kategori Disarankan
Deskripsi

Gunakan batasan kebijakan organisasi Batasi project mana yang dapat menyediakan CryptoKey KMS untuk CMEK (gcp.restrictCmekCryptoKeyProjects) untuk menentukan project mana yang dapat menyimpan kunci enkripsi yang dikelola pelanggan (CMEK). Batasan ini memungkinkan Anda memusatkan tata kelola dan pengelolaan kunci enkripsi. Jika kunci yang dipilih tidak memenuhi batasan ini, pembuatan resource akan gagal.

Untuk mengubah batasan ini, administrator memerlukan peran IAM Organization Policy Administrator (roles/orgpolicy.policyAdmin).

Jika Anda ingin menambahkan lapisan perlindungan kedua, seperti menggunakan kunci Anda sendiri, ubah batasan ini untuk merepresentasikan nama kunci CMEK yang diaktifkan.

Detail produk:

  • Di Vertex AI, Anda menyimpan kunci di project KEY PROJECTS.
Produk yang berlaku
  • Cloud KMS
  • Kebijakan Organisasi
Jalur constraints/gcp.restrictCmekCryptoKeyProjects
Operator notexists
Nilai
  • KEY PROJECTS
Jenis String
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Menggunakan CMEK untuk layanan Google Cloud

ID kontrol Google COM-CO-2.3
Kategori Disarankan
Deskripsi

Jika memerlukan kontrol lebih besar atas operasi kunci daripada yang diizinkan oleh Google-owned and Google-managed encryption keys , Anda dapat menggunakan kunci enkripsi yang dikelola pelanggan (CMEK). Kunci ini dibuat dan dikelola menggunakan Cloud KMS. Simpan kunci sebagai kunci software, di cluster HSM, atau di sistem pengelolaan kunci eksternal.

Tingkat enkripsi dan dekripsi Cloud KMS bergantung pada kuota.

Detail Cloud Storage

Di Cloud Storage, gunakan CMEK pada setiap objek, atau konfigurasi bucket Cloud Storage Anda untuk menggunakan CMEK secara default pada semua objek baru yang ditambahkan ke bucket. Saat menggunakan CMEK, objek dienkripsi dengan kunci tersebut oleh Cloud Storage pada saat disimpan dalam bucket, dan objek secara otomatis didekripsi oleh Cloud Storage saat objek disajikan kepada pemohon.

Batasan berikut berlaku saat menggunakan CMEK dengan Cloud Storage:

  • Anda tidak dapat mengenkripsi objek dengan CMEK dengan memperbarui metadata objek. Sertakan kunci sebagai bagian dari penulisan ulang objek.
  • Cloud Storage Anda menggunakan perintah update objek untuk menetapkan kunci enkripsi pada objek, tetapi perintah tersebut akan menulis ulang objek sebagai bagian dari permintaan.
  • Anda harus membuat key ring Cloud KMS di lokasi yang sama dengan data yang ingin Anda enkripsi. Misalnya, jika bucket Anda berada di us-east1, key ring apa pun yang digunakan untuk mengenkripsi objek di bucket tersebut juga harus dibuat di us-east1.
  • Untuk sebagian besar dual-region, Anda harus membuat key ring Cloud KMS di multi-region yang terkait. Misalnya, jika bucket Anda berada di pasangan us-east1, us-west1, key ring apa pun yang digunakan untuk mengenkripsi objek di bucket tersebut harus dibuat di multi-region Amerika Serikat.
  • Untuk dual-region asia1, eur4, dan nam4 yang telah ditetapkan sebelumnya, Anda harus membuat key ring di dual-region yang sama yang telah ditetapkan sebelumnya.
  • Checksum CRC32C dan hash MD5 objek yang dienkripsi dengan CMEK tidak ditampilkan saat mencantumkan objek dengan JSON API.
  • Menggunakan alat seperti Cloud Storage untuk melakukan permintaan GET metadata tambahan pada setiap objek enkripsi guna mengambil informasi CRC32C dan MD5 dapat membuat daftar menjadi jauh lebih pendek. Cloud Storage tidak dapat menggunakan bagian dekripsi dari kunci asimetris yang disimpan di Cloud KMS untuk secara otomatis mendekripsi objek yang relevan dengan cara yang sama seperti yang dilakukan oleh CMEK.
Produk yang berlaku
  • Cloud KMS
  • Kebijakan Organisasi
  • Cloud Storage
Jalur constraints/gcp.restrictNonCmekServices
Operator ==
Nilai
  • bigquery.googleapis.com
  • storage.googleapis.com
  • aiplatform.googleapis.com
Jenis String
Kontrol NIST-800-53 terkait
  • SC-12
  • SC-13
Kontrol profil CRI terkait
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Informasi terkait

Mengaktifkan Sensitive Data Protection untuk inspeksi data

ID kontrol Google COM-CO-5.1
Kategori Disarankan
Deskripsi

Google Cloud merekomendasikan penggunaan Sensitive Data Protection. InfoType atau template tugas yang Anda pilih bergantung pada sistem tertentu Anda.
Produk yang berlaku
  • Sensitive Data Protection
Kontrol NIST-800-53 terkait
  • SI-4
  • IA-7
  • SC-7
  • SC-8
Kontrol profil CRI terkait
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
Informasi terkait

Jika Anda menangani data sensitif atau workload AI generatif yang sensitif, sebaiknya terapkan kontrol berikut dalam kasus penggunaan AI generatif yang berlaku.

Mengaktifkan log audit Akses Data

ID kontrol Google COM-CO-7.2
Kategori Direkomendasikan untuk kasus penggunaan tertentu
Deskripsi

Untuk melacak siapa yang mengakses data di lingkungan Google Cloud Anda, aktifkan log audit Akses Data. Log ini mencatat panggilan API yang membaca, membuat, atau mengubah data pengguna, serta panggilan API yang membaca konfigurasi resource.

Sebaiknya aktifkan log audit Akses Data untuk model AI generatif dan data sensitif guna memastikan Anda dapat mengaudit siapa yang telah membaca informasi tersebut. Untuk menggunakan log audit Akses Data, Anda harus menyiapkan logika deteksi kustom sendiri untuk aktivitas tertentu, seperti login admin super.

Volume log audit Akses Data bisa besar. Mengaktifkan log Akses Data dapat menyebabkan project Google Cloud Anda dikenai biaya untuk penggunaan log tambahan.
Produk yang berlaku
  • Cloud Audit Logs
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Sebaiknya Anda menerapkan kontrol keamanan berikut di folder yang berisi workload AI generatif.

Aktifkan pembatasan cakupan layanan dalam kebijakan akses Access Context Manager

ID kontrol Google COM-CO-8.1
Kategori Direkomendasikan untuk AI generatif pada kasus penggunaan
Deskripsi

Untuk setiap perimeter layanan, konfirmasi di konsol Google Cloud bahwa jenis perimeter ditetapkan ke reguler.
Produk yang berlaku
  • Access Context Manager
  • Kontrol Layanan VPC
Jalur accesscontextmanager.accessPolicies.servicePerimeters/perimeterType
Operator ==
Nilai
  • PERIMETER_TYPE_REGULAR
Jenis String
Kontrol NIST-800-53 terkait
  • SC-7
  • SC-8
Kontrol profil CRI terkait
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informasi terkait

Membatasi API dalam perimeter layanan Kontrol Layanan VPC

ID kontrol Google COM-CO-8.2
Kategori Direkomendasikan untuk AI generatif pada kasus penggunaan
Deskripsi

Untuk setiap perimeter layanan, gunakan Access Context Manager untuk mengonfirmasi bahwa perimeter melindungi API.
Produk yang berlaku
  • Kontrol Layanan VPC
  • Access Context Manager
Jalur accesscontextmanager.accessPolicies.servicePerimeters/status.restrictedServices
Operator Anyof
Nilai
  • aiplatform.googleapis.com
  • artifactregistry.googleapis.com
  • bigquery.googleapis.com
  • cloudasset.googleapis.com
  • cloudbuild.googleapis.com
  • cloudfunctions.googleapis.com
  • cloudresourcemanager.googleapis.com
  • containeranalysis.googleapis.com
  • discoveryengine.googleapis.com
  • dns.googleapis.com
  • notebooks.googleapis.com
  • ondemandscanning.googleapis.com
  • orgpolicy.googleapis.com
  • pubsub.googleapis.com
  • secretmanager.googleapis.com
  • storage.googleapis.com
  • visionai.googleapis.com
Jenis String
Kontrol NIST-800-53 terkait
  • SC-7
  • SC-8
Kontrol profil CRI terkait
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Informasi terkait

Kontrol umum opsional

Anda dapat menerapkan kontrol umum berikut secara opsional berdasarkan persyaratan organisasi Anda.

Mengaktifkan log Transparansi Akses

ID kontrol Google COM-CO-7.7
Kategori Opsional
Deskripsi

Transparansi Akses memberikan log yang mencatat tindakan yang dilakukan personel Google saat mengakses konten Anda.

Anda dapat mengaktifkan Transparansi Akses di tingkat organisasi.
Produk yang berlaku
  • Transparansi Akses
Kontrol NIST-800-53 terkait
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Kontrol profil CRI terkait
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Informasi terkait

Langkah berikutnya